Mullvad VPN vs Surfshark

Por qué el recuento es ocho. El recuento de auditorías es ocho porque la revisión de GotaTun queda fuera de la lista propia del repositorio de la aplicación. Antes de ellas, una revisión de X41 D-Sec de 30 días-persona en las cinco plataformas encontró seis vulnerabilidades — tres altas, dos medias y una baja; ninguna crítica.

Lo que no cubre ningún encargo. Ninguno de estos encargos cubre la flota de servidores: todos examinan la aplicación o el protocolo del túnel, por lo que la cobertura de la flota se registra como no aplicable y no como una muestra. Por tanto, la declaración de ausencia de registros en el lado de la infraestructura se basa en la orden de registro de abril de 2023 — la policía sueca acudió a buscar datos de clientes y se fue sin ellos — y no en ninguna auditoría.

Compilaciones reproducibles, solo en Android. Las compilaciones reproducibles solo están disponibles en Android, desde la versión 2025.2, por lo que el campo sigue siendo parcial; las compilaciones de escritorio y de iOS no se pueden verificar bit a bit. Turquía es el único país con mandato de la lista ofrecida y el alojamiento que lo sustenta no está establecido.

Nada publicado sobre las exigencias. Nada de lo registrado se basa en algo que el proveedor publique sobre las exigencias que recibe: no hay informe de transparencia ni canario de orden judicial, por lo que la incautación de abril de 2023 constituye por sí sola ese fundamento. La cobertura del interruptor de emergencia y la política de P2P no están establecidas; la auditoría más reciente es una revisión de código del protocolo, no un encargo sobre ausencia de registros, por lo que V11 está en silencio y la retención se apoya en la declaración.

India y el régimen de órdenes secretas. P04_mandate_response=withdrew_physical es la salida de India de junio de 2022, recuperada del propio blog de Surfshark (surfshark.com/blog/surfshark-servers-certin-india) después de que la revisión anterior constatara que la página /trust-center ya no lo incluía. P11=judicial_only se basa en el informe de transparencia que muestra la orden del Tribunal de Distrito de Ámsterdam de abril de 2026 y sus contadores de cartas de seguridad nacional y órdenes de mordaza en cero.

Se encontraron dos informes, quizá no todos. Solo se encontraron publicados dos informes de ausencia de registros de Deloitte (diciembre de 2022, junio de 2025); puede haber otros no enlazados desde robots.txt que esta auditoría no buscó por otros medios.

Esta ficha se había leído dos veces anteriormente — connection_timestamps en V11 a partir de la redacción de la auditoría, source_ip en C01 a partir de la redacción de la política — y se puntuó según la peor de las dos, lo que hizo que el margen de quince minutos costara más que no decir nada: un valor en blanco en C01 es el prior de mercado 0,550 y source_ip es 0,750.

R29 traza ahora la línea: el estado eliminado dentro de una ventana declarada vinculada al final de la sesión es la conexión, no un registro de ella, por lo que ambos campos aparecen como connection_timestamps en la misma frase. Lo que sigue contabilizándose es lo que sobrevive a la sesión: la fecha del último inicio de sesión de la sección 2.3.1 de la política y las marcas de tiempo de conexión que nombra el auditor.

Surfshark y NordVPN comparten un propietario (Nord Security, desde 2022), pero la propia página about-us de Surfshark afirma que las marcas se fusionaron «mientras operaban de forma independiente», con infraestructura separada; M18 se establece como separado sobre esa base, en consonancia con la ficha de nordvpn.com.

U12a es parcial, no sí, en la propia columna P2P de la tabla de servidores: 88 de los 100 países enumerados la llevan y doce no (AU, CL, CO, HR, GR, IE, JP, MX, NZ, TW, TR, AE). La columna se dibuja del lado del cliente, por lo que se leyó en la tabla renderizada y no en el HTML estático, donde cada fila lleva todas las etiquetas.

El informe de transparencia en /transparency-report —adonde redirige ahora /warrant-canary— incluye el trimestre de abril-junio de 2026 en una tabla: 374.719 avisos de DMCA, 33 consultas de instituciones gubernamentales, 1 mandato, 0 cartas de seguridad nacional y 0 órdenes de mordaza. P08 cuenta las 34 solicitudes legales y deja fuera los avisos de DMCA: son reclamaciones de derechos de autor sobre el tráfico, no solicitudes de datos de un usuario.

La misma página afirma que Surfshark está retirando su canario de mandato en favor de informes trimestrales, por lo que P07 se elimina en lugar de quedar como ninguno: el canario existía y fue retirado deliberadamente.

U07_protocols lleva proprietary para Dausos según las propias palabras de Surfshark: su página de protocolos lo denomina «protocolo propietario de Surfshark» y no publica ninguna fuente para él; ese único valor es el que establece C13_weakest_protocol y la penalización de higiene que le sigue. IKEv2 se mantiene porque Surfshark todavía lo documenta, aunque su propio blog registra su eliminación de la aplicación de Windows; Shadowsocks ha desaparecido del índice de asistencia y no figura en la lista.