Test NordVPN : audits, NordLynx, antivirus et prix réel

NordVPN a fait vérifier six fois sa politique sans journaux par un cabinet indépendant, d'abord PwC, puis Deloitte, dont la dernière mission porte sur quatre types de serveurs. Le service, basé au Panama, annonce plus de 7 000 serveurs et dix appareils par abonnement. Reste à voir ce que valent ces promesses face à la vitesse, au streaming et au prix. Cet essai détaille le chiffrement, les protocoles, les serveurs sans disque, l'antivirus intégré, les relevés de vitesse et les formules.

Ce qu'il faut retenir

• Confidentialité vérifiée : six audits indépendants depuis 2018, serveurs fonctionnant uniquement en mémoire vive et siège au Panama.
• Chiffrement moderne : AES-256-GCM sur OpenVPN, ChaCha20 sur NordLynx, avec une couche post-quantique sur NordLynx.
• Vitesse élevée : de 3 à 16 % de débit perdu vers le Royaume-Uni, les États-Unis et le Japon sur une ligne de 190 Mb/s, avec NordLynx.
• Prix d'appel bas, renouvellement élevé : à partir de 3,49 € par mois sur 24 mois, mais environ quatre fois plus au renouvellement du forfait Basique.

Qui est derrière NordVPN ?

NordVPN est édité par Nord Security et basé au Panama, un pays sans loi de conservation de données applicable aux fournisseurs de VPN et hors des alliances de renseignement Five, Nine et Fourteen Eyes. Le service a été le premier VPN dont la politique sans journaux a été vérifiée de façon indépendante, en 2018. Chaque abonnement couvre dix appareils en simultané, et il n'existe pas de version gratuite.

Comment le trafic est-il chiffré ?

NordVPN chiffre le trafic avec AES-256. Sur OpenVPN, le mode est GCM, associé à une clé Diffie-Hellman de 4096 bits. Sur NordLynx, le protocole maison construit sur WireGuard, le chiffrement repose sur ChaCha20 et l'authentification sur Poly1305. IKEv2/IPsec reste disponible, mais en configuration manuelle uniquement.

La couche post-quantique vise le risque d'un déchiffrement futur des échanges de clés actuels par un ordinateur quantique. Elle a d'abord été introduite dans l'application Linux, puis étendue à toutes les applications, et elle s'applique à NordLynx. Le chiffrement symétrique AES-256 n'est pas concerné : c'est l'échange de clés qu'il fallait renforcer.

Que change le double NAT de NordLynx ?

WireGuard, dans sa conception d'origine, oblige le serveur à conserver une table statique qui relie chaque utilisateur à son adresse interne. NordVPN a jugé ce stockage incompatible avec sa promesse de confidentialité et a ajouté un système de double NAT :

• Première couche. La première interface attribue la même adresse locale à tous les utilisateurs connectés à un serveur, ce qui masque chaque identité dans la foule.
• Seconde couche. Un NAT dynamique donne une adresse unique à chaque session de tunnel, pour que les paquets arrivent à destination. Cette adresse n'existe que pendant la session.
• Authentification. Elle passe par une base externe, si bien qu'aucune donnée identifiante ne reste sur le serveur VPN.

NordLynx s'appuie surtout sur l'UDP et son trafic présente une empreinte reconnaissable : l'inspection approfondie des paquets (DPI) l'identifie plus facilement qu'un protocole déguisé. Sur un réseau qui filtre les VPN, NordVPN recommande de basculer sur NordWhisper.

NordWhisper ou obfuscation : quand les employer ?

NordWhisper utilise une technologie de tunnel web qui déguise le trafic VPN en activité internet ordinaire, en imitant le comportement d'un navigateur. Il vise les réseaux qui bloquent les protocoles VPN, comme les Wi-Fi d'aéroports, de cafés ou de conférences équipés de filtres, et non les contrôles à l'échelle d'un pays. Il se sélectionne à la main dans l'application, il est incompatible avec l'IP dédiée et Onion Over VPN, et il peut ralentir la connexion, car le camouflage demande un traitement supplémentaire.

Les serveurs obfusqués poursuivent le même but par deux méthodes : une enveloppe de chiffrement SSL ou SSH autour du trafic, ou une altération des métadonnées d'en-tête pour imiter du HTTPS. L'obfuscation ne cache pas tout : un site continue de voir que l'adresse IP appartient à un serveur VPN.

Les journaux de connexion sont-ils vraiment vides ?

La politique publiée exclut la conservation de l'historique de navigation, des adresses IP, des requêtes DNS et des fichiers téléchargés. Les données des serveurs résident en mémoire vive, une mémoire volatile effacée à chaque extinction : le centre de confiance de l'éditeur décrit ce fonctionnement. Il mentionne aussi un programme de chasse aux failles sur HackerOne, des rapports de transparence trimestriels sur les demandes gouvernementales et les notifications DMCA, et un code ouvert pour le client Linux, en ligne de commande comme en interface graphique.

La dernière mission de Deloitte est un audit d'assurance raisonnable conforme à la norme ISAE 3000 (Revised). Les auditeurs ont interrogé des employés et inspecté l'infrastructure, les configurations et les processus de déploiement sur quatre types de serveurs : standard, Double VPN, obfusqué et Onion Over VPN. Leur conclusion : les systèmes sont conçus et mis en œuvre conformément à l'engagement de non-conservation. Le décompte total fait état de six audits depuis 2018, PwC ayant mené les deux premiers.

Fuites et coupures : que garantit le kill switch ?

Les contrôles de fuite publiés ne relèvent aucune fuite d'adresse IP, de DNS ni de WebRTC, et le kill switch bloque le trafic au redémarrage de l'appareil. Deux niveaux existent sur ordinateur : un kill switch système, qui coupe tout internet quand le VPN tombe, et un kill switch applicatif, qui agit application par application.

Le kill switch prend la priorité sur tous les autres réglages : avec le tunnel fractionné, les applications exclues du VPN sont bloquées elles aussi si la connexion tombe, et le tunnel fractionné cesse de fonctionner jusqu'au retour du VPN. L'application retente en continu de se reconnecter, ce qui rend le tunnel fractionné plus confortable sans kill switch strict. Le tunnel fractionné n'existe pas sur iOS.

Quelle rapidité attendre, de Paris à New York ?

Le relevé réalisé en France part d'une ligne de 672,21 Mb/s en réception, mesurée à Strasbourg avec Speedtest, avec un ping de 10 ms :

Un second banc d'essai, publié par Gizmodo, utilise un PC Windows 11 en Ethernet sur une ligne de 190,36 Mb/s. Chaque serveur y est mesuré à trois moments de la journée pendant trois jours, avec NordLynx :

Les deux séries se rejoignent : la distance pèse davantage que le protocole, et l'envoi de données chute plus que la réception sur une ligne rapide. Un troisième relevé, sur une ligne de 318,31 Mb/s, donne 15 % de perte vers un serveur français et 9 % vers les États-Unis.

Le choix du protocole joue peu sur un serveur proche. Au Royaume-Uni, le même banc d'essai mesure 184,73 Mb/s en NordLynx, 183,25 Mb/s en OpenVPN et 161,13 Mb/s en NordWhisper, dont le ping est pourtant le plus bas (42 ms). Les fonctions qui rallongent le chemin coûtent plus cher : Onion Over VPN divise presque par deux le débit, et les bancs d'essai de Double VPN divergent entre quelques pour cent de perte et 80 % de débit en moins, car la perte dépend de la paire de serveurs, prédéfinie.

Netflix, Prime Video, Hulu : ça passe ?

Le banc d'essai de Gizmodo donne les 14 services testés comme débloqués : Netflix États-Unis, BBC iPlayer, ITVX, Hulu et Prime Video figurent dans le tableau, JioHotstar s'ouvre depuis un serveur de Mumbai. Pluto TV et Prime Video ont détecté la connexion lors de quelques essais, et il a suffi de changer de serveur dans le même pays. Le relevé français note des catalogues Netflix américain, britannique et japonais accessibles, et une lecture HD fluide.

La fonction SmartPlay, activée automatiquement dans toutes les applications, regroupe le changement de DNS, le masquage de l'adresse IP, le changement de localisation virtuelle et le chiffrement. Pour les téléviseurs et appareils sans application, SmartDNS modifie seulement les serveurs DNS : il faut l'activer dans le compte Nord, autoriser son adresse IPv4 (l'IPv6 n'est pas pris en charge) et patienter jusqu'à dix minutes. Contrairement au VPN, SmartDNS ne chiffre rien, et il ne fonctionne pas avec tous les services.

Où se trouvent les serveurs, et lesquels choisir ?

Le réseau compte plus de 7 000 serveurs et plus de 125 pays, avec une part d'emplacements virtuels : l'adresse IP correspond au pays choisi, mais le serveur se trouve physiquement ailleurs. Les serveurs indiens, par exemple, sont hébergés à Singapour. La liste des catégories de serveurs répond à des usages précis :

• Standard. Le choix quotidien, avec les meilleurs débits.
• Double VPN. Le trafic traverse deux serveurs et se chiffre deux fois, sur des paires prédéfinies. Cette catégorie n'est pas recommandée pour un usage courant.
• Onion Over VPN. Le trafic passe par NordVPN puis par Tor. Elle fonctionne uniquement avec le protocole OpenVPN.
• Obfusqué. Elle contourne les pare-feu qui bloquent les VPN.
• IP dédiée. Une adresse exclusive, vendue en option, compatible avec NordLynx et OpenVPN, mais pas avec tvOS ni NordWhisper.

Le P2P est accepté sur presque tous les serveurs, à l'exception de quelques pays (Albanie, Bosnie-Herzégovine, Macédoine du Nord, Moldavie). NordVPN ne propose pas de redirection de ports.

Que contient l'antivirus intégré ?

L'antivirus nouvelle génération, ancien Threat Protection Pro, fonctionne sans connexion VPN. Il comprend trois blocs : un module anti-malware qui analyse les fichiers téléchargés, vérifie les failles des applications sur Windows et met en quarantaine ou supprime les fichiers malveillants, une protection de navigation qui bloque les sites dangereux, signale les arnaques, affiche des indicateurs de sécurité dans les résultats de recherche et vérifie les adresses de portefeuilles crypto, et un bloqueur de publicités et de traqueurs qui retire aussi les paramètres de suivi des adresses web.

Il s'installe sur Windows 10 et 11 en 64 bits et sur macOS 12 ou plus récent, hors version du Mac App Store. Un test d'AV-Comparatives lui attribue 94 % de sites d'hameçonnage bloqués sans faux positif. Sur le filtrage de domaines publicitaires, le banc d'essai de Gizmodo relève 103 domaines bloqués sur 135, soit 76 %. La protection en temps réel, qui filtre en DNS publicités, traqueurs et domaines dangereux, tourne sur toutes les plateformes, mais seulement pendant la connexion à un serveur NordVPN, sauf sur mobile.

Quelles autres fonctions complètent l'offre ?

• Meshnet. Il relie jusqu'à 60 appareils personnels dans un réseau privé, pour partager des fichiers ou router le trafic.
• Applications. L'application du Mac App Store est amputée de l'antivirus, du DNS personnalisé et du kill switch applicatif.
• Extensions. Chrome, Firefox et Edge disposent d'extensions qui reprennent la protection en temps réel.
• Appareils. Apple TV, Android TV et Fire TV disposent d'applications dédiées.

Combien coûte un abonnement ?

Le forfait Basique coûte 14,99 € en abonnement mensuel et 5,49 € par mois sur un an. L'IP dédiée s'ajoute pour 4,19 € par mois sur deux ans. Ces tarifs évoluent souvent, ce que les relevés de prix en France confirment pour les formules Premium et Ultime Max. Le piège se situe au renouvellement : Basique repasse à environ 167 € par an, soit près de 14 € par mois, contre 3,49 € au départ. Le tarif exact se consulte dans le compte Nord, et NordVPN prévient par e-mail avant chaque renouvellement.

La garantie de 30 jours donne droit à un remboursement intégral, mais seulement pour l'achat initial : un paiement de renouvellement n'est pas remboursable. Le remboursement se demande depuis le compte Nord, et les achats faits via un magasin d'applications passent par le vendeur concerné.

Notre avis : NordVPN convient à ceux qui veulent un service complet, rapide et régulièrement audité. La politique sans journaux a été vérifiée six fois, les serveurs fonctionnent en mémoire vive, NordLynx limite la perte de débit à 3 % sur un serveur britannique, et SmartPlay, SmartDNS et l'antivirus couvrent des usages que d'autres laissent de côté. En contrepartie, l'éditeur ne publie pas ses rapports d'audit en extraits, l'application Mac App Store est amputée de plusieurs fonctions et le tarif de renouvellement atteint environ quatre fois le prix d'appel. Nous recommandons Basique pour le VPN seul, Premium pour l'antivirus, et de vérifier le prix de renouvellement avant de valider les deux ans.

Questions fréquentes

Quel nombre d'appareils se branche en même temps ?

Dix, quelle que soit la formule. Les applications couvrent les ordinateurs, les mobiles et plusieurs téléviseurs connectés.

Le téléchargement par torrent est-il autorisé ?

Oui, sur presque tous les serveurs, à l'exception de l'Albanie, de la Bosnie-Herzégovine, de la Macédoine du Nord et de la Moldavie. NordVPN ne propose pas de redirection de ports.

Peut-on se faire rembourser ?

Oui, pendant 30 jours, pour l'achat initial uniquement. Le remboursement se demande depuis le compte Nord et peut mettre jusqu'à dix jours ouvrés à arriver, suivant le moyen de paiement. Supprimer le compte annule le service restant et rend le remboursement impossible.

Le filtrage agit-il sans VPN actif ?

Oui. L'antivirus nouvelle génération protège sans VPN actif, sur Windows et macOS, contrairement à la protection en temps réel qui exige une connexion à un serveur NordVPN, sauf sur mobile.

Un téléviseur connecté est-il compatible ?

Avec l'application d'Android TV, d'Apple TV ou de Fire TV, ou avec SmartDNS pour les téléviseurs sans application compatible. SmartDNS ne chiffre pas le trafic et se limite à certains services.

À quoi sert Meshnet ?

À relier jusqu'à 60 appareils personnels dans un réseau privé : partage de fichiers, accès à distance, routage du trafic d'un appareil à l'autre.

L'IP dédiée justifie-t-elle son prix ?

Seulement si un service exige toujours la même adresse, par exemple une liste d'accès. Cette option payante est incompatible avec NordWhisper et tvOS, et elle ne s'utilise qu'avec NordLynx ou OpenVPN.