Proton VPN contre NordVPN : ce que change vraiment le pays du siège
Ou : deux sociétés qui ont choisi des pays sans obligation de conservation, et qui n’en tirent pas les mêmes conclusions.
La réponse courte : les deux tiennent, et le choix se joue sur ce que vous voulez pouvoir vérifier vous-même. Proton VPN publie le code de toutes ses applications et fait auditer sa politique no-log chaque année depuis 2022 par le même cabinet, ce qui permet de comparer cinq rapports successifs. NordVPN ouvre une partie de son code seulement, mais fait porter l’audit sur un référentiel comptable formel et a migré l’intégralité de son parc vers des serveurs sans disque. Si vous privilégiez la vérifiabilité du logiciel, prenez le premier. Si vous privilégiez la garantie que rien ne subsiste après un redémarrage, le second a l’avantage. C’est le duel le plus serré des confrontations service contre service de ce guide, et le seul où les deux camps partent d’une juridiction sans obligation légale de journalisation.
Sur ce dernier point, une précision s’impose. Le Panama et la Suisse échappent tous deux aux accords de partage du renseignement qui lient les pays anglophones et une bonne partie de l’Europe. Mais la société qui exploite NordVPN est enregistrée au Panama alors que sa maison mère, Nord Security, est une société de droit néerlandais dont les équipes travaillent depuis Vilnius. Cette dissociation entre le lieu d’enregistrement et le centre de gravité réel de l’entreprise est courante dans le secteur, elle n’a rien d’illégal, et elle mérite simplement d’être connue avant d’écrire « Panama » dans une colonne et de passer à la suivante.
Deux audits sérieux, deux méthodes qui ne se comparent pas ligne à ligne
Le cinquième audit annuel de Proton VPN a été conduit par Securitum du 20 au 27 mai 2026 au siège de Zürich, sur les systèmes de production. Les auditeurs concluent à l’absence de journalisation de l’activité de navigation, des requêtes DNS et des métadonnées de connexion identifiantes. NordVPN a de son côté fait remettre par Deloitte, le 12 décembre 2025, son sixième engagement d’assurance, appliqué selon le référentiel ISAE 3000 révisé, après des exercices antérieurs confiés à PwC en 2018 et 2020 puis à Deloitte à partir de 2022.
La tentation est de trancher en comptant les audits. Elle serait malvenue. Un engagement d’assurance formel et un audit technique d’infrastructure ne mesurent pas la même chose : le premier atteste qu’une affirmation de la direction résiste à un examen méthodique, le second qu’un ingénieur ayant accès aux machines n’a rien trouvé. Les deux ont de la valeur, aucun ne remplace l’autre, et un fournisseur qui n’en publie aucun se situe dans une catégorie différente de ces deux-là.
Reste l’infrastructure, où les deux sociétés divergent ouvertement. NordVPN a basculé tout son parc sur des serveurs qui n’écrivent rien sur disque. Proton VPN explique publiquement ne pas en utiliser et préférer un chiffrement intégral des disques en AES-256, au motif que la mémoire vive ne règle pas les problèmes qu’on lui prête. Le désaccord est technique, public et argumenté des deux côtés, ce qui en dit plus long sur le sérieux des deux maisons que n’importe quelle page de fonctionnalités.
Quand l’un des deux camps déménage ses serveurs
Un fait récent bouscule le tableau : en juillet 2025, Proton a annoncé déplacer la majeure partie de son infrastructure physique hors de Suisse, en invoquant l’incertitude juridique créée par les projets de surveillance du gouvernement suisse, et chiffre ce mouvement à plus de 100 millions d’euros investis dans l’Union européenne, sans nommer de pays de destination. Son siège reste à Genève, et ses centres de données se répartissaient déjà, avant cette annonce, entre la Suisse, l’Allemagne et la Norvège. C’est un rappel utile que la juridiction n’est pas gravée dans le marbre. Le même raisonnement s’applique en sens inverse à un fournisseur qui a discrètement quitté la Suisse pour les États-Unis, cas détaillé dans ce qu’il reste de l’ancien pionnier des audits.
Si le critère décisif est le nombre d’appareils
Ni l’un ni l’autre ne gagne sur ce terrain : les deux plafonnent à dix connexions simultanées, ce qui suffit à un foyer et pas à une famille équipée. Les fournisseurs qui ne posent aucune limite jouent une autre carte, et l’arbitrage entre cette générosité et la localisation du siège est posé dans le calcul entre appareils illimités et pays d’établissement.
Si vous cherchez plutôt le minimalisme intégral
Il existe une troisième voie, qui consiste à ne pas créer de compte du tout et à payer un tarif unique sans engagement. Elle coûte du confort et règle d’autres problèmes, et elle est comparée à l’offre suisse dans le match entre les deux références de la vie privée.