Mullvad VPN مقابل NordVPN

كان اختراق مركز بيانات Finland في 2018 عملية اختراق من طرف ثالث، وليس مصادرة من جهات إنفاذ القانون — وسُجّل ضمن P12_case_history على أنه kind=breach، لا P01_seizure_event. ويتفق سرد NordVPN نفسه (nordvpn.com/blog/official-response-datacenter-breach/) والتغطية المعاصرة من Bloomberg على أن الإفصاح جاء بعد ادعاءات على Twitter من باحثين خارجيين، لا بمبادرة NordVPN نفسها — ومن ثم third_party_disclosed بدلًا من self_disclosed_late.

تشترك NordVPN وSurfshark في مجموعة مالكة هي Nord Security، لكن إعلان الاندماج الصادر عن الشركتين نفسيهما ينص على بنية تحتية وخرائط طريق للمنتجات منفصلة؛ ولذلك ضُبط M18 على الفصل على هذا الأساس.

لماذا يظهر العدد ثمانية. يبلغ عدد عمليات التدقيق ثمانية لأن مراجعة GotaTun تقع خارج قائمة مستودع التطبيق نفسه. وقبلها، عثرت مراجعة X41 D-Sec التي استغرقت 30 يوم-شخص وشملت المنصات الخمس كلها على ست ثغرات — ثلاث عالية الخطورة، واثنتان متوسطتا الخطورة، وواحدة منخفضة الخطورة، ولا واحدة حرجة.

ما لا تغطيه أي عملية تدقيق. ما لا تغطيه أي من عمليات التدقيق هذه هو أسطول الخوادم: إذ تفحص كل واحدة منها التطبيق أو بروتوكول النفق، ولذلك تُسجّل تغطية الأسطول على أنها غير منطبقة لا على أنها عينة. وبالتالي يستند ادعاء عدم الاحتفاظ بالسجلات من جهة البنية التحتية إلى مذكرة التفتيش الصادرة في أبريل 2023 — جاءت الشرطة السويدية بحثًا عن بيانات العملاء وغادرت من دونها — وليس إلى أي تدقيق.

البنيات القابلة لإعادة الإنتاج، لنظام Android فقط. البنيات القابلة لإعادة الإنتاج مخصصة لنظام Android فقط، ابتداءً من الإصدار 2025.2، ولذلك يظل الحقل جزئيًا؛ ولا يمكن التحقق من بنيات سطح المكتب وiOS بتطابق البتات. تركيا هي بلد الإلزام الوحيد في القائمة المعروضة، والاستضافة المرتبطة بها غير مثبتة.

لا شيء منشور عن الطلبات. لا يستند أي شيء في السجلّ إلى ما ينشره المزوّد عن الطلبات التي يتلقاها: فلا يوجد تقرير شفافية ولا إشارة تحذير من مذكرة تفتيش، ولذلك تحمل مصادرة أبريل 2023 ذلك الأساس وحده. تغطية مفتاح الإيقاف وسياسة P2P غير مثبتتين؛ وأحدث تدقيق هو مراجعة لشفرة بروتوكول، وليس عملية تدقيق لعدم الاحتفاظ بالسجلات، ولذلك يظل V11 صامتًا ويستند الاحتفاظ إلى التصريح.

إشارة الكناري، والربع الذي حلّ محلها. أوقفت الصفحة نفسها إشارة أمر الإفصاح (P07=removed) لصالح تقارير شفافية ربع سنوية؛ ويُظهر أحدث ربع مكتمل (أبريل–يونيو ٢٠٢٦) ٨٥ استفسارًا حكوميًا و٠ إفصاح، ولذلك فإن P08/P09 يخصّان تلك الفترة، لا الرقم طوال الفترة.

الهند، ونظام الأوامر السرية. ‏P04=withdrew_physical هو خروج الهند في يونيو ٢٠٢٢. ويستند P11=none_known إلى بيان الصفحة بأن NordVPN لم تتلقَّ أي National Security letters أو أوامر عدم إفصاح ملزمة، وإلى عدم وجود نظام من هذا النوع في Panama.

مستوى ضمان لا يمكن لأحد التحقق منه. تصف NordVPN مهمة Deloitte Lithuania بأنها مهمة ضمان معقول بموجب ISAE 3000 (Revised)، وهو الشكل الأقوى؛ بينما ينص تقرير PIA، الذي يمكن قراءته، على استنتاج ضمان محدود.

لماذا لا تُحتسب الصيغة الأقوى. يسعّر النموذج الآن ذلك الفرق، ولا تستفيد منه هذه القائمة: V15_assurance_strength غير معروف لأن التصريح الوحيد عن المستوى صادر عن NordVPN نفسها، ويتعلق بتقرير لا يستطيع أي شخص خارج Nord Account فتحه. الوثيقة المحجوبة خلف تسجيل الدخول ليست دليلًا هنا على أي مستوى، ولذلك يُحتسب هذا الالتزام وفق معيار السوق لا وفق المستوى الذي يُقال إنه بلغه.

تقرير محجوب خلف تسجيل الدخول. لا يمكن قراءة التقرير نفسه إلا بعد تسجيل الدخول إلى Nord Account، ولذلك لم يتحقق أي شخص خارج تلك العلاقة من نطاقه، وتستند كل حقول التدقيق هنا إلى ملخص NordVPN نفسها له بدلًا من الوثيقة. وهذا، لا وجود نتيجة ضد الخدمة، هو سبب كون هذا السجل الأقل أدلة في القائمة.

حقول الجهة المالكة. M11_owner_jurisdiction وX04_owner_group_history غير معروفين: يذكر كل من nordvpn.com وnordsecurity.com أن Nord Security هي الجهة المالكة، لكن لا يذكر أيٌّ منهما الولاية القضائية الخاصة بتأسيس Nord Security نفسها أو أي سجل سابق للمجموعة؛ وتربط الصحافة الثانوية كيانًا قابضًا باسم 'Cyberspace' بهولندا منذ اندماج 2022، لكن لم يُؤكَّد ذلك مقابل صفحة أساسية لـNord Security أو NordVPN خلال الوقت المتاح.

ما تعذّرت قراءته بالكامل. لا يمكن قراءة النص الكامل لتقرير Deloitte لعام 2025 على الإطلاق (محجوب بتسجيل الدخول)، ولذلك لا يُسجَّل أي استنتاج بشأن الاحتفاظ بالبيانات يتجاوز مُعلَن السياسة نفسها في C01_linkable_retention.

جدول الخوادم الذي لم يُفتح. C09b_mandate_hosting غير معروف: يعرض جدول الخوادم المباشر لكل دولة حالة الخوادم الفعلية/الافتراضية لمنطقة الأمريكتين فقط في حالة لوحة الطي التي استطاع هذا التدقيق عرضها؛ أما أقسام أوروبا وآسيا والمحيط الهادئ وأفريقيا/الشرق الأوسط (التي تشمل عدة دول خاضعة للإلزام القانوني تخدمها الأسطول، مثل AE وIN وTR وVN وIQ وKZ وفقًا لـservers API) فتُحمَّل من جهة العميل عند النقر ولم تُوسَّع.

تُركت غير معروفة بدلًا من إعلانها.