Opera VPN مقابل Windscribe

X02 هو النتيجة المحورية، والوثيقتان اللتان تستندان إليها من Opera نفسها. يقتبس إعلان 2024 رأي Deloitte على النحو التالي: "صُمّم تكوين أنظمة تكنولوجيا المعلومات وإدارة عمليات تكنولوجيا المعلومات الداعمة ونُفّذا على نحو ملائم، من جميع النواحي الجوهرية، استنادًا إلى المعايير الموضحة في Management Assertion الخاصة بـ Opera، اعتبارًا من 10 أغسطس 2024"، وينسب بشكل منفصل الجملة "لا توجد وظيفة لتسجيل البيانات مدمجة في خدمة VPN، ولا تُجمع أي بيانات على الإطلاق" إلى Management Assertion الخاصة بـ Opera.

يعيد منشور 2026 سرد التدقيق نفسه على أن فريق Deloitte هو الذي توصل إلى النتيجة: "لقد منحنا فريق Deloitte وصولًا كاملًا إلى بنية VPN التحتية وبنية الخوادم لدينا، وتمكنوا من التحقق من ادعائنا ... وفي الواقع، لا تكون وظيفة تسجيل البيانات مدمجة في VPN أصلًا." كما يحوّل المنشور نفسه نافذةً يؤرخها منشور 2024 من 18 يونيو إلى 10 أغسطس 2024 إلى "وصول كامل".

تصف Opera ما أعلنته هي نفسها بأنه استنتاج مدققها. ولهذا ينقسم قسم VERIFY بالطريقة التي ينقسم بها. V01 هو yes_verified استنادًا إلى تقرير فُتح فعليًا — ملخص الإدارة المنشور الخاص بـ Cure53 لتقييمها في مارس 2022 — وليس استنادًا إلى إعلان Deloitte.

تقرير Deloitte نفسه غير منشور في أي مكان، ولذلك فإن V02 هو press_only، ويظل كل حقل يمثل نتيجة لذلك التقرير لا حقيقة عن مهمة التدقيق غير معروف: تغطية الأسطول (V04)، معيار التأكيد (V07)، ما يذكر التقرير أنه محتفظ به (V11)، وقوة الرأي (V15).

تؤخذ وقائع مهمة التدقيق — الشركة، وفئتها، والتاريخ، وما أُدرج على أنه خضع للاختبار — من الإعلان. والمزوّد الذي أعاد توصيف هذا التدقيق بصورة مثبتة مرة واحدة ليس مصدرًا لما خلص إليه التدقيق. C01 هو none_linkable لأن ذلك هو التصريح الوارد في بيان الخصوصية؛ أما V11 فهي النتيجة، ولا توجد نتيجة يمكن قراءتها.

تقرير Cure53 حقيقي، وهو سبب كون V14 هو yes_verified: سبعة مختبرين، وأربعة وعشرون يوم عمل للفرد، واختبار بالصندوق الأبيض عبر أربع حزم عمل تغطي عملاء VPN، وتهيئة الخادم والبنية التحتية، وبروتوكول Opera Mini المستخدم لتسليم تهيئة VPN. أربع عشرة مشكلة ذات صلة بالأمان، ثماني منها ثغرات فعلية، صُنفت خمس منها بدرجة خطورة عالية، ولم تُصنف أي منها حرجة.

اعتبارًا من مارس 2022، أُصلحت تسع منها مع التحقق من الإصلاحات، وأُصلحت واحدة جزئيًا، وقُبلت مخاطر ثلاث، وتبين أن واحدة إنذار كاذب، وكانت واحدة لا تزال قيد التنفيذ. وتقول مدونة Opera إن البنود السبعة المتعلقة مباشرة بـ VPN في المتصفح «حُلّت جميعًا لاحقًا»، ويؤكد الجدول ذلك — إذ يقع المتبقي في حزمة عمل Opera Mini، لا في VPN نفسه.

الملكية مفصح عنها بالكامل وتنتهي في بلد من بلدان الإلزام، ولهذا يشير X03 وC11 إلى اتجاهين متعاكسين من دون أن يتناقضا.

الجهة المتحكمة في البيانات المسماة في بيان الخصوصية الخاص بـ Opera هي Opera Norway AS، وهي شركة نرويجية، وقد أُودع تقرير الشفافية باسمها.

الشركة القابضة هي Opera Limited، وهي شركة معفاة تأسست في جزر كايمان في مارس 2018 ولا تملك عمليات جوهرية خاصة بها. ويسمي Form 20-F لعام 2025 شركة Hong Kong Kunlun Tech Holding Limited مساهمًا رئيسيًا بنسبة 68.0%، وهي شركة تابعة لـ Kunlun Tech Co., Ltd. تأسست في PRC، وينص على أن Kunlun «هي الشركة الأم النهائية لـ Opera وتخضع لسيطرة رئيس مجلس إدارة Opera التنفيذي».

لذلك فإن M06 هو NO وC10 هو no، بينما M11 هو CN وC11 هو yes.

يمثل C12 أشد فجوة بين إعلان VPN والتطبيق الذي يوجد بداخله. يعلن قسم VPN في بيان الخصوصية عدم تسجيل أي بيانات؛ لكن قسماً مختلفاً من الوثيقة نفسها يقول إنه عند تثبيت تطبيق Opera «يُنشأ معرّف تثبيت عشوائي. نجمع هذا المعرّف، بالإضافة إلى Machine ID، ومواصفات الأجهزة (الطراز، وتاريخ الإصدار، وغير ذلك)، ونظام التشغيل، وتهيئة البيئة، وبيانات استخدام الميزات»، ويُحتفظ بها لمدة تصل إلى ثلاث سنوات.

إن Machine ID مشتق من الأجهزة، ولذلك فإن المعرّف الذي يحتفظ به المزوّد هو persistent_hardware_id وليس معرّفاً عشوائياً خاصاً بالتطبيق، بصرف النظر عما يسجله النفق أو لا يسجله.

يقارن X12 بين وثيقتين أودعتهما Opera بنفسها. يعلن نموذج Play لسلامة البيانات للتطبيق com.opera.browser جمع التطبيقات المثبتة لأغراض Analytics، ولا يذكر بيان الخصوصية إطلاقاً جمع التطبيقات المثبتة على الجهاز. التطبيقات المثبتة سلوك وليست معرّفاً، ومن ثم فهي undisclosed_behaviour.

يعلن النموذج نفسه مشاركة معرّفات الجهاز أو المعرّفات الأخرى مع شركات أخرى لأغراض الإعلانات، وهذا ما يضع C07a في ads. ويستند C07b إلى شيء أضيق نطاقاً، ولذلك وُسِم بـ B: المضيف الوحيد التابع لطرف ثالث في الترميز المقدَّم لصفحة المنتج هو Google Tag Manager، ولم تُعدَّد محتويات ما يحمّله ذلك الحاوي أثناء التشغيل.

إن U02 غير معروف بحكم تصميم المنتج، لا بسبب فشل البحث: يقدّم VPN المجاني ثلاث مناطق — وتسميها Opera America وAsia وEurope — ولا يذكر أي دولة. وينتج عن ذلك C09 وC09b، ولا يمكن حسمهما ما دام هذا الوضع قائماً.

إن X05 هو ads_supported في الشرح الخاص بـ Opera، الذي يضع الإعلانات أولاً بين ثلاثة مصادر للإيرادات، ويصف Opera Ads بجمع معرّف مستخدم مُنشأ عشوائياً، والمدينة أو الدولة، وفئات عامة من المواقع التي جرى تصفحها، مع الاحتفاظ بها لمدة تصل إلى عام؛ وبالاقتران مع U05 = unlimited_free، فهذه هي الحالة التي وُجد R15 تحديداً للإشارة إليها.

إن X06 هو ادعاء منشور عام 2026 بأن AES-256 «سيستغرق من المخترق، حتى باستخدام أسرع حاسوب، أكثر من مليار سنة لكسره». أما X09 فهو self_disclosed_prompt في منشورين من عام 2026 نشرت فيهما Opera ثغرات كان باحثون من خارجها قد أبلغوها بها، إلى جانب التحليل والإصدار الذي أُصلحت فيه — وهذه ثغرات في المتصفح وليست حوادث VPN، ولا تُعرف أي حادثة VPN.

‏C05 هو not_sold. لا تتضمن خدمة VPN المجانية أي خطوة دفع على الإطلاق — لا اشتراك ولا حساب — ولذلك لا يوجد ما يمكن دفعه بشكل مجهول أو غير ذلك.

كُتب هذا السجل أولًا على أنه none، وهو ما يُفهم منه أن «وسائل الدفع المحددة فقط متاحة»، وهذا غير صحيح هنا، لأن المفردات لم تكن تتضمن رمزًا لخدمة لا تتقاضى أي أموال؛ وكان unknown سيعني أن البحث أخفق، وهو ما كان غير صحيح أيضًا، وبين تفسيرين خاطئين سُجّل التفسير الذي يخطئ ضد المزوّد. الرمز موجود الآن، والأسعار فيه لا شيء، وهذه هي الإجابة الصادقة: حيث لا يوجد دفع، لا توجد هوية دفع يمكن تسريبها.

التقرير الذي سيحرّك أربعة حقول. تقرير Deloitte هو الوثيقة الأخرى التي ستحرّك عدة حقول دفعة واحدة: V04 وV07 وV11 وV15 كلها غير معروفة فقط لأنه غير منشور، وV11 خصوصًا هو الحقل الذي يستند إليه ادعاء عدم تسجيل السجلات بأكمله.

ما لا يملك وثيقة. لا يملك U07 أي وثيقة، وكذلك C13 الكامن وراءه: تسمّي Opera AES-256 و«نفقًا آمنًا» ولا تذكر بروتوكولًا قط، ولذلك فإن أضعف وسيلة نقل معروضة غير مثبتة. وU08 وU09 وU12b غير مملوءة للسبب نفسه — فجدول مقارنة الميزات في صفحة المنتج يضع علامات صح على الصفوف، لكن الترميز المجلوب لا يحملها، وقراءة علامات الصح من صورة مُصيّرة ليست مصدرًا.

خوادم موصوفة، لا أدلة عليها. لا تستند C02 وC06 وC08 إلى شيء: تقول Opera إن الخوادم مادية ومملوكة لها، وهذا لا يحسم شيئًا بشأن القرص أو DNS أو الجهة المالكة للمعدات. لا يمكن الإجابة عن C09b ما دام U02 غير معروف.

متجر واحد، لا اثنان. جرى الاطلاع على نموذج سلامة البيانات في Google Play فقط؛ ولم تُقرأ تسميات الخصوصية في App Store لمتصفح iOS، لذلك يستند X12 إلى متجر واحد لا إلى الأسوأ بين المتجرين.

قراءتان لا تصريحات. استُدل على Linux في U01 من دليل مساعدة سطح المكتب، الذي يوثّق VPN ويغطي Windows وmacOS وLinux معًا من دون فصل حسب المنصة؛ وقد سُمّي Android وiOS صراحةً في إعلان التدقيق. وU10 غير محدود لأنه لا يوجد حساب ولا حد للأجهزة لفرض أحدهما، وهذه قراءة للمنتج لا رقم مُعلن.

لماذا يُسعَّر الاحتفاظ بالبيانات بناءً على النتيجة. لذلك يُسعَّر الاحتفاظ بالبيانات بناءً على ما أثبت أحد المدققين إمكانية الوصول إليه، لا بناءً على ما تعلنه السياسة، وتحمل قناة السلامة الفجوة بين الأمرين. ويجب قراءة ذلك بوصفه نتيجة عمرها عامان على عقدة واحدة، لا قياسًا حاليًا: فقد اقتصر النطاق على ca-023.windscribe.com وحده، وسيكون الارتباط الأحدث الذي يغطي جزءًا أكبر من الأسطول هو ما يحسم الأمر.

القائمة التي لم تُقرأ قط. لم تُقرأ قائمة البلدان المعروضة قط، لذلك لا يمكن احتساب درجة بلد سهولة الاستخدام ولا تقاطع الإلزام — تنشر Windscribe تمييزًا بين المادي والافتراضي، ما يجعل الإجابة عن C09b ممكنة هنا بمجرد توفر القائمة. كما أن حجم المستخدمين غير مثبت، ما يترك نطاق التعرّض قائمًا على أقل مما ينبغي.

المصادر التي تشير إليها الأحداث الثلاثة الآن. لا تزال AIN.UA تحمل خبر الخوادم الأوكرانية التي صودرت في 24 يونيو 2021، وتحمل مدونة Windscribe الخاصة بها خبر القضية اليونانية التي رُفضت في 11 أبريل 2025. أما المصادرة الهولندية وحقل المصادرة نفسه، فيشيران الآن إلى صفحة Windscribe الخاصة بعدم الاحتفاظ بالسجلات بدلًا من الصحافة التي دفع لها برنامج الإحالة والتي أبلغت عنها أولًا: رواية الشركة لمصادرتها هي مصدر أولي، وليست رواية شخص آخر عن واحدة منها. ويؤرَّخ الحدث الأوكراني بتاريخ المصادرة نفسها، لا بتاريخ التقرير.