Opera VPN vs Surfshark

Siapa pihak ketiga tersebut telah berubah: pengumuman audit 2024 menyatakan bahwa server VPN Pro "disediakan melalui kolaborasi dengan Nord", dan penjelasan 2026 menyatakan bahwa VPN Pro "dilengkapi dengan protokol Lightway generasi berikutnya", yang merupakan milik ExpressVPN. Tidak satu pun dokumen menyatakan bahwa pengaturannya berubah.

X02 adalah temuan utama yang menjadi penopang, dan kedua dokumen yang mendasarinya merupakan dokumen milik Opera sendiri. Pengumuman 2024 mengutip pendapat Deloitte sebagai berikut: "konfigurasi sistem TI dan pengelolaan operasi TI pendukung telah dirancang dan diterapkan secara tepat, dalam semua hal yang material, berdasarkan kriteria yang dijelaskan dalam Pernyataan Manajemen Opera, per 10 Agustus 2024", dan secara terpisah mengaitkan kalimat "Tidak ada fungsi pencatatan data yang terintegrasi ke dalam layanan VPN, dan sama sekali tidak ada data yang dikumpulkan" dengan Pernyataan Manajemen Opera milik Opera sendiri.

Tulisan 2026 menceritakan kembali penugasan yang sama sebagai Deloitte yang melakukan penemuan tersebut: "kami memberikan akses penuh kepada tim Deloitte ke infrastruktur VPN dan server kami, dan mereka dapat memverifikasi klaim kami ... Faktanya, fungsi pencatatan data bahkan sejak awal tidak terintegrasi ke dalam VPN." Tulisan yang sama meningkatkan cakupan yang dalam tulisan 2024 diberi tanggal 18 Juni hingga 10 Agustus 2024 menjadi "akses penuh".

Opera menggambarkan pernyataannya sendiri sebagai kesimpulan auditornya. Itulah sebabnya blok VERIFY terbagi seperti itu. V01 adalah yes_verified berdasarkan laporan yang benar-benar dibuka—ringkasan manajemen yang dipublikasikan oleh Cure53 sendiri mengenai penilaiannya pada Maret 2022—bukan berdasarkan pengumuman Deloitte.

Laporan Deloitte itu sendiri tidak dipublikasikan di mana pun, sehingga V02 adalah press_only, dan setiap bidang yang merupakan temuan laporan itu, bukan fakta tentang penugasannya, tetap tidak diketahui: cakupan armada (V04), standar assurance (V07), hal yang dinyatakan laporan sebagai dipertahankan (V11), dan kekuatan opini (V15).

Fakta penugasan—firma, kategorinya, tanggalnya, dan hal yang tercantum sebagai diuji—diambil dari pengumuman tersebut. Penyedia yang terbukti telah menggambarkan ulang audit ini satu kali bukanlah sumber untuk mengetahui kesimpulan audit. C01 adalah none_linkable karena itulah deklarasi dalam pernyataan privasi; V11 adalah temuannya, dan tidak ada temuan yang dapat dibaca.

Laporan Cure53 itu nyata dan menjadi alasan V14 adalah yes_verified: tujuh penguji, dua puluh empat hari-orang, white-box pada empat paket kerja yang mencakup klien VPN, konfigurasi dan infrastruktur server, serta protokol Opera Mini yang digunakan untuk mengirimkan konfigurasi VPN. Empat belas masalah yang relevan dengan keamanan, delapan di antaranya merupakan kerentanan aktual, lima dinilai memiliki tingkat keparahan tinggi dan tidak ada yang kritis.

Per Maret 2022, sembilan telah diperbaiki dengan perbaikannya diverifikasi, satu diperbaiki sebagian, tiga risikonya diterima, satu merupakan peringatan palsu, dan satu masih dalam proses. Blog Opera menyatakan bahwa tujuh item yang berkaitan langsung dengan VPN browser "semuanya kemudian diselesaikan", dan tabel tersebut menegaskannya—sisa masalah berada dalam paket kerja Opera Mini, bukan di VPN itu sendiri.

Kepemilikan diungkapkan sepenuhnya dan berakhir di negara mandat, sehingga X03 dan C11 menunjuk ke arah yang berlawanan tanpa saling bertentangan.

Pengendali data yang disebutkan dalam pernyataan privasi Opera sendiri adalah Opera Norway AS, sebuah perusahaan Norwegia, dan laporan transparansi diajukan atas nama tersebut.

Perusahaan induknya adalah Opera Limited, sebuah perusahaan exempted yang didirikan di Kepulauan Cayman pada Maret 2018 tanpa operasi substantifnya sendiri. Form 20-F untuk 2025 menyebut Hong Kong Kunlun Tech Holding Limited sebagai pemegang saham utama dengan 68,0%, anak perusahaan Kunlun Tech Co., Ltd. yang didirikan di PRC, dan menyatakan bahwa Kunlun "adalah perusahaan induk terakhir Opera dan dikendalikan oleh ketua eksekutif Opera".

Jadi M06 adalah NO dan C10 adalah no, sementara M11 adalah CN dan C11 adalah yes.

C12 adalah celah paling tajam antara pernyataan VPN dan aplikasi tempat VPN berada. Bagian VPN dari pernyataan privasi menyatakan tidak ada pencatatan; bagian lain dari dokumen yang sama menyatakan bahwa ketika aplikasi Opera diinstal, "ID instalasi acak dibuat. Kami mengumpulkan pengenal ini, serta Machine ID, spesifikasi perangkat keras (model, tanggal rilis, dan sebagainya), sistem operasi, konfigurasi lingkungan, dan data penggunaan fitur", yang disimpan hingga tiga tahun.

Machine ID berasal dari perangkat keras, sehingga pengenal yang disimpan penyedia adalah persistent_hardware_id dan bukan pengenal acak yang terbatas pada aplikasi, terlepas dari apakah tunnel mencatatnya atau tidak.

X12 membandingkan dua dokumen yang diajukan sendiri oleh Opera. Formulir keamanan data Play untuk com.opera.browser menyatakan bahwa Aplikasi terinstal dikumpulkan untuk Analitik, sedangkan pernyataan privasi sama sekali tidak menyebutkan pengumpulan aplikasi yang terinstal di perangkat. Aplikasi terinstal adalah perilaku, bukan pengenal, sehingga undisclosed_behaviour.

Formulir yang sama menyatakan bahwa ID Perangkat atau ID lainnya dibagikan kepada perusahaan lain untuk periklanan, yang menempatkan C07a pada ads. C07b bertumpu pada hal yang lebih sempit dan ditandai B karenanya: satu-satunya host pihak ketiga dalam markup yang disajikan untuk halaman produk adalah Google Tag Manager, dan apa yang dimuat container tersebut saat runtime tidak dirinci.

U02 tidak diketahui berdasarkan desain produk, bukan karena kegagalan pencarian: VPN gratis tersebut menawarkan tiga wilayah—Opera menamainya America, Asia, dan Europe—dan tidak pernah menyebut negara. C09 dan C09b mengikuti hal itu dan tidak dapat dipastikan selama kondisi tersebut berlaku.

X05 adalah ads_supported pada penjelasan milik Opera sendiri, yang mencantumkan periklanan sebagai sumber pendapatan pertama dari tiga sumber dan menjelaskan bahwa Opera Ads mengumpulkan ID pengguna yang dibuat secara acak, kota atau negara, serta kategori umum situs yang dijelajahi, yang disimpan hingga satu tahun; bersama U05 = unlimited_free, ini tepat merupakan kasus yang hendak ditandai oleh R15.

X06 adalah klaim dalam postingan 2026 bahwa AES-256 "akan membutuhkan waktu lebih dari satu miliar tahun bagi peretas dengan komputer tercepat sekalipun untuk membobolnya". X09 adalah self_disclosed_prompt pada dua postingan 2026 yang di dalamnya Opera memublikasikan kerentanan yang telah dilaporkan kepadanya oleh peneliti eksternal, beserta analisis dan versi yang telah diperbaiki—ini adalah kerentanan browser, bukan insiden VPN, dan tidak ada insiden VPN yang diketahui.

C05 adalah not_sold. VPN gratis ini sama sekali tidak memiliki langkah pembayaran—tidak ada langganan, tidak ada akun—jadi tidak ada yang perlu dibayar secara anonim ataupun sebaliknya.

Berkas ini pertama kali ditulis sebagai none, yang terbaca sebagai "hanya metode pembayaran yang teridentifikasi yang ditawarkan" dan salah dalam kasus ini, karena kosakatanya tidak memiliki token untuk layanan yang tidak menerima uang; unknown akan menyatakan bahwa pencarian gagal, yang juga salah, dan di antara dua pembacaan yang keliru, yang merugikan penyedia dicatat. Token tersebut sekarang tersedia dan harganya nihil, yang merupakan jawaban yang jujur: jika tidak ada pembayaran, tidak ada identitas pembayaran yang dapat bocor.

Berkas ini sebelumnya dibaca dua kali — connection_timestamps di V11 dari redaksi audit, source_ip di C01 dari redaksi kebijakan — dan dinilai berdasarkan yang lebih buruk dari keduanya, sehingga jeda lima belas menit menimbulkan biaya lebih besar daripada tidak menyatakan apa pun: kolom kosong pada C01 adalah prior pasar 0.550 dan source_ip adalah 0.750.

R29 kini menarik batasnya: status yang dihapus dalam jangka waktu yang dinyatakan dan terkait dengan akhir sesi adalah koneksi, bukan berkas tentangnya, sehingga kedua bidang membaca connection_timestamps dalam kalimat yang sama. Yang masih diperhitungkan adalah yang bertahan setelah sesi — tanggal login terakhir dalam bagian 2.3.1 kebijakan dan timestamp koneksi yang disebut auditor.

Surfshark dan NordVPN memiliki pemilik yang sama (Nord Security, sejak 2022), tetapi halaman tentang kami milik Surfshark sendiri menyatakan bahwa merek-merek tersebut bergabung "sambil beroperasi secara independen" dengan infrastruktur terpisah — M18 ditetapkan sebagai terpisah atas dasar itu, sesuai dengan berkas nordvpn.com.

U12a bersifat sebagian, bukan ya, pada kolom P2P milik tabel server itu sendiri: 88 dari 100 negara yang tercantum memilikinya dan dua belas tidak (AU, CL, CO, HR, GR, IE, JP, MX, NZ, TW, TR, AE). Kolom tersebut digambar di sisi klien, sehingga dibaca dari tabel yang ditampilkan, bukan dari HTML statis, yang setiap barisnya memuat setiap label.

Laporan transparansi di /transparency-report — yang sekarang menjadi tujuan pengalihan /warrant-canary — memuat kuartal April–Juni 2026 sebagai tabel: 374,719 pemberitahuan DMCA, 33 pertanyaan dari lembaga pemerintah, 1 surat perintah, 0 surat keamanan nasional, dan 0 perintah bungkam. P08 menghitung 34 permintaan hukum dan tidak memasukkan pemberitahuan DMCA: itu adalah keluhan hak cipta tentang lalu lintas, bukan permintaan data pengguna.

Halaman yang sama menyatakan bahwa Surfshark menghentikan warrant canary demi pelaporan triwulanan, sehingga P07 dihapus, bukan karena tidak ada — canary tersebut ada dan sengaja ditarik.

Laporan yang akan mengubah empat bidang. Laporan Deloitte adalah dokumen lain yang akan mengubah beberapa bidang sekaligus: V04, V07, V11, dan V15 semuanya tidak diketahui hanya karena laporan itu tidak dipublikasikan, dan V11 khususnya adalah bidang yang menjadi tumpuan seluruh klaim tanpa pencatatan.

Yang tidak memiliki dokumen. U07 tidak memiliki dokumen dan C13 yang mendasarinya juga demikian: Opera menyebut AES-256 dan "terowongan aman" tetapi tidak pernah menyebut protokol, sehingga transportasi terlemah yang ditawarkan belum dipastikan. U08, U09, dan U12b tidak terisi karena alasan yang sama - tabel perbandingan fitur di halaman produk menandai baris dengan tanda centang yang tidak dibawa oleh markup yang diambil, dan membaca tanda centang dari gambar yang dirender bukanlah sumber.

Server dideskripsikan, bukan dibuktikan. C02, C06, dan C08 tidak memiliki bukti pendukung: Opera mengatakan server tersebut bersifat fisik dan miliknya sendiri, yang tidak memastikan disk, DNS, maupun siapa pemilik perangkat kerasnya. C09b tidak dapat dijawab selama U02 tidak diketahui.

Satu toko, bukan dua. Hanya formulir keamanan data Google Play yang dibaca; label privasi App Store untuk peramban iOS tidak dibaca, sehingga X12 bertumpu pada satu toko, bukan pada yang lebih buruk di antara dua toko.

Dua pembacaan, bukan pernyataan. Linux dalam U01 disimpulkan dari manual bantuan desktop, yang mendokumentasikan VPN dan mencakup Windows, macOS, dan Linux sekaligus tanpa membedakan berdasarkan platform; Android dan iOS disebutkan secara eksplisit dalam pengumuman audit. U10 tidak terbatas karena tidak ada akun dan tidak ada batas perangkat yang dapat diberlakukan, yang merupakan pembacaan atas produk, bukan angka yang dinyatakan.

India dan rezim perintah rahasia. P04_mandate_response=withdrew_physical adalah keluarnya dari India pada Juni 2022, dipulihkan dari blog milik Surfshark sendiri (surfshark.com/blog/surfshark-servers-certin-india) setelah penelusuran sebelumnya menemukan bahwa halaman /trust-center tidak lagi memuatnya. P11=judicial_only didasarkan pada laporan transparansi yang menunjukkan surat perintah Amsterdam District Court pada April 2026 serta penghitung surat keamanan nasional dan perintah bungkamnya bernilai nol.

Dua laporan ditemukan, mungkin tidak semuanya. Hanya dua laporan no-logs Deloitte (Des 2022, Jun 2025) yang ditemukan dipublikasikan; mungkin ada yang lain yang tidak ditautkan dari robots.txt dan tidak dicari oleh audit ini dengan cara lain.