Avis Mullvad VPN (2024) : un service ultraconfidentiel qui gagnerait à être mieux connu

Bien ancré sur le marché des réseaux privés virtuels depuis 2009, Mullvad gagnerait à être mieux connu du grand public. Et pour cause, le VPN suédois fait partie des services les plus rigoureux en matière de sécurité et de confidentialité renforcées.

Qu’est-ce que Mullvad ?

Lancé en 2009, Mullvad fait partie de ces VPN disposant d’une certaine aura, bien qu’encore trop peu connu du grand public. Fondé par Daniel Berntsson et Fredrik Strömberg, qui détiennent encore aujourd’hui 50% des parts chacun, le réseau privé virtuel suédois s’est essentiellement illustré par son développement régulier, strictement orienté sécurité et confidentialité (paiement en liquide ou en crypto possible, pas de création de compte, aucunes données privées collectées, protection post-quantique, développement de la techno DAITA, hébergement maison pour l’assistance mail, etc.). 

Si Mullvad tient la concurrence en respect, c’est aussi parce qu’il s’efforce de contrôler systématiquement les technologies qu’il implémente, même si ces dernières sont considérées comme des standards gérés par des entités propres. C’est ainsi qu’en 2014, le fournisseur révèle coup sur coup deux failles critiques touchant OpenVPN. Son expertise et sa crédibilité croissante en font le fournisseur d’infrastructure officiel de Mozilla VPN et Malwarebytes, dès 2019.

L’infrastructure de Mullvad

Beaucoup plus modeste que les fournisseurs grand public habituels, Mullvad administre un parc réseau de 695 serveurs répartis dans 46 pays. Un tiers des équipements se trouvent aux États-Unis, les autres étant répartis de manière proportionnelle et équilibrée un peu partout dans le monde. La grande majorité d’entre eux offrent aujourd’hui des capacités de gestion des flux de 10 Gb/s à 20 Gb/s, et tous font appel à du stockage RAM depuis 2023. Alors que faut-il comprendre de ces données ? Eh bien que Mullvad devrait a priori intégrer la liste des réseaux privés virtuels les plus performants (sécurité, rapidité, stabilité) malgré son nombre restreint de serveurs.

On en profite pour ajouter que Mullvad possède une partie de ses équipements – 167 serveurs à l’heure où nous rédigeons ces lignes – et loue le reste auprès d’autres prestataires. Ces informations sont disponibles sur le site du fournisseur qui met un point d’honneur à rester le plus transparent possible concernant la gestion, l’état et la maintenance de son infrastructure.

On terminera sur l’absence d’équipements dits optimisés pour des usages spécifiques. En théorie, tous doivent être en mesure de répondre à vos besoins. Seule exception : huit serveurs implémentent la technologie maison DAITA, conçue pour brouiller les schémas de trafic qui pourraient individualiser les internautes auprès des sites web et révéler l’utilisation du VPN.

Mullvad est-il gratuit ?

Mullvad n’est pas un VPN gratuit, au même titre qu’il ne propose aucune version d’essai ou de démonstration. En revanche, il s’astreint à respecter une garantie satisfait ou remboursé de 30 jours, que nous avons fait jouer sans aucune difficulté.

Quels sont les prix pratiqués par Mullvad ?

Ici, pas de surprise. Depuis de nombreuses années maintenant, Mullvad propose un forfait unique et inchangé. Chaque abonnement coûte très exactement 5 euros par mois, sans engagement longue durée ni renouvellement automatique, et couvre cinq appareils au maximum. Il reste possible d’anticiper et de régler plusieurs mois d’avance, mais les internautes peuvent aussi bien recharger leurs crédits à la fin de leur souscription en cours.

Dans tous les cas, le fournisseur suédois se tient systématiquement éloigné des offres promotionnelles. Les seules ristournes pratiquées concernent les paiements en cryptomonnaies sur lesquels il applique 10% de réduction, pour cause de frais de traitement et administratifs moins élevés côté entreprise.

Télécharger et installer Mullvad

On l’a bien compris jusqu’ici : Mullvad choisit d’aller à l’essentiel. Il propose donc des applications pour les principaux systèmes d’exploitation desktop (Windows, macOS, Linux) et mobiles (Android, iOS). Une extension proxy pour Firefox, en beta, est accessible librement, que l’on soit abonné ou non au VPN. Rien du côté de Chrome et des navigateurs basés sur Chromium, ni pour les autres appareils connectés de la maison. On ajoutera toutefois que le service propose un générateur de clés privées pour WireGuard et OpenVPN, ainsi qu’une documentation poilue pour configurer le VPN sur un routeur.

Pour utiliser Mullvad, il faudra d’abord acheter des crédits mensuels sur le site web officiel du fournisseur de réseau privé virtuel. Une fois le règlement effectué, le service génère un identifiant unique à conserver précieusement. Et pour cause, outre les informations de facturation, le fournisseur ne réclame aucune donnée personnelle, pas même d’adresse mail. En clair, si vous perdez votre identifiant, vous perdez votre accès au VPN. Sur ce point, Mullvad indique pouvoir procéder à la récupération des comptes à partir du suivi de paiement, disponible durant les 40 jours suivant l’achat, sans garantie de résultat.

Ne reste plus qu’à télécharger Mullvad sur ses appareils, et se connecter à l’aide de l’identifiant communiqué au moment du règlement. Sans mot de passe.

Interface et fonctionnalités

Organisation du client VPN et console web

Sur Windows comme sur macOS, Mullvad se déploie dans une interface minimaliste. On trouverait certes à redire sur la charte graphique, peu moderne et pas toujours très esthétique, mais la simplicité avec laquelle le client est pensé pousse à fermer les yeux sur des choix stylistiques discutables.

L’écran d’accueil affiche donc un bouton de connexion rapide, un menu déroulant offrant un accès à la liste des emplacements disponibles, et deux raccourcis redirigeant vers les paramètres du compte et les réglages du VPN – un peu fourre-tout, pour être honnête. Et voilà.

Seul écueil vraiment gênant à l’usage : l’impossibilité de redimensionner la fenêtre du logiciel, ni même de la déplacer ou de l’épingler sur l’écran. Mullvad est automatiquement réduit chaque fois que l’on interagit avec une autre application, ce qui s’avère pénible quand on souhaite garder un œil sur le VPN pendant la navigation, par exemple.

Côté console de gestion web, tout est aussi condensé. Dans l’ensemble, c’est d’ici que l’on rajoute du temps à l’abonnement, que l’on gère les appareils connectés (identifiés par des sobriquets plutôt que par le système d’exploitation), que l’on télécharge d’autres versions du client, que l’on génère d’éventuelles clés privées OpenVPN ou WireGuard, et que l’on accède à divers guides de configuration et d’utilisation. Pas de chichi.

Choix des emplacements

Les localisations couvertes sont triées par ordre alphabétique, et l’on peut trouver un pays ou une ville rapidement grâce au moteur de recherche intégré. La liste des lieux pris en charge par le VPN repose sur une structure en arborescence, si bien qu’en cliquant sur la flèche en face de chaque nom d’État, on déroule celle des villes disponibles qui déroulent celles des serveurs accessibles. Un code couleur (rouge/vert) informe les internautes en temps réel sur l’état fonctionnel, ou non, des serveurs.

Toujours depuis le menu des localisations, on apprécie la possibilité de créer des listes personnalisées dans lesquelles on ajoute ses emplacements et serveurs favoris depuis la liste principale. La fonction mériterait peut-être d’être plus intuitive, alors qu’aucune indication visuelle ne signale la prise en charge des favoris tant qu’aucune liste personnalisée n’a été créée en amont.

Dernier atout appréciable : la possibilité de filtrer les localisations selon que Mullvad loue ou possède les serveurs, ainsi qu’en fonction des fournisseurs tiers, grâce à l’icône située en haut à gauche.

Encore une fois, tout est plutôt simple. On regrette simplement que le service n’affiche pas d’informations plus complètes sur le taux de charge des serveurs.

Protocoles et chiffrement

C’est évidemment le combo OpenVPN/WireGuard couplé à l’algorithme de chiffrement AES-256 qui sécurise les connexions VPN chez Mullvad. On ne reviendra pas sur la prise en charge plutôt classique d’OpenVPN (TCP et UDP, choix des ports auto ou manuel). En revanche, l’intégration personnalisée de WireGuard mérite que l’on s’y attarde. C’est en effet sur ce protocole que Mullvad a le plus travailler pour y implémenter deux technologies de sécurité renforcée : DAITA et la protection post-quantique.

Dans les grandes lignes, DAITA (Defense against AI-guided Trafic Analysis) est une méthode de dissimulation du trafic VPN mise au point par le fournisseur suédois en partenariat avec l’Université de Karlstad pour lutter contre les analyses de trafic opérées à l’aide de l’intelligence artificielle. La techno procède en trois étapes : constitution de paquets de données de la même taille circulant sur le réseau VPN, injection de paquets factices pour masquer les signaux de routine en provenance et à destination des appareils, émission de trafic artificiel entre le client et le serveur VPN pour brouiller les schémas prédictibles de la connexion. En bref, il s’agit d’une forme complexe d’obfuscation spécifiquement optimisée pour contrer l’analyse de trafic opérée par l’IA.

La protection post-quantique, quant à elle, répond à des enjeux futurs qu’il faut anticiper dès aujourd’hui. Dans le cas de Mullvad, elle génère des tunnels VPN sécurisés à l’aide du système de chiffrement asymétrique McEliece.

Dans un cas comme dans l’autre, tout est préconfiguré par Mullvad. Il suffit d’activer DAITA et/ou le bouclier post-quantique dans les Paramètres > Paramètres VPN > Paramètres de WireGuard.

Support technique

À application minimaliste, service client minimaliste. Mullvad se passe du live chat, mais tient un service client réactif par mail (en anglais). Contactée pour le remboursement de l’abonnement dans le cadre de la garantie de satisfaction, l’assistance a répondu en cinq minutes montre en main, et accédé à notre demande aussi rapidement que nous l’avions formulée.

Test de vitesse

Pour la rédaction de cet avis, nos tests de vitesse ont été menés sur un MacBook Air (M1, 2020), équipé d’une connexion fibrée et filaire (débit descendant annoncé : 1 Gb/s ; débit ascendant annoncé : 700 Mb/s).

Afin d’obtenir des résultats aussi neutres que possible, nous avons effectué des relevés sur le site nPerf, trois fois par jour (9h, 13h, 18h) pendant cinq jours, sans et avec VPN, pour Wireguard et OpenVPN (TCP). Pour les mesures avec VPN, nous avons choisi de tester les serveurs automatiquement attribués par Mullvad en France, aux États-Unis, au Royaume-Uni et au Japon.

C’est bien simple, à ce jour, Mullvad est le fournisseur VPN qui offre les meilleurs débits WireGuard. En France (down : 868,88 Mb/s ; up : 608,15 Mb/s) et au Royaume-Uni (down : 822,70 Mb/s ; up : 534,27 Mb/s), les écarts de vitesse avec la connexion d’origine sont quasiment inexistants, alors que l’on note une dégradation générale avoisinant les 10% en download, et 20% en upload. Au regard de ce que proposent ses concurrents les plus populaires, c’est remarquable. À plus forte raison quand on sait que la protection post-quantique opère automatiquement.

Les performances aux États-Unis (down : 720,91 Mb/s ; up : 381,23 Mb/s) épatent tout autant. C’est logiquement un peu moins bon au Japon (down : 299,85 Mb/s ; up : 22,47 Mb/s), mais rien qui ne soit incohérent vis-à-vis de la distance qui nous sépare du pays.

En revanche, nous avons observé des pings globalement élevés pour WireGuard, alors qu’ils devraient se rapprocher sensiblement de ceux de la connexion d’origine pour les emplacements les plus proches de notre localisation réelle. Sur ce point, ses rivaux font mieux.

Les résultats sont naturellement moins spectaculaires avec OpenVPN, le protocole ayant un impact plus lourd sur les connexions de manière générale, quel que soit le service utilisé. La comparaison avec la concurrence permet toutefois de statuer sur une bonne intégration de la techno, avec des débits VPN ascendants et descendants largement maîtrisés en France et au Royaume-Uni.

C’est toutefois plus décevant aux États-Unis (down : 59,50 Mb/s ; up : 19,15 Mb/s), et logiquement très faible au Japon (down : 19,52 Mb/s ; up : 2,52 Mb/s).

Étonnamment, les pings en France et au Royaume-Uni sont bien meilleurs ici qu’avec WireGuard. Aux USA et au Japon, ils correspondent à ce que l’on présumait.

Il faut avouer que même s’ils restent honorables, les débits relevés en 4G (WireGuard) nous ont laissés sur notre faim. On peine à atteindre les 30 Mb/s en download et les 3,3 Mb/s en upload, là où les autres fournisseurs proposent mieux. Côté ping, c’est la catastrophe : 125 ms de latence, c’est bien trop élevé.

Test de sécurité

Fuites DNS, WebRTC et IPv6

Pour contrôler les fuites DNS (le trafic VPN ne passe plus par les serveurs DNS sécurisés du service, mais par ceux du FAI, révélant du même coup l’identité de l’internaute, la géolocalisation de l’appareil et les informations de connexion liées à la requête DNS), nous sommes passés par la plateforme dnsleaktest.com (éditée par IVPN).

Les fuites WebRTC (technologie de mise en relation en temps réel de deux navigateurs web par le biais d’un serveur. Peut notamment révéler la véritable adresse IP de l’internaute) ont été vérifiées à l’aide de browserleaks.com.

Les fuites IPv6 ont spécifiquement été testées à l’aide du site IPv6leak.com (édité par PIA).

À l'issue des différents tests menés sur plusieurs jours et de manière aléatoire, nous n'avons relevé aucune anomalie. Mullvad est un service fiable.

Siège social, politique de confidentialité et audit

Autant le dire tout de suite, la juridiction dont dépend Mullvad n’est pas franchement un argument sa faveur. Le fournisseur est donc basé en Suède, pays membre des 14 Eyes. Malgré tout, un certain nombre de ses caractéristiques en font objectivement un réseau privé virtuel de confiance. On commencera donc par préciser sur le code de Mullvad est open source, et que l’entreprise n’hésite pas à se plier régulièrement à l’exercice de l’audit. Le dernier date du 27 juin 2024 et a permis à Cure53 de vérifier la sécurité de son infrastructure. Les éventuels problèmes remontés par le cabinet ont été corrigés dans la foulée.

Le précédent contrôle remontait à l’été 2023, période durant laquelle Mullvad avait aussi fait examiner ses services de facturation. Dans l’ensemble, on peut donc statuer sur la bonne tenue d’un service a priori transparent, qui, rappelons-le, se revendique no-log.

Autre point fort de Mullvad en termes de sécurité et de confidentialité : sa prise en charge de moyens de paiement anonymes. On pense bien sûr au support pour les cryptomonnaies, mais aussi à la possibilité de régler ses achats en cash. C’est plutôt surprenant, mais pour qui souhaite limiter son empreinte en ligne, un tel parti pris est plus que bienvenu. Si l’on y ajoute le mode de création de compte sans adresse mail, avec création aléatoire d’un identifiant, force est de reconnaître que Mullvad fait partie des VPN les plus attentifs au respect de l’anonymat. Et pour couronner le tout, le fournisseur dispose d’un service onion.

Mullvad pour le streaming

Pas de serveurs optimisés pour le streaming, mais une qualité de connexion qui permet de visionner du contenu multimédia en ligne sans aucune difficulté. Mullvad parvient à accéder à Netflix US et à la plateforme BBC iPlayer. Hélas pour les internautes habitués au service vidéo d'Amazon, le VPN se heurte encore aux mesures anti-proxy de Prime Video.

Mullvad pour le torrent

Pour comparer les performances en P2P, nous avons mesuré les temps de téléchargement d'une ISO de 6 Go (Ubuntu 24.04) à l'aide de qBittorrent, avec et sans VPN. Nous avons laissé le VPN sélectionner le meilleur emplacement et le meilleur protocole. Cette méthodologie a été suivie sur trois jours consécutifs, chaque matin.

Afin d'obtenir un graphique comparatif cohérent, nous avons rapporté les temps de téléchargement en pourcentages, de manière à obtenir un taux d'évolution représentatif de l'impact du VPN sur la connexion d'origine. Dans cette configuration, plus les valeurs affichées sont basses, meilleur est le service.

Là encore, Mullvad ne propose pas de serveurs optimisés pour le P2P. Malgré tout, les résultats obtenus placent Mullvad dans la catégorie des champions, alors que l’on observe une différence de temps de téléchargement extrêmement faible entre les connexions avec VPN et sans VPN (8%). Pour le situer vis-à-vis de la concurrence, Mullvad fait trois fois mieux que Proton VPN, quatre fois mieux que NordVPN et sept fois mieux qu’ExpressVPN. Dans la pratique, ces très bonnes performances se sont traduites par un écart de moins de dix secondes entre les téléchargements sans VPN et ceux avec.

Mullvad sur iPhone ou Android

On s’attache souvent à vérifier que les interfaces desktop et mobiles des clients VPN soient cohérentes pour offrir aux internautes un environnement familier quel que soit l’appareil utilisé. Et le moins que l’on puisse dire, c’est que Mullvad respecte le contrat à la lettre. Sur ordinateur comme sur smartphone, l’affichage est strictement identique, tout comme l’organisation des fonctionnalités et des menus. Seule différence : les versions mobiles ne prennent pas en charge OpenVPN, WireGuard étant l'unique protocole disponible sur Android et iOS.

Les autres fonctionnalités de Mullvad

Outre l’ensemble des fonctionnalités évoquées précédemment, Mullvad embarque un kill switch (coupe-circuit) activé par défaut, un mode de verrouillage bloquant systématiquement toute connexion à Internet lorsque le réseau privé virtuel n’est pas connecté, des fonctions de multihop (points d'entrée et de sortie personnalisables), une option de split tunneling permettant d’alléger la connexion protégée grâce à l’exclusion manuelle d’applications en dehors du tunnel VPN, ainsi qu’un bloqueur de contenus DNS regroupant divers outils de sécurité et de confidentialité renforcées (anti-pub, anti-tracker, anti-malware). On en profite pour préciser que Mullvad fait partie des rares fournisseurs de réseau privé virtuel à prendre en charge IPv6 en parallèle d’IPv4.