Opera VPN vs Surfshark

Zpráva, která by posunula čtyři pole. Zpráva Deloitte je druhým dokumentem, který by najednou posunul několik polí: V04, V07, V11 a V15 jsou neznámá pouze proto, že není zveřejněna, a V11 je konkrétně pole, o které se opírá celé tvrzení o absenci logů.

Co nemá dokument. U07 nemá dokument a stejně tak ho nemá ani C13, které za ním stojí: Opera uvádí AES-256 a „secure tunnel“ a nikdy neuvádí protokol, takže nejméně zabezpečený nabízený transport není doložen. U08, U09 a U12b nejsou vyplněna ze stejného důvodu — tabulka porovnání funkcí na produktové stránce označuje řádky fajfkami, které načtený markup neobsahuje, a čtení fajfek z vykresleného obrázku není zdroj.

Servery popsané, nikoli doložené. C02, C06 a C08 nemají žádné podklady: Opera říká, že servery jsou fyzické a její vlastní, což neřeší ani disk, ani DNS, ani to, komu hardware patří. Na C09b nelze odpovědět, dokud je U02 neznámo.

Jeden obchod, ne dva. Byl přečten pouze formulář Google Play o bezpečnosti údajů; štítky ochrany soukromí v App Store pro prohlížeč iOS přečteny nebyly, takže X12 stojí na jednom obchodu, nikoli na horším ze dvou.

Dvě interpretace, nikoli tvrzení. Linux v U01 je odvozen z příručky nápovědy pro počítače, která dokumentuje VPN a zahrnuje Windows, macOS a Linux společně, aniž je rozlišuje podle platformy; Android a iOS jsou v oznámení o auditu uvedeny výslovně. U10 je neomezené, protože neexistuje účet ani limit zařízení, jehož dodržování by bylo možné vynutit; jde o interpretaci produktu, nikoli o uvedenou hodnotu.

Indie a režim tajných příkazů. P04_mandate_response=withdrew_physical je odchod z Indie v červnu 2022, obnovený z vlastního blogu Surfshark (surfshark.com/blog/surfshark-servers-certin-india) poté, co předchozí kontrola zjistila, že stránka /trust-center už tuto informaci neobsahuje. P11=judicial_only vychází ze zprávy o transparentnosti, která uvádí příkaz Amsterdam District Court z dubna 2026, přičemž počty National-Security-letter a příkazů s mlčenlivostí jsou nulové.

Nalezeny dvě zprávy, možná ne všechny. Byly nalezeny pouze dvě zveřejněné zprávy Deloitte o nulovém uchovávání dat (prosinec 2022, červen 2025); mohou existovat další, které nejsou odkazovány z robots.txt a tento audit je jinými prostředky nehledal.

X02 je stěžejní zjištění a oba dokumenty, o něž se opírá, jsou vlastní dokumenty Opery. Oznámení z roku 2024 cituje stanovisko Deloitte takto: „konfigurace IT systémů a řízení podpůrných IT operací byly ve všech podstatných ohledech vhodně navrženy a implementovány na základě kritérií popsaných v dokumentu Opera's Management Assertion, k 10. srpnu 2024“, a samostatně připisuje větu „Do služby VPN není zabudována žádná funkce protokolování dat a nejsou shromažďovány vůbec žádné údaje“ vlastnímu dokumentu Opera's Management Assertion.

Příspěvek z roku 2026 převypráví tutéž zakázku tak, že zjištění provedl Deloitte: „poskytli jsme týmu Deloitte úplný přístup k naší VPN a serverové infrastruktuře a tým mohl ověřit naše tvrzení ... Funkce protokolování dat ve VPN ve skutečnosti vůbec není zabudována.“ Tentýž příspěvek povyšuje období, které příspěvek z roku 2024 datuje od 18. června do 10. srpna 2024, na „úplný přístup“.

Opera popisuje své vlastní tvrzení jako závěr svého auditora. Proto se blok VERIFY dělí tak, jak se dělí. V01 je yes_verified na základě skutečně otevřené zprávy – vlastního zveřejněného manažerského shrnutí hodnocení společnosti Cure53 z března 2022 – nikoli na základě oznámení společnosti Deloitte.

Samotná zpráva společnosti Deloitte není nikde zveřejněna, takže V02 je press_only a každé pole, které je zjištěním této zprávy, nikoli skutečností o auditu, zůstává neznámo: pokrytí flotily (V04), standard ujištění (V07), co zpráva uvádí jako uchovávané (V11) a síla stanoviska (V15).

Fakta o auditu – firma, její kategorie, datum a to, co bylo uvedeno jako testované – jsou převzata z oznámení. Poskytovatel, který tento audit prokazatelně jednou znovu popsal, není zdrojem toho, k čemu audit dospěl. C01 je none_linkable, protože takové je prohlášení v prohlášení o ochraně soukromí; V11 je zjištění a žádné zjištění není k přečtení.

Zpráva společnosti Cure53 je skutečná a je důvodem, proč je V14 yes_verified: sedm testerů, dvacet čtyři osobodnů, white-box napříč čtyřmi pracovními balíky pokrývajícími klienty VPN, konfiguraci serveru a infrastrukturu a protokol Opera Mini používaný k doručování konfigurace VPN. Čtrnáct problémů relevantních z hlediska zabezpečení, z nichž osm byly skutečné zranitelnosti, pět bylo hodnoceno jako vysoce závažných a žádné jako kritické.

K březnu 2022 bylo devět opraveno a opravy ověřeny, jeden byl opraven částečně, u tří bylo riziko přijato, jeden byl falešný poplach a jeden byl stále rozpracován. Blog společnosti Opera uvádí, že sedm položek přímo se týkajících VPN v prohlížeči bylo „následně vyřešeno“; tabulka to potvrzuje – zbytek se nachází v pracovním balíku Opera Mini, nikoli v samotné VPN.

Vlastnictví je plně zveřejněno a končí v zemi mandátu, proto X03 a C11 směřují opačnými směry, aniž by si odporovaly.

Správcem údajů uvedeným ve vlastním prohlášení společnosti Opera o ochraně soukromí je Opera Norway AS, norská společnost, a zpráva o transparentnosti je podána pod tímto jménem.

Holdingovou společností je Opera Limited, exempted company založená na Kajmanských ostrovech v březnu 2018, která sama nevykonává žádnou podstatnou činnost. Form 20-F za rok 2025 uvádí jako hlavního akcionáře Hong Kong Kunlun Tech Holding Limited s podílem 68,0 %, dceřinou společnost Kunlun Tech Co., Ltd. založenou v ČLR, a uvádí, že „Kunlun je konečnou mateřskou společností Opera a je ovládána výkonným předsedou společnosti Opera“.

M06 je tedy NO a C10 je no, zatímco M11 je CN a C11 je yes.

C12 je nejvýraznější mezera mezi deklarací VPN a aplikací, v níž je zabudována. Část pro VPN v prohlášení o ochraně soukromí deklaruje žádné logování; jiná část téhož dokumentu uvádí, že při instalaci aplikace Opera „se vygeneruje náhodné ID instalace. Shromažďujeme tento identifikátor, stejně jako Machine ID, hardwarové specifikace (model, datum uvedení atd.), operační systém, konfiguraci prostředí a údaje o používání funkcí“, které jsou uchovávány až tři roky.

Machine ID je odvozené od hardwaru, takže identifikátor, který poskytovatel uchovává, je persistent_hardware_id, nikoli náhodný identifikátor vymezený pro aplikaci, bez ohledu na to, co tunel loguje či neloguje.

X12 porovnává dva dokumenty, které Opera sama podala. Formulář Play pro bezpečnost údajů deklaruje u com.opera.browser shromažďování položky Instalované aplikace pro analytiku, zatímco prohlášení o ochraně soukromí shromažďování aplikací nainstalovaných v zařízení vůbec nezmiňuje. Instalované aplikace jsou chování, nikoli identifikátor, proto undisclosed_behaviour.

Tentýž formulář deklaruje sdílení položky Device or other IDs s jinými společnostmi pro reklamu, což řadí C07a do ads. C07b se opírá o něco užšího a je za to označeno B: jediným hostitelem třetí strany v markupu obsluhujícím stránku produktu je Google Tag Manager a to, co tento kontejner načítá za běhu, nebylo vyjmenováno.

U02 je neznámo z konstrukce produktu, nikoli kvůli neúspěchu vyhledávání: bezplatná VPN nabízí tři regiony – Opera je nazývá America, Asia a Europe – a nikdy neuvádí zemi. C09 a C09b z toho vyplývají a nelze je vyřešit, dokud to platí.

X05 je ads_supported ve vlastním vysvětlujícím materiálu Opery, který uvádí reklamu jako první ze tří zdrojů příjmů a popisuje, že Opera Ads shromažďuje náhodně vygenerované ID uživatele, město nebo zemi a široké kategorie navštívených webů, uchovávané až jeden rok; spolu s U05 = unlimited_free jde přesně o případ, který má R15 označovat.

X06 je tvrzení z příspěvku z roku 2026, že prolomení AES-256 „by trvalo hackerovi i s nejrychlejším počítačem více než miliardu let“. X09 je self_disclosed_prompt ve dvou příspěvcích z roku 2026, v nichž Opera zveřejnila zranitelnosti, které jí nahlásili externí výzkumníci, spolu s analýzou a opravenou verzí – jde o zranitelnosti prohlížeče, nikoli incidenty VPN, a žádný incident VPN není znám.

C05 je not_sold. Bezplatná VPN nemá vůbec žádný platební krok – žádné předplatné ani účet – takže není co platit anonymně ani jinak.

Tento záznam byl původně zapsán jako none, což se čte jako „nabízeny jsou pouze identifikované platební metody“, a zde je to nepravda, protože slovník neměl token pro službu, která nepřijímá žádné peníze; unknown by tvrdilo, že vyhledávání selhalo, což byla také nepravda, a mezi dvěma chybnými výklady byl zaznamenán ten, který poškozuje poskytovatele. Token nyní existuje a jeho cena je nula, což je poctivá odpověď: tam, kde neexistuje platba, neexistuje ani platební identita, která by mohla uniknout.

Tento záznam byl dříve přečten dvakrát — connection_timestamps ve V11 podle znění auditu, source_ip v C01 podle znění zásad — a ohodnocen podle horšího z těchto dvou údajů, takže patnáctiminutová mezera stála více než neuvedení údaje: prázdné C01 má tržní prior 0.550 a source_ip má 0.750.

R29 nyní vymezuje hranici: stav smazaný v deklarovaném časovém okně navázaném na konec relace je připojení, nikoli jeho záznam, takže obě pole ve stejné větě uvádějí connection_timestamps. Stále se započítává to, co přežije relaci — datum posledního přihlášení v části zásad 2.3.1 a časová razítka připojení, která auditor uvádí.

Surfshark a NordVPN mají společného vlastníka (Nord Security, od roku 2022), ale vlastní stránka Surfsharku „o nás“ uvádí, že se značky sloučily „při samostatném provozu“ s oddělenou infrastrukturou — M18 je na tomto základě nastaveno jako oddělené, stejně jako v záznamu nordvpn.com.

U12a je ve vlastním sloupci P2P tabulky serverů částečné, nikoli ano: 88 ze 100 uvedených zemí jej má a dvanáct ne (AU, CL, CO, HR, GR, IE, JP, MX, NZ, TW, TR, AE). Sloupec se vykresluje na straně klienta, takže byl odečten z vykreslené tabulky, nikoli ze statického HTML, kde každý řádek obsahuje každý štítek.

Zpráva o transparentnosti na /transparency-report — kam nyní přesměrovává /warrant-canary — uvádí čtvrtletí duben–červen 2026 v tabulce: 374,719 oznámení DMCA, 33 dotazů od vládních institucí, 1 soudní příkaz, 0 dopisů národní bezpečnosti a 0 příkazů s mlčenlivostí. P08 započítává 34 právních žádostí a oznámení DMCA vynechává: jde o stížnosti na porušení autorských práv týkající se provozu, nikoli o žádosti o údaje uživatele.

Stejná stránka uvádí, že Surfshark ruší svůj warrant canary ve prospěch čtvrtletního reportingu, a proto je P07 odstraněno, nikoli označeno jako žádné — canary existoval a byl záměrně stažen.

U07_protocols nese pro Dausos hodnotu