Mullvad VPN a révélé en mai 2026 une faille de fingerprinting permettant à un site web de relier l’activité d’un utilisateur entre différents serveurs Mullvad, ce qui compromettait précisément l’intérêt de changer de serveur pour séparer ses sessions. Un chercheur en sécurité indépendant a signalé le problème le 15 mai, et Mullvad l’a reconnu et publié une explication technique en quelques jours, une rapidité de réponse qui compte dans la suite de cette histoire.
Ce que fait vraiment la faille
Mullvad attribue à chaque appareil connecté une IP de sortie tirée d’une plage disponible sur le serveur utilisé. Selon l’explication de Mullvad et le reportage de Tom’s Guide, cette attribution n’est pas aléatoire : la position relative d’un appareil au sein de la plage d’un serveur se retrouve à peu près à la même position sur un autre serveur. Si un appareil se situe au 40e percentile de la plage du serveur A, il se retrouvera environ au même percentile sur le serveur B.
Un site observant le trafic d’un utilisateur sur deux serveurs Mullvad différents pourrait utiliser cette position constante pour déduire que les deux sessions viennent du même appareil, sans avoir besoin d’un cookie, d’une connexion à un compte, ni de l’adresse IP réelle de l’utilisateur à aucun moment. La faille n’expose ni l’identité ni l’IP réelle d’un utilisateur. Elle contredit l’attente précise selon laquelle changer de serveur crée une vraie rupture entre les sessions.
Pourquoi l’architecture propre de Mullvad a créé cette ouverture
La plupart des fournisseurs de VPN attribuent une seule IP de sortie partagée par serveur. Mullvad exploite au contraire une plage d’adresses de sortie par serveur, spécifiquement pour réduire la surcharge sur une IP unique et éviter les blocages massifs par les systèmes de streaming et anti-fraude. Ce choix de conception, pensé comme une amélioration de confidentialité et de fiabilité, est précisément ce qui a rendu possible une attribution positionnelle prévisible, puisque la méthode sous-jacente d’allocation d’une adresse au sein de la plage restait la même d’un serveur à l’autre.
La réponse de Mullvad
Mullvad a confirmé publiquement le problème en quelques jours après le signalement du chercheur et a publié une explication technique complète sur son blog, accompagnée d’une mitigation provisoire applicable immédiatement : se déconnecter de l’appli, se reconnecter, puis se reconnecter au serveur régénère la clé WireGuard de l’appareil, ce qui casse le schéma positionnel à l’origine du fingerprinting.
Un correctif permanent, côté serveur, est déployé progressivement depuis la révélation et ne nécessite aucune mise à jour de l’appli. Mullvad a maintenu une page de statut à jour au fur et à mesure que les serveurs sont corrigés.
Que doivent faire les utilisateurs de Mullvad
Pour la plupart des utilisateurs, cette faille ne demande aucune action : elle ne compte que si vous changez spécifiquement de serveur dans le but de séparer votre activité en ligne en sessions non reliables. Si c’est votre cas, le correctif provisoire est simple : ouvrez l’appli, déconnectez-vous, reconnectez-vous, puis connectez-vous à votre nouveau serveur. Ça régénère votre clé et réinitialise le schéma avant de démarrer une nouvelle session.
Ce que ça dit de la réputation de Mullvad sur la vie privée
Mullvad a l’une des meilleures réputations de l’industrie en matière de confidentialité, bâtie sur une inscription sans email de compte, des options de paiement en espèces et en cryptomonnaie, et une politique no-logs qui a tenu bon quand la police suédoise a perquisitionné ses bureaux en 2023 et n’a rien trouvé à saisir. Cette faille ne change rien à cette architecture de fond. Ce qu’elle montre, c’est que même des fournisseurs aux réglages de confidentialité vraiment solides peuvent avoir des défauts d’implémentation subtils qui ne ressortent qu’à l’occasion d’un examen indépendant et minutieux, et que la réponse de Mullvad (reconnaissance rapide, détail technique public, et solution immédiate côté utilisateur) est proche de la norme qu’on voudrait de n’importe quel fournisseur face à une révélation de ce type.
Comment la divulgation responsable est censée fonctionner, et pourquoi ça a marché ici
La divulgation responsable veut qu’un chercheur informe l’entreprise concernée en privé avant de publier les détails, lui laissant une fenêtre pour corriger le problème ou au moins préparer une mitigation avant que des attaquants ou des curieux ne puissent agir sur la même information. C’est ce qui s’est passé ici : le chercheur a informé Mullvad, Mullvad a confirmé et commencé à travailler sur un correctif, et ce n’est qu’ensuite que les détails techniques sont devenus publics, accompagnés de l’explication de Mullvad lui-même plutôt que via le seul relais de la presse extérieure. Ce séquençage compte, car il signifie que les utilisateurs de Mullvad ont appris le problème et une solution immédiate en même temps, plutôt que de voir la vulnérabilité circuler publiquement pendant que l’entreprise courait pour rattraper le retard. C’est aussi un rappel utile qu’une vulnérabilité révélée chez un fournisseur de VPN ne le disqualifie pas automatiquement : la façon dont le fournisseur réagit ensuite en dit plus sur sa fiabilité que la simple existence du problème.
Comment ça s’inscrit dans l’historique plus large de Mullvad
Ce n’est pas la première fois que Mullvad affronte un examen public, et il s’en est généralement bien sorti. Quand la police suédoise a perquisitionné son bureau de Göteborg en 2023 dans le cadre d’une enquête criminelle cherchant des données utilisateur, l’architecture no-logs de Mullvad a fait qu’il n’y avait rien à transmettre, un résultat qui a fait plus pour sa crédibilité qu’aucune promesse marketing. La révélation de fingerprinting suit le même schéma : un vrai problème, trouvé par un tiers extérieur, reconnu rapidement, et corrigé au niveau de l’infrastructure sans exiger des utilisateurs de Mullvad qu’ils prennent simplement la parole de l’entreprise pour argent comptant.
La chronologie de la divulgation
- 15 mai 2026 : un chercheur en sécurité indépendant signale en privé la faille de fingerprinting des IP de sortie à Mullvad
- 20 mai 2026 : Mullvad reconnaît publiquement le problème et confirme qu’un correctif est en cours de test
- 21 mai 2026 : Tom’s Guide et d’autres médias couvrent la révélation, avec l’explication technique publiée par Mullvad et les étapes de mitigation provisoire
- En cours depuis mi-2026 : Mullvad déploie progressivement le correctif permanent côté serveur sur l’ensemble de son réseau, suivi sur sa page de statut publique
Est-ce que ça doit changer votre choix de VPN ?
Pas à elle seule. La faille a été révélée de façon responsable, corrigée au niveau de l’infrastructure sans exiger d’action utilisateur au-delà de la solution provisoire, et n’expose ni identités ni adresses IP réelles. C’est un rappel qu’aucune promesse de confidentialité d’un VPN ne devrait être prise sur simple confiance : les audits indépendants et les révélations publiques de vulnérabilités comme celle-ci sont exactement le mécanisme qui fait remonter ce genre de problème plutôt que de le laisser passer inaperçu. Voir notre avis Mullvad pour son positionnement global, faille comprise.
Envie de comparer tous les VPN côte à côte ? Consultez notre tableau comparatif complet avec les scores sur 18 critères.
La faille de fingerprinting des IP de sortie de Mullvad était réelle mais limitée dans sa portée : elle n'expose ni identités ni adresses IP, seulement la possibilité de relier des sessions entre serveurs pour les utilisateurs comptant spécifiquement sur le changement de serveur pour se séparer. La divulgation rapide de Mullvad et le déploiement d'un correctif permanent constituent une réponse raisonnable, et la solution provisoire (se déconnecter puis se reconnecter) referme immédiatement la brèche pour qui en a besoin dès maintenant.
Continuez la lecture : Avis Mullvad VPN 2026 et Un VPN protège-t-il de l’empreinte numérique du navigateur ?.