NordVPN مقابل Opera VPN

إشارة الكناري، والربع الذي حلّ محلها. أوقفت الصفحة نفسها إشارة أمر الإفصاح (P07=removed) لصالح تقارير شفافية ربع سنوية؛ ويُظهر أحدث ربع مكتمل (أبريل–يونيو ٢٠٢٦) ٨٥ استفسارًا حكوميًا و٠ إفصاح، ولذلك فإن P08/P09 يخصّان تلك الفترة، لا الرقم طوال الفترة.

الهند، ونظام الأوامر السرية. ‏P04=withdrew_physical هو خروج الهند في يونيو ٢٠٢٢. ويستند P11=none_known إلى بيان الصفحة بأن NordVPN لم تتلقَّ أي National Security letters أو أوامر عدم إفصاح ملزمة، وإلى عدم وجود نظام من هذا النوع في Panama.

مستوى ضمان لا يمكن لأحد التحقق منه. تصف NordVPN مهمة Deloitte Lithuania بأنها مهمة ضمان معقول بموجب ISAE 3000 (Revised)، وهو الشكل الأقوى؛ بينما ينص تقرير PIA، الذي يمكن قراءته، على استنتاج ضمان محدود.

لماذا لا تُحتسب الصيغة الأقوى. يسعّر النموذج الآن ذلك الفرق، ولا تستفيد منه هذه القائمة: V15_assurance_strength غير معروف لأن التصريح الوحيد عن المستوى صادر عن NordVPN نفسها، ويتعلق بتقرير لا يستطيع أي شخص خارج Nord Account فتحه. الوثيقة المحجوبة خلف تسجيل الدخول ليست دليلًا هنا على أي مستوى، ولذلك يُحتسب هذا الالتزام وفق معيار السوق لا وفق المستوى الذي يُقال إنه بلغه.

تقرير محجوب خلف تسجيل الدخول. لا يمكن قراءة التقرير نفسه إلا بعد تسجيل الدخول إلى Nord Account، ولذلك لم يتحقق أي شخص خارج تلك العلاقة من نطاقه، وتستند كل حقول التدقيق هنا إلى ملخص NordVPN نفسها له بدلًا من الوثيقة. وهذا، لا وجود نتيجة ضد الخدمة، هو سبب كون هذا السجل الأقل أدلة في القائمة.

حقول الجهة المالكة. M11_owner_jurisdiction وX04_owner_group_history غير معروفين: يذكر كل من nordvpn.com وnordsecurity.com أن Nord Security هي الجهة المالكة، لكن لا يذكر أيٌّ منهما الولاية القضائية الخاصة بتأسيس Nord Security نفسها أو أي سجل سابق للمجموعة؛ وتربط الصحافة الثانوية كيانًا قابضًا باسم 'Cyberspace' بهولندا منذ اندماج 2022، لكن لم يُؤكَّد ذلك مقابل صفحة أساسية لـNord Security أو NordVPN خلال الوقت المتاح.

ما تعذّرت قراءته بالكامل. لا يمكن قراءة النص الكامل لتقرير Deloitte لعام 2025 على الإطلاق (محجوب بتسجيل الدخول)، ولذلك لا يُسجَّل أي استنتاج بشأن الاحتفاظ بالبيانات يتجاوز مُعلَن السياسة نفسها في C01_linkable_retention.

جدول الخوادم الذي لم يُفتح. C09b_mandate_hosting غير معروف: يعرض جدول الخوادم المباشر لكل دولة حالة الخوادم الفعلية/الافتراضية لمنطقة الأمريكتين فقط في حالة لوحة الطي التي استطاع هذا التدقيق عرضها؛ أما أقسام أوروبا وآسيا والمحيط الهادئ وأفريقيا/الشرق الأوسط (التي تشمل عدة دول خاضعة للإلزام القانوني تخدمها الأسطول، مثل AE وIN وTR وVN وIQ وKZ وفقًا لـservers API) فتُحمَّل من جهة العميل عند النقر ولم تُوسَّع.

تُركت غير معروفة بدلًا من إعلانها. لم يُؤكَّد C04-C07 وU06 (دليل الرقابة) وU11 وV12-V14 وX06 وX07 وX10 وX11 بشكل مستقل مقابل وثيقة أساسية، وتُركت غير معروفة بدلًا من إعلانها استنادًا إلى تغطية ثانوية.

شُكٌّ واحد تُرك مفتوحًا ولم يُحتسب. يظل شك واحد مفتوحًا بشأن X12 من دون احتسابه: يعلن نموذج أمان البيانات في Play للتطبيق com.nordvpn.android أن Installed apps ضمن التحليلات على Android، بينما يذكر إشعار خصوصية NordVPN التطبيقات المثبتة في موضع واحد فقط — فحص الثغرات الخاص بمكافحة البرمجيات الخبيثة — ويحصر معالجة أسماء التطبيقات وإصداراتها في Windows.

لماذا لا يزال يظهر كتطابق. الفئة مُعلَن عنها وليست غائبة، ولا يصدر R28 حكمًا بسبب اختلاف نطاق المنصة، ولذلك تظهر القيمة matches_policy؛ لكن الغرض على Android ليس الغرض الذي يصفه الإشعار، ولا تستطيع إلا NordVPN تحديد أيّ العبارتين كُتبت على نحو خاطئ.

التقرير الذي سيحرّك أربعة حقول. تقرير Deloitte هو الوثيقة الأخرى التي ستحرّك عدة حقول دفعة واحدة: V04 وV07 وV11 وV15 كلها غير معروفة فقط لأنه غير منشور، وV11 خصوصًا هو الحقل الذي يستند إليه ادعاء عدم تسجيل السجلات بأكمله.

ما لا يملك وثيقة. لا يملك U07 أي وثيقة، وكذلك C13 الكامن وراءه: تسمّي Opera AES-256 و«نفقًا آمنًا» ولا تذكر بروتوكولًا قط، ولذلك فإن أضعف وسيلة نقل معروضة غير مثبتة. وU08 وU09 وU12b غير مملوءة للسبب نفسه — فجدول مقارنة الميزات في صفحة المنتج يضع علامات صح على الصفوف، لكن الترميز المجلوب لا يحملها، وقراءة علامات الصح من صورة مُصيّرة ليست مصدرًا.

خوادم موصوفة، لا أدلة عليها. لا تستند C02 وC06 وC08 إلى شيء: تقول Opera إن الخوادم مادية ومملوكة لها، وهذا لا يحسم شيئًا بشأن القرص أو DNS أو الجهة المالكة للمعدات. لا يمكن الإجابة عن C09b ما دام U02 غير معروف.

متجر واحد، لا اثنان. جرى الاطلاع على نموذج سلامة البيانات في Google Play فقط؛ ولم تُقرأ تسميات الخصوصية في App Store لمتصفح iOS، لذلك يستند X12 إلى متجر واحد لا إلى الأسوأ بين المتجرين.

قراءتان لا تصريحات. استُدل على Linux في U01 من دليل مساعدة سطح المكتب، الذي يوثّق VPN ويغطي Windows وmacOS وLinux معًا من دون فصل حسب المنصة؛ وقد سُمّي Android وiOS صراحةً في إعلان التدقيق. وU10 غير محدود لأنه لا يوجد حساب ولا حد للأجهزة لفرض أحدهما، وهذه قراءة للمنتج لا رقم مُعلن.

كان اختراق مركز بيانات Finland في 2018 عملية اختراق من طرف ثالث، وليس مصادرة من جهات إنفاذ القانون — وسُجّل ضمن P12_case_history على أنه kind=breach، لا P01_seizure_event. ويتفق سرد NordVPN نفسه (nordvpn.com/blog/official-response-datacenter-breach/) والتغطية المعاصرة من Bloomberg على أن الإفصاح جاء بعد ادعاءات على Twitter من باحثين خارجيين، لا بمبادرة NordVPN نفسها — ومن ثم third_party_disclosed بدلًا من self_disclosed_late.

تشترك NordVPN وSurfshark في مجموعة مالكة هي Nord Security، لكن إعلان الاندماج الصادر عن الشركتين نفسيهما ينص على بنية تحتية وخرائط طريق للمنتجات منفصلة؛ ولذلك ضُبط M18 على الفصل على هذا الأساس.

X02 هو النتيجة المحورية، والوثيقتان اللتان تستندان إليها من Opera نفسها. يقتبس إعلان 2024 رأي Deloitte على النحو التالي: "صُمّم تكوين أنظمة تكنولوجيا المعلومات وإدارة عمليات تكنولوجيا المعلومات الداعمة ونُفّذا على نحو ملائم، من جميع النواحي الجوهرية، استنادًا إلى المعايير الموضحة في Management Assertion الخاصة بـ Opera، اعتبارًا من 10 أغسطس 2024"، وينسب بشكل منفصل الجملة "لا توجد وظيفة لتسجيل البيانات مدمجة في خدمة VPN، ولا تُجمع أي بيانات على الإطلاق" إلى Management Assertion الخاصة بـ Opera.

يعيد منشور 2026 سرد التدقيق نفسه على أن فريق Deloitte هو الذي توصل إلى النتيجة: "لقد منحنا فريق Deloitte وصولًا كاملًا إلى بنية VPN التحتية وبنية الخوادم لدينا، وتمكنوا من التحقق من ادعائنا ... وفي الواقع، لا تكون وظيفة تسجيل البيانات مدمجة في VPN أصلًا." كما يحوّل المنشور نفسه نافذةً يؤرخها منشور 2024 من 18 يونيو إلى 10 أغسطس 2024 إلى "وصول كامل".

تصف Opera ما أعلنته هي نفسها بأنه استنتاج مدققها. ولهذا ينقسم قسم VERIFY بالطريقة التي ينقسم بها. V01 هو yes_verified استنادًا إلى تقرير فُتح فعليًا — ملخص الإدارة المنشور الخاص بـ Cure53 لتقييمها في مارس 2022 — وليس استنادًا إلى إعلان Deloitte.

تقرير Deloitte نفسه غير منشور في أي مكان، ولذلك فإن V02 هو press_only، ويظل كل حقل يمثل نتيجة لذلك التقرير لا حقيقة عن مهمة التدقيق غير معروف: تغطية الأسطول (V04)، معيار التأكيد (V07)، ما يذكر التقرير أنه محتفظ به (V11)، وقوة الرأي (V15).

تؤخذ وقائع مهمة التدقيق — الشركة، وفئتها، والتاريخ، وما أُدرج على أنه خضع للاختبار — من الإعلان. والمزوّد الذي أعاد توصيف هذا التدقيق بصورة مثبتة مرة واحدة ليس مصدرًا لما خلص إليه التدقيق. C01 هو none_linkable لأن ذلك هو التصريح الوارد في بيان الخصوصية؛ أما V11 فهي النتيجة، ولا توجد نتيجة يمكن قراءتها.

تقرير Cure53 حقيقي، وهو سبب كون V14 هو yes_verified: سبعة مختبرين، وأربعة وعشرون يوم عمل للفرد، واختبار بالصندوق الأبيض عبر أربع حزم عمل تغطي عملاء VPN، وتهيئة الخادم والبنية التحتية، وبروتوكول Opera Mini المستخدم لتسليم تهيئة VPN. أربع عشرة مشكلة ذات صلة بالأمان، ثماني منها ثغرات فعلية، صُنفت خمس منها بدرجة خطورة عالية، ولم تُصنف أي منها حرجة.

اعتبارًا من مارس 2022، أُصلحت تسع منها مع التحقق من الإصلاحات، وأُصلحت واحدة جزئيًا، وقُبلت مخاطر ثلاث، وتبين أن واحدة إنذار كاذب، وكانت واحدة لا تزال قيد التنفيذ. وتقول مدونة Opera إن البنود السبعة المتعلقة مباشرة بـ VPN في المتصفح «حُلّت جميعًا لاحقًا»، ويؤكد الجدول ذلك — إذ يقع المتبقي في حزمة عمل Opera Mini، لا في VPN نفسه.

الملكية مفصح عنها بالكامل وتنتهي في بلد من بلدان الإلزام، ولهذا يشير X03 وC11 إلى اتجاهين متعاكسين من دون أن يتناقضا.

الجهة المتحكمة في البيانات المسماة في بيان الخصوصية الخاص بـ Opera هي Opera Norway AS، وهي شركة نرويجية، وقد أُودع تقرير الشفافية باسمها.

الشركة القابضة هي Opera Limited، وهي شركة معفاة تأسست في جزر كايمان في مارس 2018 ولا تملك عمليات جوهرية خاصة بها. ويسمي Form 20-F لعام 2025 شركة Hong Kong Kunlun Tech Holding Limited مساهمًا رئيسيًا بنسبة 68.0%، وهي شركة تابعة لـ Kunlun Tech Co., Ltd. تأسست في PRC، وينص على أن Kunlun «هي الشركة الأم النهائية لـ Opera وتخضع لسيطرة رئيس مجلس إدارة Opera التنفيذي».

لذلك فإن M06 هو NO وC10 هو no، بينما M11 هو CN وC11 هو yes.

يمثل C12 أشد فجوة بين إعلان VPN والتطبيق الذي يوجد بداخله. يعلن قسم VPN في بيان الخصوصية عدم تسجيل أي بيانات؛ لكن قسماً مختلفاً من الوثيقة نفسها يقول إنه عند تثبيت تطبيق Opera «يُنشأ معرّف تثبيت عشوائي. نجمع هذا المعرّف، بالإضافة إلى Machine ID، ومواصفات الأجهزة (الطراز، وتاريخ الإصدار، وغير ذلك)، ونظام التشغيل، وتهيئة البيئة، وبيانات استخدام الميزات»، ويُحتفظ بها لمدة تصل إلى ثلاث سنوات.

إن Machine ID مشتق من الأجهزة، ولذلك فإن المعرّف الذي يحتفظ به المزوّد هو persistent_hardware_id وليس معرّفاً عشوائياً خاصاً بالتطبيق، بصرف النظر عما يسجله النفق أو لا يسجله.

يقارن X12 بين وثيقتين أودعتهما Opera بنفسها. يعلن نموذج Play لسلامة البيانات للتطبيق com.opera.browser جمع التطبيقات المثبتة لأغراض Analytics، ولا يذكر بيان الخصوصية إطلاقاً جمع التطبيقات المثبتة على الجهاز. التطبيقات المثبتة سلوك وليست معرّفاً، ومن ثم فهي undisclosed_behaviour.

يعلن النموذج نفسه مشاركة معرّفات الجهاز أو المعرّفات الأخرى مع شركات أخرى لأغراض الإعلانات، وهذا ما يضع C07a في ads. ويستند C07b إلى شيء أضيق نطاقاً، ولذلك وُسِم بـ B: المضيف الوحيد التابع لطرف ثالث في الترميز المقدَّم لصفحة المنتج هو Google Tag Manager، ولم تُعدَّد محتويات ما يحمّله ذلك الحاوي أثناء التشغيل.

إن U02 غير معروف بحكم تصميم المنتج، لا بسبب فشل البحث: يقدّم VPN المجاني ثلاث مناطق — وتسميها Opera America وAsia وEurope — ولا يذكر أي دولة. وينتج عن ذلك C09 وC09b، ولا يمكن حسمهما ما دام هذا الوضع قائماً.

إن X05 هو ads_supported في الشرح الخاص بـ Opera، الذي يضع الإعلانات أولاً بين ثلاثة مصادر للإيرادات، ويصف Opera Ads بجمع معرّف مستخدم مُنشأ عشوائياً، والمدينة أو الدولة، وفئات عامة من المواقع التي جرى تصفحها، مع الاحتفاظ بها لمدة تصل إلى عام؛ وبالاقتران مع U05 = unlimited_free، فهذه هي الحالة التي وُجد R15 تحديداً للإشارة إليها.

إن X06 هو ادعاء منشور عام 2026 بأن AES-256 «سيستغرق من المخترق، حتى باستخدام أسرع حاسوب، أكثر من مليار سنة لكسره». أما X09 فهو self_disclosed_prompt في منشورين من عام 2026 نشرت فيهما Opera ثغرات كان باحثون من خارجها قد أبلغوها بها، إلى جانب التحليل والإصدار الذي أُصلحت فيه — وهذه ثغرات في المتصفح وليست حوادث VPN، ولا تُعرف أي حادثة VPN.

‏C05 هو not_sold. لا تتضمن خدمة VPN المجانية أي خطوة دفع على الإطلاق — لا اشتراك ولا حساب — ولذلك لا يوجد ما يمكن دفعه بشكل مجهول أو غير ذلك.

كُتب هذا السجل أولًا على أنه none، وهو ما يُفهم منه أن «وسائل الدفع المحددة فقط متاحة»، وهذا غير صحيح هنا، لأن المفردات لم تكن تتضمن رمزًا لخدمة لا تتقاضى أي أموال؛ وكان unknown سيعني أن البحث أخفق، وهو ما كان غير صحيح أيضًا، وبين تفسيرين خاطئين سُجّل التفسير الذي يخطئ ضد المزوّد. الرمز موجود الآن، والأسعار فيه لا شيء، وهذه هي الإجابة الصادقة: حيث لا يوجد دفع، لا توجد هوية دفع يمكن تسريبها.