Mullvad VPN vs NordVPN

Datacenterbruddet i Finland i 2018 var en indtrængen fra tredjepart, ikke en beslaglæggelse foretaget af retshåndhævende myndigheder — det registreres under P12_case_history som kind=breach, ikke P01_seizure_event. NordVPNs egen redegørelse (nordvpn.com/blog/official-response-datacenter-breach/) og Bloombergs samtidige dækning er enige om, at offentliggørelsen fulgte Twitter-påstande fra eksterne forskere, ikke NordVPNs eget initiativ — derfor third_party_disclosed frem for self_disclosed_late.

NordVPN og Surfshark har samme ejer (Nord Security), men begge virksomheders egen fusionsmeddelelse angiver separat infrastruktur og separate produktplaner; M18 sættes til separat på det grundlag.

Hvorfor antallet er otte. Auditantallet er otte, fordi GotaTun-gennemgangen står uden for app-repositoryets egen liste. Forud for dem fandt en X41 D-Sec-gennemgang på 30 persondage på tværs af alle fem platforme seks sårbarheder — tre høje, to middelalvorlige, én lav, ingen kritiske.

Hvad ingen opgave dækker. Det, som ingen af disse opgaver dækker, er serverflåden: hver eneste af dem undersøger appen eller tunnelprotokollen, hvilket er grunden til, at flådedækning registreres som ikke relevant i stedet for som en stikprøve. Påstanden om ingen logning på infrastruktursiden hviler derfor på ransagningskendelsen fra april 2023 — svensk politi kom efter kundedata og gik uden dem — og ikke på noget audit.

Reproducerbare builds, kun Android. Reproducerbare builds findes kun til Android fra og med version 2025.2, så feltet forbliver delvist; desktop- og iOS-builds kan ikke verificeres bit for bit. Tyrkiet er det eneste land med påbud på den tilbudte liste, og hostingen bag det er ikke dokumenteret.

Intet offentliggjort om krav. Intet i posten hviler på noget, udbyderen offentliggør om krav, den modtager: der er ingen transparensrapport og ingen warrant canary, så beslaglæggelsen i april 2023 bærer den grund alene. Kill-switch-dækning og P2P-politik er ikke dokumenteret; det seneste audit er en kodegennemgang af en protokol, ikke en opgave om ingen logning, så V11 er tavst, og opbevaring læner sig op ad erklæringen.

Canariefilen og kvartalet, der erstattede den. Den samme side udfasede canariefilen (P07=removed) til fordel for kvartalsvise transparensrapporter; det seneste fuldstændige kvartal (apr.–jun. 2026) viser 85 henvendelser fra myndigheder og 0 udleveringer, så P08/P09 gælder den periode, ikke livstidstallet.

Indien og regimet med hemmelige påbud. P04=withdrew_physical er udtræden fra Indien i juni 2022. P11=none_known bygger på sidens erklæring om, at NordVPN ikke har modtaget bindende National Security-breve eller tavshedspålæg, samt på Panamas fravær af et sådant regime.

Et sikkerhedsniveau, ingen kan kontrollere. NordVPN beskriver Deloitte Lithuania-opgaven som en rimelig erklæringsopgave i henhold til ISAE 3000 (Revised), hvilket ville være den stærkere form; PIAs rapport, som kan læses, angiver en konklusion med begrænset sikkerhed.

Hvorfor det stærkere niveau ikke krediteres. Modellen prissætter nu den forskel, og denne post får ikke fordel af den: V15_assurance_strength er ukendt, fordi den eneste angivelse af laget er NordVPNs egen og handler om en rapport, som ingen uden for en Nord Account kan åbne. Et dokument bag et login er ikke belæg her på noget lag, så arbejdet krediteres efter markedsnormen snarere end på det niveau, det hævdes at have nået.

En rapport bag et login. Selve rapporten kan kun læses efter login på en Nord Account, så ingen uden for dette forhold har kontrolleret dens omfang, og alle auditfelter her bygger på NordVPNs egen opsummering af den snarere end på dokumentet. Det, og ikke en konstatering imod tjenesten, er grunden til, at denne post er den tyndeste i kataloget.

Ejerfelterne. M11_owner_jurisdiction og X04_owner_group_history er ukendte: nordvpn.com og nordsecurity.com angiver Nord Security som ejer, men ingen af dem angiver Nord Securitys egen jurisdiktion for registrering eller nogen tidligere historik for gruppen; sekundær presse knytter en 'Cyberspace'-holdingsenhed til Nederlandene fra fusionen i 2022, men det blev ikke bekræftet mod en primær Nord Security- eller NordVPN-side inden for den tilgængelige tid.

Det, der slet ikke kunne læses. Den fulde tekst af Deloitte-rapporten fra 2025 kan slet ikke læses (login-begrænset), så der er ikke registreret nogen konstatering om opbevaring ud over politikkens egen hævdelse i C01_linkable_retention.

Servertabellen, der ikke ville åbne. C09b_mandate_hosting er ukendt: Den aktive servertabel pr. land viser kun fysisk/virtuel status for regionen Amerika i den accordion-tilstand, som denne audit kunne gengive; sektionerne for Europa, Asien og Stillehavsområdet samt Afrika/Mellemøsten (som omfatter flere lande med påbud, som flåden betjener, f.eks. AE, IN, TR, VN, IQ, KZ ifølge servers API) indlæses på klientsiden ved klik og blev ikke foldet ud.