Mullvad VPN vs Surfshark

Questa scheda era stata letta in precedenza due volte — connection_timestamps in V11 dalla formulazione dell'audit, source_ip in C01 dalla formulazione dell'informativa — e valutata al peggiore dei due livelli, facendo sì che il margine di quindici minuti costasse più che non dire nulla: un campo vuoto in C01 è il prior di mercato 0,550 e source_ip è 0,750.

R29 traccia ora il confine: lo stato eliminato entro una finestra dichiarata legata alla fine della sessione è la connessione, non una sua scheda, quindi entrambi i campi riportano connection_timestamps nella stessa frase. Ciò che continua a essere conteggiato è quanto sopravvive alla sessione: la data dell’ultimo accesso nella sezione 2.3.1 della policy e i timestamp della connessione indicati dall’auditor.

Surfshark e NordVPN hanno lo stesso proprietario (Nord Security, dal 2022), ma la pagina about-us di Surfshark dichiara che i marchi si sono fusi «pur operando in modo indipendente», con infrastrutture separate: su questa base M18 è impostato su separati, in linea con la scheda di nordvpn.com.

U12a è parziale, non sì, nella colonna P2P della tabella dei server: 88 dei 100 Paesi elencati la riportano e dodici no (AU, CL, CO, HR, GR, IE, JP, MX, NZ, TW, TR, AE). La colonna viene disegnata lato client, quindi è stata letta dalla tabella visualizzata anziché dall’HTML statico, dove ogni riga riporta ogni etichetta.

Il rapporto sulla trasparenza all’indirizzo /transparency-report — a cui ora reindirizza /warrant-canary — riporta il trimestre aprile-giugno 2026 in una tabella: 374.719 notifiche DMCA, 33 richieste di informazioni da istituzioni governative, 1 mandato, 0 lettere di sicurezza nazionale e 0 ordini di bavaglio. P08 conta le 34 richieste legali e lascia fuori le notifiche DMCA: sono reclami sul copyright relativi al traffico, non richieste di dati di un utente.

La stessa pagina dichiara che Surfshark sta ritirando il proprio warrant canary a favore di rapporti trimestrali, motivo per cui P07 è rimosso anziché impostato su nessuno: il canary esisteva ed è stato ritirato deliberatamente.

U07_protocols riporta proprietary per Dausos sulla base delle stesse parole di Surfshark: la sua pagina sui protocolli lo definisce «il protocollo proprietario di Surfshark» e non pubblica alcuna fonte al riguardo; questo singolo valore determina C13_weakest_protocol e la penalità di igiene che ne consegue. IKEv2 viene mantenuto perché Surfshark lo documenta ancora, sebbene il suo blog riporti la rimozione dall’app Windows; Shadowsocks è scomparso dall’indice dell’assistenza e non è elencato.

Perché il conteggio è otto. Il conteggio degli audit è otto perché la revisione di GotaTun non rientra nella lista propria del repository dell’app. Prima di questi, una revisione X41 D-Sec di 30 giornate-persona su tutte e cinque le piattaforme aveva rilevato sei vulnerabilità — tre alte, due medie, una bassa, nessuna critica.

Ciò che nessun incarico copre. Nessuno di questi incarichi copre la flotta di server: ognuno esamina l’app o il protocollo del tunnel, motivo per cui la copertura della flotta è registrata come non applicabile, anziché come campione. La dichiarazione di assenza di log sul lato dell’infrastruttura si basa quindi sul mandato di perquisizione dell’aprile 2023 — la polizia svedese è andata a cercare i dati dei clienti e se n’è andata senza trovarli — e non su un audit.

Build riproducibili, solo Android. Le build riproducibili sono disponibili solo su Android, dalla versione 2025.2 in poi, quindi il campo resta parziale; le build desktop e iOS non sono verificabili bit per bit. Turkey è l’unico paese con obbligo nell’elenco offerto e l’hosting che vi sta dietro non è accertato.

Nulla di pubblicato sulle richieste. Nulla nella scheda si basa su qualcosa che il fornitore pubblichi sulle richieste che riceve: non esistono né un rapporto sulla trasparenza né un warrant canary, quindi il sequestro dell’aprile 2023 costituisce da solo questa base. La copertura del kill switch e la politica P2P non sono accertate; l’audit più recente è una revisione del codice del protocollo, non un incarico sui no-logs, quindi V11 non si pronuncia e la conservazione si basa sulla dichiarazione.