NordVPN est exploité par NordVPN S.A., enregistrée au Panama et développée par Nord Security, dont le siège social est à Amsterdam. La juridiction panaméenne la place en dehors des alliances Five Eyes, Nine Eyes et Fourteen Eyes. Cependant, l'historique de l'entreprise est plus complexe que celui de la plupart des fournisseurs : NordVPN a été co-fondé par Tomas Okmanas et Eimantas Sabaliauskas, qui ont également co-fondé Tesonet, un incubateur technologique lituanien. Le portefeuille de Tesonet comprend Oxylabs, une société spécialisée dans les proxies résidentiels et l'extraction de données web. Des documents judiciaires issus d'un procès Hola en 2018 ont confirmé que Tesonet était directement impliqué dans les opérations de NordVPN. NordVPN affirme que Tesonet n'a fourni que des services contractuels et n'exerce aucun contrôle sur les politiques du VPN. La communauté de la vie privée reste divisée quant à savoir si cette relation constitue un véritable conflit d'intérêts.
Le bilan des audits est étendu et sans doute le plus complet du secteur. Deloitte a mené six évaluations annuelles consécutives de non-conservation des journaux (2020–2025) selon la norme ISAE 3000, confirmant à chaque fois l'absence d'enregistrement de l'activité des utilisateurs. Cure53 a réalisé un examen complet de l'infrastructure et de la sécurité des applications en 2022, identifiant 22 problèmes d'application et 11 constats d'infrastructure — tous résolus. VerSprite a effectué des tests de pénétration en 2019 et 2021, sans vulnérabilités critiques. AV-Comparatives a testé Threat Protection Pro en 2025, enregistrant un taux de blocage des sites de phishing de 92 %. West Coast Labs a vérifié indépendamment la vitesse, la fiabilité et la sécurité en novembre 2025.
La violation de serveur de 2018 dans un centre de données finlandais reste une tache significative dans le bilan de NordVPN. Un attaquant a obtenu un accès root via un système de gestion à distance non sécurisé installé par le centre de données à l'insu de NordVPN. Bien qu'aucune donnée utilisateur n'ait été compromise — NordVPN ne conservant aucun journal — la société a attendu 18 mois avant de divulguer l'incident publiquement, affirmant avoir eu besoin d'auditer l'ensemble de ses 5 000 serveurs au préalable. Des chercheurs en sécurité ont qualifié ce délai de faute cardinale pour une entreprise axée sur la vie privée. En réponse, NordVPN a mis fin à sa relation avec ce centre de données, est passé intégralement à des serveurs RAM uniquement, a lancé un programme de primes aux bugs et a considérablement augmenté la fréquence de ses audits.
Les performances en matière de vitesse constituent un atout indéniable. NordLynx, le protocole basé sur WireGuard de NordVPN, offre plus de 900 Mbps vers les serveurs à proximité et environ 900 Mbps en traversée transatlantique — parmi les plus rapides du secteur. TechRadar a enregistré des pics dépassant 1 200 Mbps. Le nouveau protocole NordWhisper, lancé en 2025, déguise le trafic VPN en trafic HTTPS ordinaire afin de contourner l'inspection approfondie des paquets dans les régions soumises à une forte censure.
NordVPN a été le premier grand VPN à déployer le chiffrement post-quantique sur toutes les plateformes, en implémentant ML-KEM (CRYSTALS-Kyber, la norme NIST) sur NordLynx en mai 2025. Cela protège contre la menace théorique que représentent les ordinateurs quantiques capables de déchiffrer dans le futur le trafic capturé aujourd'hui — une fonctionnalité tournée vers l'avenir que ProtonVPN et la plupart des concurrents ne proposent pas.
L'infrastructure de serveurs comprend entre 8 000 et 9 000 serveurs ou plus, répartis dans plus de 127 pays, bien que les chiffres exacts ne soient plus publiés. Les serveurs spécialisés incluent les options Double VPN, Onion over VPN, obfusqués, optimisés pour le P2P et à IP dédiée. Meshnet permet des connexions pair-à-pair entre jusqu'à 60 appareils. Le déblocage des services de streaming est systématiquement fiable sur Netflix, Prime Video, Disney+, BBC iPlayer et Hulu.
NordVPN fait face à plusieurs recours collectifs déposés entre avril 2024 et mai 2025, alléguant des pratiques trompeuses de renouvellement automatique. Les griefs spécifiques incluent le fait d'avoir dissimulé les options d'annulation sous quatre niveaux de menus, de renouveler les abonnements 14 jours avant leur expiration sans préavis suffisant, et d'utiliser des mécanismes d'interface manipulateurs pour décourager les annulations. Lors d'un entretien en octobre 2025, NordVPN a reconnu avoir commis une erreur concernant ses communications marketing sur YouTube et le renouvellement automatique.
Les tarifs sont compétitifs lors de la période d'introduction : le plan Basic sur deux ans débute à 3,39 $/mois. Cependant, les prix de renouvellement augmentent considérablement — une pratique courante dans le secteur, mais particulièrement critiquée ici au vu du volume de communications marketing promettant des prix bas. Le niveau Plus inclut NordPass (gestionnaire de mots de passe) et Threat Protection Pro. Les paiements sont acceptés par carte bancaire, PayPal et cryptomonnaie.
La prise en charge des plateformes couvre Windows, macOS, Linux (ligne de commande uniquement — sans interface graphique), iOS, Android et les extensions de navigateur. La parité des fonctionnalités est inégale : le tunnel fractionné, les options avancées de coupe-circuit et les fonctionnalités de Threat Protection varient selon les plateformes. Le chiffrement post-quantique est incompatible avec Meshnet, les IP dédiées et les serveurs obfusqués — une limitation à noter pour les utilisateurs qui dépendent de ces fonctionnalités.
NordVPN a quitté la Russie en 2019 après avoir refusé de rejoindre le registre gouvernemental des sites bloqués, et retire tous ses serveurs en Inde d'ici juin 2026 en réponse au mandat de conservation des données du CERT-In. Ces deux décisions témoignent d'une volonté de privilégier la vie privée plutôt que l'accès aux marchés.
Les avis sur Trustpilot et les discussions sur Reddit révèlent une opinion partagée : les utilisateurs grand public saluent la vitesse et les performances de streaming, tandis que les défenseurs de la vie privée citent la connexion avec Tesonet et le marketing agressif via des influenceurs comme raisons de préférer Mullvad ou ProtonVPN. La stratégie agressive de sponsoring sur YouTube a créé une présence marketing démesurée que certains perçoivent comme le signe d'une priorité commerciale plutôt que d'une priorité accordée à la vie privée.