Mullvad VPN vs Opera VPN

Por qué el recuento es ocho. El recuento de auditorías es ocho porque la revisión de GotaTun queda fuera de la lista propia del repositorio de la aplicación. Antes de ellas, una revisión de X41 D-Sec de 30 días-persona en las cinco plataformas encontró seis vulnerabilidades — tres altas, dos medias y una baja; ninguna crítica.

Lo que no cubre ningún encargo. Ninguno de estos encargos cubre la flota de servidores: todos examinan la aplicación o el protocolo del túnel, por lo que la cobertura de la flota se registra como no aplicable y no como una muestra. Por tanto, la declaración de ausencia de registros en el lado de la infraestructura se basa en la orden de registro de abril de 2023 — la policía sueca acudió a buscar datos de clientes y se fue sin ellos — y no en ninguna auditoría.

Compilaciones reproducibles, solo en Android. Las compilaciones reproducibles solo están disponibles en Android, desde la versión 2025.2, por lo que el campo sigue siendo parcial; las compilaciones de escritorio y de iOS no se pueden verificar bit a bit. Turquía es el único país con mandato de la lista ofrecida y el alojamiento que lo sustenta no está establecido.

Nada publicado sobre las exigencias. Nada de lo registrado se basa en algo que el proveedor publique sobre las exigencias que recibe: no hay informe de transparencia ni canario de orden judicial, por lo que la incautación de abril de 2023 constituye por sí sola ese fundamento. La cobertura del interruptor de emergencia y la política de P2P no están establecidas; la auditoría más reciente es una revisión de código del protocolo, no un encargo sobre ausencia de registros, por lo que V11 está en silencio y la retención se apoya en la declaración.

El informe que cambiaría cuatro campos. El informe de Deloitte es el otro documento que cambiaría varios campos a la vez: V04, V07, V11 y V15 son todos desconocidos únicamente porque no está publicado, y V11, en particular, es el campo en el que se basa toda la afirmación de ausencia de registros.

Lo que no tiene documento. U07 no tiene documento y C13 tampoco lo tiene detrás: Opera menciona AES-256 y un «secure tunnel», pero nunca un protocolo, por lo que el transporte más débil disponible no está establecido. U08, U09 y U12b no están cumplimentados por la misma razón: la tabla de comparación de funciones de la página del producto marca las filas con marcas de verificación que el marcado obtenido no incluye, y leer marcas de verificación de una imagen renderizada no es una fuente.

Servidores descritos, no evidenciados. C02, C06 y C08 no tienen nada que los respalde: Opera afirma que los servidores son físicos y propios, lo que no establece ni el disco, ni el DNS, ni quién es propietario del hardware. C09b no puede responderse mientras U02 sea desconocido.

Una tienda, no dos. Solo se leyó el formulario de seguridad de datos de Google Play; no se leyeron las etiquetas de privacidad de App Store para el navegador de iOS, por lo que X12 se basa en una tienda y no en la peor de las dos.

Dos interpretaciones en lugar de afirmaciones. Linux en U01 se infiere del manual de ayuda de escritorio, que documenta la VPN y cubre Windows, macOS y Linux conjuntamente sin dividir por plataforma; Android e iOS se mencionan explícitamente en el anuncio de la auditoría. U10 es ilimitado porque no hay cuenta ni límite de dispositivos que pueda imponer uno, lo que es una interpretación del producto y no una cifra declarada.

La identidad de ese tercero ha cambiado: el anuncio de la auditoría de 2024 dice que los servidores de VPN Pro son "proporcionados en colaboración con Nord", y la explicación de 2026 dice que VPN Pro está "equipada con el protocolo Lightway de última generación", que es de ExpressVPN. Ningún documento dice que el acuerdo haya cambiado.

X02 es el hallazgo fundamental, y ambos documentos que lo respaldan son propios de Opera. El anuncio de 2024 cita la opinión de Deloitte: "la configuración de los sistemas de TI y la gestión de las operaciones de TI de apoyo se diseñaron e implementaron adecuadamente, en todos los aspectos materiales, sobre la base de los criterios descritos en la Declaración de la dirección de Opera, a fecha de 10 de agosto de 2024", y atribuye por separado la frase "No hay ninguna funcionalidad de registro de datos integrada en el servicio VPN, y no se recopilan datos de ningún tipo" a la propia Declaración de la dirección de Opera.

La publicación de 2026 vuelve a contar el mismo encargo como un hallazgo realizado por Deloitte: "dimos al equipo de Deloitte acceso completo a nuestra VPN y a nuestra infraestructura de servidores, y pudieron verificar nuestra afirmación ... De hecho, la función de registro de datos ni siquiera está integrada en la VPN". La misma publicación eleva una ventana que la publicación de 2024 fecha del 18 de junio al 10 de agosto de 2024 a "acceso completo".

Opera está describiendo su propia afirmación como la conclusión de su auditoría. Por eso el bloque VERIFY se divide como lo hace. V01 es yes_verified porque se basa en un informe que realmente se abrió —el propio resumen de gestión publicado por Cure53 sobre su evaluación de marzo de 2022—, no en el anuncio de Deloitte.

El informe de Deloitte en sí no está publicado en ninguna parte, por lo que V02 es press_only, y todo campo que sea un hallazgo de ese informe, y no un hecho sobre el encargo, sigue siendo desconocido: cobertura de la flota (V04), estándar de aseguramiento (V07), lo que el informe afirma que se retiene (V11) y la solidez de la opinión (V15).

Los hechos del encargo —la empresa, su categoría, la fecha y lo que figuraba como evaluado— se toman del anuncio. Un proveedor que ha vuelto a caracterizar esta auditoría de forma demostrable una vez no es una fuente para saber qué concluyó la auditoría. C01 es none_linkable porque esa es la declaración de la declaración de privacidad; V11 es el hallazgo, y no hay ningún hallazgo que leer.

El informe de Cure53 es real y es la razón por la que V14 es yes_verified: siete evaluadores, veinticuatro jornadas-persona, una evaluación de caja blanca en cuatro paquetes de trabajo que cubrían los clientes VPN, la configuración y la infraestructura del servidor, y el protocolo de Opera Mini utilizado para proporcionar la configuración de VPN. Catorce problemas pertinentes para la seguridad, ocho de ellos vulnerabilidades reales, cinco clasificados como de gravedad alta y ninguno crítico.

En marzo de 2022, nueve se habían corregido y las correcciones se habían verificado, uno se había corregido parcialmente, se había aceptado el riesgo de tres, uno era una alerta falsa y uno seguía en curso. El blog de Opera afirma que los siete elementos relacionados directamente con la VPN del navegador fueron «todos resueltos posteriormente», y la tabla lo confirma: el remanente se encuentra en el paquete de trabajo de Opera Mini, no en la propia VPN.

La propiedad está completamente divulgada y termina en un país de mandato, por lo que X03 y C11 apuntan en direcciones opuestas sin contradecirse.

El responsable del tratamiento de datos identificado en la propia declaración de privacidad de Opera es Opera Norway AS, una empresa noruega, y el informe de transparencia se presenta con ese nombre.

La sociedad holding es Opera Limited, una sociedad exenta constituida en las Islas Caimán en marzo de 2018, sin operaciones sustantivas propias. El Form 20-F de 2025 identifica a Hong Kong Kunlun Tech Holding Limited como accionista principal, con un 68,0 %, una filial de Kunlun Tech Co., Ltd. constituida en la PRC, y afirma que Kunlun «es la matriz última de Opera y está controlada por el presidente ejecutivo de Opera».

Por tanto, M06 es NO y C10 es no, mientras que M11 es CN y C11 es yes.

C12 es el vacío más marcado entre la declaración de la VPN y la aplicación en la que está integrada. La sección de la VPN de la declaración de privacidad declara ausencia de registros; otra sección del mismo documento dice que, cuando se instala una aplicación de Opera, «se genera un ID de instalación aleatorio. Recopilamos este identificador, así como Machine ID, las especificaciones del hardware (modelo, fecha de lanzamiento, etc.), el sistema operativo, la configuración del entorno y los datos de uso de funciones», con una retención de hasta tres años.

Un Machine ID se deriva del hardware, por lo que el identificador que conserva el proveedor es persistent_hardware_id y no uno aleatorio con alcance limitado a la aplicación, haga el túnel lo que haga o no haga con los registros.

X12 compara dos documentos que Opera presentó por sí misma. El formulario de seguridad de datos de Play para com.opera.browser declara que Installed apps se recopila para Analytics, y la declaración de privacidad nunca menciona la recopilación de las aplicaciones instaladas en el dispositivo. Installed apps es comportamiento, no un identificador; de ahí undisclosed_behaviour.

El mismo formulario declara que Device or other IDs se comparte con otras empresas para publicidad, lo que sitúa C07a en ads. C07b se basa en algo más limitado y se marca como B por ello: el único host de terceros en el marcado servido para la página del producto es Google Tag Manager, y no se enumeró lo que ese contenedor carga en tiempo de ejecución.

U02 es desconocido por el diseño del producto, no por un fallo de la búsqueda: la VPN gratuita ofrece tres regiones —Opera las denomina America, Asia y Europe— y nunca un país. C09 y C09b se derivan de ello y no pueden resolverse mientras se mantenga esta situación.

X05 es ads_supported en el explicador de Opera, que enumera la publicidad en primer lugar entre tres fuentes de ingresos y describe que Opera Ads recopila un ID de usuario generado aleatoriamente, la ciudad o el país y categorías generales de sitios visitados, con una retención de hasta un año; junto con U05 = unlimited_free, este es exactamente el caso que R15 existe para señalar.

X06 es la afirmación de la publicación de 2026 de que AES-256 «le llevaría a un hacker con incluso el ordenador más rápido más de mil millones de años descifrarlo». X09 es self_disclosed_prompt en dos publicaciones de 2026 en las que Opera publicó vulnerabilidades que investigadores externos le habían comunicado, junto con el análisis y la versión corregida; se trata de vulnerabilidades del navegador, no de incidentes de VPN, y no se conoce ningún incidente de VPN.

C05 es not_sold. La VPN gratuita no tiene ningún paso de pago: ni suscripción ni cuenta; por tanto, no hay nada que pagar de forma anónima ni de otro modo.

Esta ficha se escribió inicialmente como none, lo que se interpreta como «solo se ofrecen métodos de pago identificados» y aquí es falso, porque el vocabulario no tenía ningún token para un servicio que no cobra dinero; unknown habría afirmado que la búsqueda había fallado, lo que también era falso, y entre dos interpretaciones erróneas se registró la que perjudica al proveedor. El token existe ahora y tiene un precio de nada, que es la respuesta honesta: donde no hay pago, no hay identidad de pago que pueda filtrarse.