Opera VPN vs Surfshark

Perché il punteggio non dipende da questo. Sia il prezzo accertato sia quello sconosciuto valgono 0,000, quindi nulla nel punteggio dipende da questo; ciò che manca è la scheda, non il numero, e la prossima esecuzione dovrebbe iniziare dai documenti depositati da Kunlun e dal registro federale dei procedimenti, non da un loro riepilogo.

Il report che sposterebbe quattro campi. Il report di Deloitte è l'altro documento che sposterebbe diversi campi in una volta sola: V04, V07, V11 e V15 sono tutti sconosciuti solo perché non è pubblicato, e V11 in particolare è il campo su cui poggia l'intera dichiarazione di assenza di log.

Ciò per cui non esiste alcun documento. U07 non ha alcun documento e lo stesso vale per C13, che ne è alla base: Opera nomina AES-256 e un «secure tunnel», ma mai un protocollo, quindi il trasporto più debole tra quelli offerti non è accertato. U08, U09 e U12b non sono compilati per lo stesso motivo: la tabella di confronto delle funzionalità nella pagina del prodotto contrassegna le righe con segni di spunta che il markup recuperato non contiene, e leggere i segni di spunta da un'immagine renderizzata non costituisce una fonte.

Server descritti, non supportati da prove. C02, C06 e C08 non hanno alcuna prova a sostegno: Opera afferma che i server sono fisici e di sua proprietà, il che non accerta né il disco né il DNS né chi possiede l'hardware. Non è possibile rispondere a C09b finché U02 è sconosciuto.

Un solo store, non due. È stato esaminato soltanto il modulo sulla sicurezza dei dati di Google Play; le etichette sulla privacy dell'App Store per il browser iOS non sono state esaminate, quindi X12 si basa su un solo store anziché sul peggiore dei due.

Due interpretazioni anziché dichiarazioni. Linux in U01 è dedotto dal manuale di assistenza desktop, che documenta la VPN e tratta insieme Windows, macOS e Linux senza distinguerli per piattaforma; Android e iOS sono nominati esplicitamente nell'annuncio dell'audit. U10 è illimitato perché non esistono né un account né un limite di dispositivi da applicare, il che è un'interpretazione del prodotto anziché un dato dichiarato.

L'India e il regime degli ordini di bavaglio. P04_mandate_response=withdrew_physical è l'uscita dall'India del giugno 2022, ripristinata dal blog di Surfshark (surfshark.com/blog/surfshark-servers-certin-india) dopo che la verifica precedente aveva rilevato che la pagina /trust-center non la riportava più. P11=judicial_only si basa sul rapporto di trasparenza, che mostra il mandato dell'Amsterdam District Court dell'aprile 2026 e i relativi contatori per le lettere di sicurezza nazionale e gli ordini di bavaglio a zero.

Trovati due rapporti, forse non tutti. Sono stati trovati pubblicati solo due rapporti Deloitte no-logs (dicembre 2022, giugno 2025); potrebbero essercene altri non collegati da robots.txt, che questo audit non ha cercato con altri mezzi.

X02 è l'accertamento su cui poggia il resto, ed entrambi i documenti su cui si basa sono di Opera. L'annuncio del 2024 cita il parere di Deloitte secondo cui «la configurazione dei sistemi IT e la gestione delle operazioni IT di supporto sono state adeguatamente progettate e implementate, sotto ogni aspetto rilevante, sulla base dei criteri descritti nella Management Assertion di Opera, al 10 agosto 2024», e attribuisce separatamente la frase «La funzionalità di registrazione dei dati non è integrata nel servizio VPN e non viene raccolto alcun dato» alla Management Assertion di Opera.

Il post del 2026 ripercorre lo stesso incarico presentando Deloitte come autore dell'accertamento: «abbiamo dato al team di Deloitte accesso completo alla nostra VPN e alla nostra infrastruttura dei server, e il team ha potuto verificare la nostra dichiarazione ... In effetti, una funzione di registrazione dei dati non è nemmeno integrata nella VPN». Lo stesso post trasforma una finestra che il post del 2024 data al 18 giugno in «accesso completo» al 10 agosto 2024.

Opera descrive la propria dichiarazione come la conclusione del proprio auditor. Per questo il blocco VERIFY è suddiviso in questo modo. V01 è yes_verified sulla base di un rapporto effettivamente consultato — la sintesi gestionale pubblicata da Cure53 della propria valutazione del marzo 2022 — e non sulla base dell'annuncio di Deloitte.

Il rapporto di Deloitte non è pubblicato da nessuna parte, quindi V02 è press_only, e ogni campo che è una risultanza di quel rapporto anziché un fatto sull'incarico resta sconosciuto: copertura della flotta (V04), standard di assurance (V07), ciò che il rapporto dichiara essere soggetto a conservazione (V11) e solidità del parere (V15).

I fatti sull'incarico — lo studio, la sua categoria, la data, ciò che era indicato come oggetto dei test — sono ricavati dall'annuncio. Un fornitore che ha dimostrabilmente ridefinito una volta questo audit non è una fonte per ciò che l'audit ha concluso. C01 è none_linkable perché questa è la dichiarazione nell'informativa sulla privacy; V11 è la risultanza, e non c'è alcuna risultanza da leggere.

Il rapporto di Cure53 è reale ed è il motivo per cui V14 è yes_verified: sette tester, ventiquattro giornate-persona, white-box su quattro pacchetti di lavoro che coprivano i client VPN, la configurazione e l'infrastruttura del server, nonché il protocollo Opera Mini utilizzato per fornire la configurazione VPN. Quattordici problemi rilevanti per la sicurezza, otto dei quali vere vulnerabilità, cinque classificati di gravità elevata e nessuno critico.

Al marzo 2022 nove erano stati risolti con le correzioni verificate, uno era stato risolto parzialmente, tre avevano il rischio accettato, uno era un falso allarme e uno era ancora in corso. Il blog di Opera afferma che i sette elementi direttamente collegati alla VPN del browser erano "all subsequently resolved", e la tabella lo conferma: gli elementi residui si trovano nel pacchetto di lavoro Opera Mini, non nella VPN stessa.

La proprietà è interamente dichiarata e termina in un paese con obbligo, motivo per cui X03 e C11 puntano in direzioni opposte senza contraddirsi.

Il titolare del trattamento indicato nell'informativa sulla privacy di Opera è Opera Norway AS, una società norvegese, e il rapporto sulla trasparenza è depositato a quel nome.

La società capogruppo è Opera Limited, una società esente costituita nelle Isole Cayman nel marzo 2018 senza operazioni sostanziali proprie. Il Form 20-F per il 2025 indica Hong Kong Kunlun Tech Holding Limited come azionista principale al 68,0%, una controllata di Kunlun Tech Co., Ltd. costituita nella RPC, e dichiara che Kunlun "is the ultimate parent of Opera and is controlled by Opera's executive chairman".

Quindi M06 è NO e C10 è no, mentre M11 è CN e C11 è yes.

C12 è la lacuna più netta tra la dichiarazione della VPN e l'applicazione in cui risiede. La sezione sulla VPN dell'informativa sulla privacy dichiara l'assenza di registrazione; una sezione diversa dello stesso documento afferma che quando un'applicazione Opera viene installata "viene generato un ID di installazione casuale. Raccogliamo questo identificatore, oltre a Machine ID, specifiche hardware (modello, data di rilascio, ecc.), sistema operativo, configurazione dell'ambiente e dati sull'uso delle funzionalità", conservati per un massimo di tre anni.

Un Machine ID è derivato dall'hardware, quindi l'identificatore in possesso del fornitore è persistent_hardware_id e non uno casuale associato all'app, indipendentemente dal fatto che il tunnel registri o meno.

X12 confronta due documenti depositati dalla stessa Opera. Il modulo Play sulla sicurezza dei dati per com.opera.browser dichiara che Installed apps viene raccolto per Analytics, mentre l'informativa sulla privacy non menziona mai la raccolta delle applicazioni installate sul dispositivo. Installed apps è un comportamento, non un identificatore, da cui undisclosed_behaviour.

Lo stesso modulo dichiara che Device or other IDs viene condiviso con altre aziende per la pubblicità, ed è questo che porta C07a a ads. C07b si basa su qualcosa di più circoscritto ed è contrassegnato con B per questo motivo: l'unico host di terze parti presente nel markup servito per la pagina del prodotto è Google Tag Manager, e ciò che quel contenitore carica durante l'esecuzione non è stato enumerato.

U02 è sconosciuto per come è progettato il prodotto, non per un mancato risultato della ricerca: la VPN gratuita offre tre regioni — Opera le chiama America, Asia ed Europa — e non indica mai un paese. C09 e C09b ne conseguono e non possono essere accertati finché questa situazione permane.

X05 è ads_supported nell'approfondimento di Opera, che colloca la pubblicità al primo posto tra tre fonti di ricavo e descrive Opera Ads mentre raccoglie un ID utente generato casualmente, la città o il paese e ampie categorie di siti visitati, conservati per un massimo di un anno; insieme a U05 = unlimited_free, questo è esattamente il caso che R15 serve a segnalare.

X06 è la dichiarazione del post del 2026 secondo cui AES-256 "richiederebbe a un hacker, anche con il computer più veloce, più di un miliardo di anni per essere violato". X09 è self_disclosed_prompt in due post del 2026 nei quali Opera ha pubblicato vulnerabilità che ricercatori esterni le avevano segnalato, insieme all'analisi e alla versione corretta: si tratta di vulnerabilità del browser, non di incidenti VPN, e non è noto alcun incidente VPN.

C05 è not_sold. La VPN gratuita non prevede alcun passaggio di pagamento: nessun abbonamento, nessun account; quindi non c'è nulla da pagare, anonimamente o altrimenti.

Questa scheda è stata inizialmente registrata come none, che si legge come «sono offerti solo i metodi di pagamento identificati», ed è falso in questo caso, perché il vocabolario non aveva alcun token per un servizio che non incassa denaro; unknown avrebbe affermato che la ricerca non era riuscita, cosa anch'essa falsa, e tra due interpretazioni errate è stata registrata quella che sbaglia a sfavore del fornitore. Il token esiste ora e ha un prezzo pari a zero, che è la risposta onesta: dove non c'è pagamento, non c'è alcuna identità di pagamento da divulgare.

Questa scheda era stata letta in precedenza due volte — connection_timestamps in V11 dalla formulazione dell'audit, source_ip in C01 dalla formulazione dell'informativa — e valutata al peggiore dei due livelli, facendo sì che il margine di quindici minuti costasse più che non dire nulla: un campo vuoto in C01 è il prior di mercato 0,550 e source_ip è 0,750.

R29 traccia ora il confine: lo stato eliminato entro una finestra dichiarata legata alla fine della sessione è la connessione, non una sua scheda, quindi entrambi i campi riportano connection_timestamps nella stessa frase. Ciò che continua a essere conteggiato è quanto sopravvive alla sessione: la data dell’ultimo accesso nella sezione 2.3.1 della policy e i timestamp della connessione indicati dall’auditor.

Surfshark e NordVPN hanno lo stesso proprietario (Nord Security, dal 2022), ma la pagina about-us di Surfshark dichiara che i marchi si sono fusi «pur operando in modo indipendente», con infrastrutture separate: su questa base M18 è impostato su separati, in linea con la scheda di nordvpn.com.

U12a è parziale, non sì, nella colonna P2P della tabella dei server: 88 dei 100 Paesi elencati la riportano e dodici no (AU, CL, CO, HR, GR, IE, JP, MX, NZ, TW, TR, AE). La colonna viene disegnata lato client, quindi è stata letta dalla tabella visualizzata anziché dall’HTML statico, dove ogni riga riporta ogni etichetta.

Il rapporto sulla trasparenza all’indirizzo /transparency-report — a cui ora reindirizza /warrant-canary — riporta il trimestre aprile-giugno 2026 in una tabella: 374.719 notifiche DMCA, 33 richieste di informazioni da istituzioni governative, 1 mandato, 0 lettere di sicurezza nazionale e 0 ordini di bavaglio. P08 conta le 34 richieste legali e lascia fuori le notifiche DMCA: sono reclami sul copyright relativi al traffico, non richieste di dati di un utente.