Opera VPN مقابل Surfshark

X02 هو النتيجة المحورية، والوثيقتان اللتان تستندان إليها من Opera نفسها. يقتبس إعلان 2024 رأي Deloitte على النحو التالي: "صُمّم تكوين أنظمة تكنولوجيا المعلومات وإدارة عمليات تكنولوجيا المعلومات الداعمة ونُفّذا على نحو ملائم، من جميع النواحي الجوهرية، استنادًا إلى المعايير الموضحة في Management Assertion الخاصة بـ Opera، اعتبارًا من 10 أغسطس 2024"، وينسب بشكل منفصل الجملة "لا توجد وظيفة لتسجيل البيانات مدمجة في خدمة VPN، ولا تُجمع أي بيانات على الإطلاق" إلى Management Assertion الخاصة بـ Opera.

يعيد منشور 2026 سرد التدقيق نفسه على أن فريق Deloitte هو الذي توصل إلى النتيجة: "لقد منحنا فريق Deloitte وصولًا كاملًا إلى بنية VPN التحتية وبنية الخوادم لدينا، وتمكنوا من التحقق من ادعائنا ... وفي الواقع، لا تكون وظيفة تسجيل البيانات مدمجة في VPN أصلًا." كما يحوّل المنشور نفسه نافذةً يؤرخها منشور 2024 من 18 يونيو إلى 10 أغسطس 2024 إلى "وصول كامل".

تصف Opera ما أعلنته هي نفسها بأنه استنتاج مدققها. ولهذا ينقسم قسم VERIFY بالطريقة التي ينقسم بها. V01 هو yes_verified استنادًا إلى تقرير فُتح فعليًا — ملخص الإدارة المنشور الخاص بـ Cure53 لتقييمها في مارس 2022 — وليس استنادًا إلى إعلان Deloitte.

تقرير Deloitte نفسه غير منشور في أي مكان، ولذلك فإن V02 هو press_only، ويظل كل حقل يمثل نتيجة لذلك التقرير لا حقيقة عن مهمة التدقيق غير معروف: تغطية الأسطول (V04)، معيار التأكيد (V07)، ما يذكر التقرير أنه محتفظ به (V11)، وقوة الرأي (V15).

تؤخذ وقائع مهمة التدقيق — الشركة، وفئتها، والتاريخ، وما أُدرج على أنه خضع للاختبار — من الإعلان. والمزوّد الذي أعاد توصيف هذا التدقيق بصورة مثبتة مرة واحدة ليس مصدرًا لما خلص إليه التدقيق. C01 هو none_linkable لأن ذلك هو التصريح الوارد في بيان الخصوصية؛ أما V11 فهي النتيجة، ولا توجد نتيجة يمكن قراءتها.

تقرير Cure53 حقيقي، وهو سبب كون V14 هو yes_verified: سبعة مختبرين، وأربعة وعشرون يوم عمل للفرد، واختبار بالصندوق الأبيض عبر أربع حزم عمل تغطي عملاء VPN، وتهيئة الخادم والبنية التحتية، وبروتوكول Opera Mini المستخدم لتسليم تهيئة VPN. أربع عشرة مشكلة ذات صلة بالأمان، ثماني منها ثغرات فعلية، صُنفت خمس منها بدرجة خطورة عالية، ولم تُصنف أي منها حرجة.

اعتبارًا من مارس 2022، أُصلحت تسع منها مع التحقق من الإصلاحات، وأُصلحت واحدة جزئيًا، وقُبلت مخاطر ثلاث، وتبين أن واحدة إنذار كاذب، وكانت واحدة لا تزال قيد التنفيذ. وتقول مدونة Opera إن البنود السبعة المتعلقة مباشرة بـ VPN في المتصفح «حُلّت جميعًا لاحقًا»، ويؤكد الجدول ذلك — إذ يقع المتبقي في حزمة عمل Opera Mini، لا في VPN نفسه.

الملكية مفصح عنها بالكامل وتنتهي في بلد من بلدان الإلزام، ولهذا يشير X03 وC11 إلى اتجاهين متعاكسين من دون أن يتناقضا.

الجهة المتحكمة في البيانات المسماة في بيان الخصوصية الخاص بـ Opera هي Opera Norway AS، وهي شركة نرويجية، وقد أُودع تقرير الشفافية باسمها.

الشركة القابضة هي Opera Limited، وهي شركة معفاة تأسست في جزر كايمان في مارس 2018 ولا تملك عمليات جوهرية خاصة بها. ويسمي Form 20-F لعام 2025 شركة Hong Kong Kunlun Tech Holding Limited مساهمًا رئيسيًا بنسبة 68.0%، وهي شركة تابعة لـ Kunlun Tech Co., Ltd. تأسست في PRC، وينص على أن Kunlun «هي الشركة الأم النهائية لـ Opera وتخضع لسيطرة رئيس مجلس إدارة Opera التنفيذي».

لذلك فإن M06 هو NO وC10 هو no، بينما M11 هو CN وC11 هو yes.

يمثل C12 أشد فجوة بين إعلان VPN والتطبيق الذي يوجد بداخله. يعلن قسم VPN في بيان الخصوصية عدم تسجيل أي بيانات؛ لكن قسماً مختلفاً من الوثيقة نفسها يقول إنه عند تثبيت تطبيق Opera «يُنشأ معرّف تثبيت عشوائي. نجمع هذا المعرّف، بالإضافة إلى Machine ID، ومواصفات الأجهزة (الطراز، وتاريخ الإصدار، وغير ذلك)، ونظام التشغيل، وتهيئة البيئة، وبيانات استخدام الميزات»، ويُحتفظ بها لمدة تصل إلى ثلاث سنوات.

إن Machine ID مشتق من الأجهزة، ولذلك فإن المعرّف الذي يحتفظ به المزوّد هو persistent_hardware_id وليس معرّفاً عشوائياً خاصاً بالتطبيق، بصرف النظر عما يسجله النفق أو لا يسجله.

يقارن X12 بين وثيقتين أودعتهما Opera بنفسها. يعلن نموذج Play لسلامة البيانات للتطبيق com.opera.browser جمع التطبيقات المثبتة لأغراض Analytics، ولا يذكر بيان الخصوصية إطلاقاً جمع التطبيقات المثبتة على الجهاز. التطبيقات المثبتة سلوك وليست معرّفاً، ومن ثم فهي undisclosed_behaviour.

يعلن النموذج نفسه مشاركة معرّفات الجهاز أو المعرّفات الأخرى مع شركات أخرى لأغراض الإعلانات، وهذا ما يضع C07a في ads. ويستند C07b إلى شيء أضيق نطاقاً، ولذلك وُسِم بـ B: المضيف الوحيد التابع لطرف ثالث في الترميز المقدَّم لصفحة المنتج هو Google Tag Manager، ولم تُعدَّد محتويات ما يحمّله ذلك الحاوي أثناء التشغيل.

إن U02 غير معروف بحكم تصميم المنتج، لا بسبب فشل البحث: يقدّم VPN المجاني ثلاث مناطق — وتسميها Opera America وAsia وEurope — ولا يذكر أي دولة. وينتج عن ذلك C09 وC09b، ولا يمكن حسمهما ما دام هذا الوضع قائماً.

إن X05 هو ads_supported في الشرح الخاص بـ Opera، الذي يضع الإعلانات أولاً بين ثلاثة مصادر للإيرادات، ويصف Opera Ads بجمع معرّف مستخدم مُنشأ عشوائياً، والمدينة أو الدولة، وفئات عامة من المواقع التي جرى تصفحها، مع الاحتفاظ بها لمدة تصل إلى عام؛ وبالاقتران مع U05 = unlimited_free، فهذه هي الحالة التي وُجد R15 تحديداً للإشارة إليها.

إن X06 هو ادعاء منشور عام 2026 بأن AES-256 «سيستغرق من المخترق، حتى باستخدام أسرع حاسوب، أكثر من مليار سنة لكسره». أما X09 فهو self_disclosed_prompt في منشورين من عام 2026 نشرت فيهما Opera ثغرات كان باحثون من خارجها قد أبلغوها بها، إلى جانب التحليل والإصدار الذي أُصلحت فيه — وهذه ثغرات في المتصفح وليست حوادث VPN، ولا تُعرف أي حادثة VPN.

‏C05 هو not_sold. لا تتضمن خدمة VPN المجانية أي خطوة دفع على الإطلاق — لا اشتراك ولا حساب — ولذلك لا يوجد ما يمكن دفعه بشكل مجهول أو غير ذلك.

كُتب هذا السجل أولًا على أنه none، وهو ما يُفهم منه أن «وسائل الدفع المحددة فقط متاحة»، وهذا غير صحيح هنا، لأن المفردات لم تكن تتضمن رمزًا لخدمة لا تتقاضى أي أموال؛ وكان unknown سيعني أن البحث أخفق، وهو ما كان غير صحيح أيضًا، وبين تفسيرين خاطئين سُجّل التفسير الذي يخطئ ضد المزوّد. الرمز موجود الآن، والأسعار فيه لا شيء، وهذه هي الإجابة الصادقة: حيث لا يوجد دفع، لا توجد هوية دفع يمكن تسريبها.

قُرئ هذا السجل سابقًا مرتين — connection_timestamps في V11 استنادًا إلى صياغة التدقيق، وsource_ip في C01 استنادًا إلى صياغة السياسة — واحتُسبت الدرجة عند الأسوأ بين الاثنين، ما جعل مهلة الخمس عشرة دقيقة تكلّف أكثر من عدم قول أي شيء على الإطلاق: فالقيمة الفارغة في C01 هي أسبقية السوق 0.550، وsource_ip هي 0.750.

يرسم R29 الآن الحد الفاصل: ما حُذف ضمن نافذة مُعلنة مرتبطة بنهاية الجلسة هو الاتصال، وليس سجلًّا له، ولذلك يقرأ كلا الحقلين connection_timestamps في الجملة نفسها. وما يزال ما يُحتسب هو ما يتجاوز عمر الجلسة — تاريخ آخر تسجيل دخول في قسم السياسة 2.3.1 والطوابع الزمنية للاتصال التي يسميها المدقق.

تشترك Surfshark وNordVPN في مجموعة مالكة (Nord Security، منذ 2022)، لكن صفحة Surfshark الخاصة بنا تقول إن العلامتين اندمجتا «مع مواصلة العمل باستقلالية» وببنية تحتية منفصلة — لذلك ضُبط M18 على الفصل استنادًا إلى ذلك، بما يطابق سجل nordvpn.com.

U12a جزئي وليس نعم في عمود P2P الخاص بجدول الخوادم نفسه: يحمل 88 بلدًا من البلدان المئة المدرجة هذه العلامة، ولا تحملها اثنا عشر بلدًا (AU, CL, CO, HR, GR, IE, JP, MX, NZ, TW, TR, AE). يُنشأ العمود من جهة العميل، لذلك قُرئ من الجدول المعروض بدلًا من HTML الثابت، حيث يحمل كل صف كل العلامات.

يحمل تقرير الشفافية في /transparency-report — وهو المكان الذي يعيد /warrant-canary التوجيه إليه الآن — ربع أبريل–يونيو 2026 في صورة جدول: 374,719 إشعارًا من DMCA، و33 استفسارًا من مؤسسات حكومية، وأمرًا قضائيًا واحدًا، و0 خطابات للأمن القومي، و0 أوامر عدم إفصاح. يحتسب P08 الطلبات القانونية البالغ عددها 34 ويستبعد إشعارات DMCA: فهي شكاوى حقوق نشر بشأن حركة المرور، وليست طلبات للحصول على بيانات مستخدم.

تذكر الصفحة نفسها أن Surfshark بصدد إيقاف مؤشر الضمان لصالح التقارير الفصلية، ولذلك أُزيل P07 بدلًا من اعتباره لا شيء — فقد كان المؤشر موجودًا وسُحب عمدًا.

يحمل U07_protocols القيمة proprietary بالنسبة إلى Dausos استنادًا إلى كلام Surfshark نفسه — إذ تسمي صفحة البروتوكول Dausos «بروتوكول Surfshark المملوك» ولا تنشر أي مصدر له — وهذه القيمة المفردة هي التي تضبط C13_weakest_protocol والخصم الخاص بالنظافة الذي يترتب عليها. يُبقى على IKEv2 لأن Surfshark ما زالت توثقه، رغم أن مدونتها نفسها تسجل إزالته من تطبيق Windows؛ أما Shadowsocks فقد اختفى من فهرس الدعم وليس مدرجًا.

التقرير الذي سيحرّك أربعة حقول. تقرير Deloitte هو الوثيقة الأخرى التي ستحرّك عدة حقول دفعة واحدة: V04 وV07 وV11 وV15 كلها غير معروفة فقط لأنه غير منشور، وV11 خصوصًا هو الحقل الذي يستند إليه ادعاء عدم تسجيل السجلات بأكمله.

ما لا يملك وثيقة. لا يملك U07 أي وثيقة، وكذلك C13 الكامن وراءه: تسمّي Opera AES-256 و«نفقًا آمنًا» ولا تذكر بروتوكولًا قط، ولذلك فإن أضعف وسيلة نقل معروضة غير مثبتة. وU08 وU09 وU12b غير مملوءة للسبب نفسه — فجدول مقارنة الميزات في صفحة المنتج يضع علامات صح على الصفوف، لكن الترميز المجلوب لا يحملها، وقراءة علامات الصح من صورة مُصيّرة ليست مصدرًا.

خوادم موصوفة، لا أدلة عليها. لا تستند C02 وC06 وC08 إلى شيء: تقول Opera إن الخوادم مادية ومملوكة لها، وهذا لا يحسم شيئًا بشأن القرص أو DNS أو الجهة المالكة للمعدات. لا يمكن الإجابة عن C09b ما دام U02 غير معروف.

متجر واحد، لا اثنان. جرى الاطلاع على نموذج سلامة البيانات في Google Play فقط؛ ولم تُقرأ تسميات الخصوصية في App Store لمتصفح iOS، لذلك يستند X12 إلى متجر واحد لا إلى الأسوأ بين المتجرين.

قراءتان لا تصريحات. استُدل على Linux في U01 من دليل مساعدة سطح المكتب، الذي يوثّق VPN ويغطي Windows وmacOS وLinux معًا من دون فصل حسب المنصة؛ وقد سُمّي Android وiOS صراحةً في إعلان التدقيق. وU10 غير محدود لأنه لا يوجد حساب ولا حد للأجهزة لفرض أحدهما، وهذه قراءة للمنتج لا رقم مُعلن.