IVPN مقابل Surfshark

حادثة أغسطس 2026. في أغسطس 2026 استغل مهاجم ثغرةً في BTCPay Server المستضاف ذاتيًا، قبل أن تصبح علنية، واستولى على أموال التشغيل الخاصة بـ Lightning لدى IVPN. نشر IVPN رواية الحادثة بعد أربعة أيام، من تلقاء نفسه، وقصرها على ذلك الجهاز: لم تكن بوابات VPN معنية، ولم يتم الوصول إلى سجلات العملاء، ولم تُفقد أموال العملاء.

لماذا لا يكلّف شيئًا. لا يفرض هذا النموذج أي رسوم مقابل ذلك، وهذه هي النقطة — فالمشغّل الذي يصرّح بذلك بسرعة يتصرف بالطريقة التي يُفترض أن تكافئها القاعدة، وهذا الإدخال موجود هنا لكي يعرف القارئ أن الأمر حدث، لا لتحريك رقم.

ما غطّته المهمتان. يعود اختبار اختراق التطبيق (iOS وAndroid وElectron والبرنامج الخفي) إلى مارس 2022، وتعود مراجعة البوابة ونظام تشغيل الخادم إلى فبراير 2023؛ ولم يختبر أيٌّ منهما ادعاء عدم الاحتفاظ بالسجلات نفسه، ويقول تقرير 2023 ذلك صراحةً، ولذلك يستند الاحتفاظ بالبيانات إلى إقرار سياسة الخصوصية وحده.

التقرير الأحدث ليس التقرير ذي الصلة. اختبر التعاقد في أبريل 2024، وهو السادس لـ Cure53 مع IVPN، موقع حسابات العملاء وواجهة API والاستضافة؛ وتسمّي صفحة النطاق الخاصة به تطبيقات العملاء وخوادم VPN خارج النطاق، لذلك لا يوسّع أدلة التطبيق أو البوابة، ويقرأ V03_audit_subject فيه unknown بدلاً من ترحيل ذلك الاعتماد إلى الأمام. أما التعاقد السابع، المتعلق بخدمات البريد الإلكتروني وDNS الجديدة، فلم يُعلَن عنه إلا لشهر مايو 2025؛ ولم يُنشر أي تقرير عنه.

ما لا يثبته الموقع الأساسي قط. يُسجَّل RAM-only على أنه جزئي لأن IVPN تصفه بأنه انتقال مع استمرار عمليات النشر الاختبارية، ولم تعلن اكتماله. ملكية أجهزة الخوادم (مؤجَّرة أم مملوكة)، وتعديل حركة المرور عند نقطة الخروج، والولاية القضائية الشخصية للمالك المستفيد غير مثبتة: لا تذكر أي صفحة أساسية لـ IVPN أياً من هذه الأمور الثلاثة، ولا تذكر حجم قاعدة المستخدمين.

ثلاثة حقول تجيب عنها قاعدة المعرفة، لا الصفحات التي قُرئت عند الملء الأول. تخصيص عناوين IP مشترك بحكم التصميم — إذ تجمع «المشاركة» المستخدمين على عنوان واحد للحد من إسناد النشاط. يُسمح بـ P2P في كل مكان، لكن IVPN تطلب من العملاء تجنّب نقاط الخروج في الولايات المتحدة، مستشهدة بضغط DMCA من الجهات المورّدة. لا يوجد ضمان للبث، رغم أن الشركة تقول إن العديد من العملاء يتمكنون من الوصول إليه.

الهند، ونظام الأوامر السرية. P04_mandate_response=withdrew_physical هو خروج الهند في يونيو 2022، وقد أُعيد إثباته من مدونة Surfshark نفسها (surfshark.com/blog/surfshark-servers-certin-india) بعد أن وجدت المراجعة السابقة أن صفحة /trust-center لم تعد تتضمنه. ويستند P11=judicial_only إلى تقرير الشفافية الذي يُظهر أن مذكرة محكمة أمستردام الجزئية في أبريل 2026، وعدّادي خطابات الأمن القومي وأوامر عدم الإفصاح، كانت جميعها عند الصفر.

تقريران عُثر عليهما، وربما ليسا كل التقارير. عُثر على تقريري Deloitte فقط بشأن عدم الاحتفاظ بالسجلات (ديسمبر 2022 ويونيو 2025) منشورين؛ وقد تكون هناك تقارير أخرى غير المرتبطة من robots.txt ولم يبحث عنها هذا التدقيق بوسائل أخرى.

قُرئ هذا السجل سابقًا مرتين — connection_timestamps في V11 استنادًا إلى صياغة التدقيق، وsource_ip في C01 استنادًا إلى صياغة السياسة — واحتُسبت الدرجة عند الأسوأ بين الاثنين، ما جعل مهلة الخمس عشرة دقيقة تكلّف أكثر من عدم قول أي شيء على الإطلاق: فالقيمة الفارغة في C01 هي أسبقية السوق 0.550، وsource_ip هي 0.750.

يرسم R29 الآن الحد الفاصل: ما حُذف ضمن نافذة مُعلنة مرتبطة بنهاية الجلسة هو الاتصال، وليس سجلًّا له، ولذلك يقرأ كلا الحقلين connection_timestamps في الجملة نفسها. وما يزال ما يُحتسب هو ما يتجاوز عمر الجلسة — تاريخ آخر تسجيل دخول في قسم السياسة 2.3.1 والطوابع الزمنية للاتصال التي يسميها المدقق.

تشترك Surfshark وNordVPN في مجموعة مالكة (Nord Security، منذ 2022)، لكن صفحة Surfshark الخاصة بنا تقول إن العلامتين اندمجتا «مع مواصلة العمل باستقلالية» وببنية تحتية منفصلة — لذلك ضُبط M18 على الفصل استنادًا إلى ذلك، بما يطابق سجل nordvpn.com.

U12a جزئي وليس نعم في عمود P2P الخاص بجدول الخوادم نفسه: يحمل 88 بلدًا من البلدان المئة المدرجة هذه العلامة، ولا تحملها اثنا عشر بلدًا (AU, CL, CO, HR, GR, IE, JP, MX, NZ, TW, TR, AE). يُنشأ العمود من جهة العميل، لذلك قُرئ من الجدول المعروض بدلًا من HTML الثابت، حيث يحمل كل صف كل العلامات.

يحمل تقرير الشفافية في /transparency-report — وهو المكان الذي يعيد /warrant-canary التوجيه إليه الآن — ربع أبريل–يونيو 2026 في صورة جدول: 374,719 إشعارًا من DMCA، و33 استفسارًا من مؤسسات حكومية، وأمرًا قضائيًا واحدًا، و0 خطابات للأمن القومي، و0 أوامر عدم إفصاح. يحتسب P08 الطلبات القانونية البالغ عددها 34 ويستبعد إشعارات DMCA: فهي شكاوى حقوق نشر بشأن حركة المرور، وليست طلبات للحصول على بيانات مستخدم.

تذكر الصفحة نفسها أن Surfshark بصدد إيقاف مؤشر الضمان لصالح التقارير الفصلية، ولذلك أُزيل P07 بدلًا من اعتباره لا شيء — فقد كان المؤشر موجودًا وسُحب عمدًا.

يحمل U07_protocols القيمة proprietary بالنسبة إلى Dausos استنادًا إلى كلام Surfshark نفسه — إذ تسمي صفحة البروتوكول Dausos «بروتوكول Surfshark المملوك» ولا تنشر أي مصدر له — وهذه القيمة المفردة هي التي تضبط C13_weakest_protocol والخصم الخاص بالنظافة الذي يترتب عليها. يُبقى على IKEv2 لأن Surfshark ما زالت توثقه، رغم أن مدونتها نفسها تسجل إزالته من تطبيق Windows؛ أما Shadowsocks فقد اختفى من فهرس الدعم وليس مدرجًا.