Mullvad VPN vs Surfshark

Proč je počet osm. Počet auditů je osm, protože kontrola GotaTun stojí mimo vlastní seznam úložiště aplikace. Před nimi při kontrole X41 od D-Sec v rozsahu 30 člověkodnů napříč všemi pěti platformami bylo nalezeno šest zranitelností — tři s vysokou, dvě se střední a jedna s nízkou závažností, žádná kritická.

Co nepokrývá žádná zakázka. Žádná z těchto zakázek nepokrývá serverovou flotilu: každá zkoumá aplikaci nebo protokol tunelu, a proto je pokrytí flotily zaznamenáno jako nerelevantní, nikoli jako vzorek. Tvrzení o neuchovávání logů na straně infrastruktury se tedy opírá o příkaz k prohlídce z dubna 2023 — švédská policie přišla pro údaje zákazníků a odešla bez nich — a nikoli o audit.

Reprodukovatelná sestavení, pouze Android. Reprodukovatelná sestavení se týkají pouze Androidu, počínaje verzí 2025.2, takže pole zůstává částečné; sestavení pro desktop a iOS nelze ověřit bit po bitu. Turecko je jedinou zemí s mandátem na nabízeném seznamu a hosting, který za ním stojí, není doložen.

O žádostech není nic zveřejněno. Žádný záznam se neopírá o nic, co poskytovatel zveřejňuje o žádostech, které obdrží: neexistuje zpráva o transparentnosti ani warrant canary, takže zabavení z dubna 2023 poskytuje tuto oporu samo o sobě. Pokrytí nouzovým vypínačem a politika P2P nejsou doloženy; nejnovějším auditem je kontrola kódu protokolu, nikoli zakázka zaměřená na neuchovávání logů, takže V11 mlčí a uchovávání se opírá o deklaraci.

Indie a režim tajných příkazů. P04_mandate_response=withdrew_physical je odchod z Indie v červnu 2022, obnovený z vlastního blogu Surfshark (surfshark.com/blog/surfshark-servers-certin-india) poté, co předchozí kontrola zjistila, že stránka /trust-center už tuto informaci neobsahuje. P11=judicial_only vychází ze zprávy o transparentnosti, která uvádí příkaz Amsterdam District Court z dubna 2026, přičemž počty National-Security-letter a příkazů s mlčenlivostí jsou nulové.

Nalezeny dvě zprávy, možná ne všechny. Byly nalezeny pouze dvě zveřejněné zprávy Deloitte o nulovém uchovávání dat (prosinec 2022, červen 2025); mohou existovat další, které nejsou odkazovány z robots.txt a tento audit je jinými prostředky nehledal.

Tento záznam byl dříve přečten dvakrát — connection_timestamps ve V11 podle znění auditu, source_ip v C01 podle znění zásad — a ohodnocen podle horšího z těchto dvou údajů, takže patnáctiminutová mezera stála více než neuvedení údaje: prázdné C01 má tržní prior 0.550 a source_ip má 0.750.

R29 nyní vymezuje hranici: stav smazaný v deklarovaném časovém okně navázaném na konec relace je připojení, nikoli jeho záznam, takže obě pole ve stejné větě uvádějí connection_timestamps. Stále se započítává to, co přežije relaci — datum posledního přihlášení v části zásad 2.3.1 a časová razítka připojení, která auditor uvádí.

Surfshark a NordVPN mají společného vlastníka (Nord Security, od roku 2022), ale vlastní stránka Surfsharku „o nás“ uvádí, že se značky sloučily „při samostatném provozu“ s oddělenou infrastrukturou — M18 je na tomto základě nastaveno jako oddělené, stejně jako v záznamu nordvpn.com.

U12a je ve vlastním sloupci P2P tabulky serverů částečné, nikoli ano: 88 ze 100 uvedených zemí jej má a dvanáct ne (AU, CL, CO, HR, GR, IE, JP, MX, NZ, TW, TR, AE). Sloupec se vykresluje na straně klienta, takže byl odečten z vykreslené tabulky, nikoli ze statického HTML, kde každý řádek obsahuje každý štítek.

Zpráva o transparentnosti na /transparency-report — kam nyní přesměrovává /warrant-canary — uvádí čtvrtletí duben–červen 2026 v tabulce: 374,719 oznámení DMCA, 33 dotazů od vládních institucí, 1 soudní příkaz, 0 dopisů národní bezpečnosti a 0 příkazů s mlčenlivostí. P08 započítává 34 právních žádostí a oznámení DMCA vynechává: jde o stížnosti na porušení autorských práv týkající se provozu, nikoli o žádosti o údaje uživatele.

Stejná stránka uvádí, že Surfshark ruší svůj warrant canary ve prospěch čtvrtletního reportingu, a proto je P07 odstraněno, nikoli označeno jako žádné — canary existoval a byl záměrně stažen.

U07_protocols nese pro Dausos hodnotu proprietary podle vlastního vyjádření Surfsharku — jeho stránka o protokolu označuje Dausos jako „Surfshark's proprietary protocol“ a nezveřejňuje k němu žádný zdroj — a právě tato jediná hodnota nastavuje C13_weakest_protocol a následnou penalizaci za hygienu. IKEv2 zůstává, protože jej Surfshark stále dokumentuje, ačkoli jeho vlastní blog zaznamenává odstranění z aplikace pro Windows; Shadowsocks zmizel z rejstříku podpory a není uveden.