Mullvad VPN AB est une filiale en propriété exclusive d'Amagicom AB, fondée en 2009 à Göteborg, en Suède, par Fredrik Stromberg et Daniel Berntsson, qui détiennent chacun exactement 50 % des parts. Il n'existe aucun investisseur externe, aucun capital-risque, et aucun projet d'acquisition. La société ne gère pas de programme d'affiliation — ce qui signifie que les sites de comparaison ne perçoivent aucune commission en le recommandant, ce que certains estiment être la cause d'un nombre moindre d'avis élogieux sur les plateformes de comparaison monétisées.
Le modèle de compte est le plus anonyme du secteur. L'inscription génère un numéro aléatoire — aucune adresse e-mail, aucun nom, aucune donnée personnelle n'est requise. Le paiement peut être effectué en espèces envoyées par courrier dans dix devises, en Monero, en Bitcoin ou par des méthodes traditionnelles. Cette combinaison fait de Mullvad le seul grand VPN où une utilisation véritablement anonyme est réalisable sans friction.
La validation la plus concrète de la politique sans journaux de Mullvad est intervenue le 18 avril 2023, lorsqu'au moins six agents du Département national des opérations de Suède (NOA) ont perquisitionné les bureaux de Mullvad à Göteborg avec un mandat de perquisition visant à saisir des ordinateurs contenant des données clients dans le cadre d'une enquête criminelle allemande. Mullvad a démontré aux procureurs qu'aucune donnée client n'existait. Les policiers sont repartis les mains vides. Il s'agit sans doute de la preuve de politique sans journaux la plus convaincante qu'un VPN ait jamais produite — plus probante qu'un audit, car elle était contradictoire plutôt que coopérative.
L'infrastructure technique reflète la même philosophie. Tous les serveurs fonctionnent en mode RAM uniquement grâce au chargeur d'amorçage System Transparency, effaçant toutes les données au redémarrage. Mullvad possède physiquement des serveurs dans des emplacements clés de l'UE, notamment en Allemagne, en France, en Finlande et en Suède. Les serveurs restants sont des locations dédiées (non partagées), sans aucun emplacement virtuel. Toutes les applications clientes sont open-source sur GitHub et ont été auditées à plusieurs reprises par Cure53, Assured AB, Atredis Partners et Radically Open Security.
DAITA (Defense Against AI-guided Traffic Analysis), lancé en mai 2024 avec une mise à jour v2 en mars 2025, est véritablement novateur. Il remboure tous les paquets à une taille constante et injecte du trafic factice aléatoire dans les deux sens, perturbant la reconnaissance de schémas utilisée par les systèmes de surveillance basés sur l'IA pour identifier l'activité des utilisateurs VPN, même à travers des tunnels chiffrés. Fondé sur le cadre académique Maybenot, évalué par des pairs, il répond à une menace que la plupart des VPN ne reconnaissent pas.
L'approche privilégiant WireGuard a produit des vitesses élevées lors des tests : BleepingComputer a mesuré une moyenne de 666 Mbps à l'échelle mondiale, avec une dégradation minimale vers Hong Kong (676 Mbps). vpnMentor a enregistré des chiffres plus faibles avec une perte de vitesse de 27 à 45 %, probablement en raison de bases de référence et de méthodologies différentes. OpenVPN a été entièrement abandonné en janvier 2026 — Mullvad ne prend désormais en charge que WireGuard, ce qui peut affecter les utilisateurs disposant de routeurs anciens ou de configurations héritées.
Le streaming est la faiblesse délibérée de Mullvad. Il ne peut pas débloquer de manière fiable Netflix US, Hulu, Amazon Prime Video, Disney+ ou la plupart des grandes plateformes de streaming. Il ne s'agit pas d'une défaillance technique, mais d'un choix conscient — Mullvad n'investit pas dans la rotation d'adresses IP ni dans une infrastructure dédiée au streaming, car cela entrerait en conflit avec son modèle axé sur la confidentialité. Certains services britanniques (BBC iPlayer, ITV, Channel 4) fonctionnent de manière intermittente.
Le transfert de port a été supprimé le 1er juillet 2023 en raison d'abus — des utilisateurs hébergeaient des contenus et des services malveillants, entraînant des contacts avec les forces de l'ordre, des mises sur liste noire d'adresses IP et des hébergeurs annulant les contrats de serveurs de Mullvad. Cette suppression a suscité une vive opposition de la part d'utilisateurs légitimes qui en avaient besoin pour le torrenting et l'auto-hébergement, poussant certains à migrer vers AirVPN ou Windscribe.
Le tarif fixe de 5 EUR/mois (~5,50 $) sans réduction à long terme est à la fois un atout et un inconvénient. Il est transparent et honnête — sans tarif de renouvellement trompeur. Mais il est plus coûteux sur deux ans que NordVPN, Surfshark, PIA ou CyberGhost sur leurs offres d'introduction. Mullvad compte environ 68 000 abonnés actifs, ce qui en fait un acteur de niche par rapport aux 15 millions estimés de NordVPN.
L'appartenance de la Suède aux 14 Yeux est une préoccupation théorique, mais la minimisation extrême des données pratiquée par Mullvad — pas de comptes, pas de journaux, pas de métadonnées stockées — signifie qu'il n'existe rien dont on pourrait contraindre la divulgation. Le support est uniquement disponible par e-mail avec des délais de réponse de 12 à 24 heures, et le maximum de 5 connexions simultanées est inférieur à la norme du secteur de 10 connexions ou plus.
Le partenariat avec Tailscale (septembre 2023) permet aux utilisateurs du réseau maillé Tailscale d'acheminer leur trafic sortant via les serveurs WireGuard de Mullvad, étendant ainsi la confidentialité de Mullvad à une infrastructure réseau existante. Le Mullvad Browser, un fork de Firefox co-développé avec le Projet Tor, offre une résistance supplémentaire aux empreintes numériques pour la navigation web.