Proton VPN vs Surfshark

Questa scheda era stata letta in precedenza due volte — connection_timestamps in V11 dalla formulazione dell'audit, source_ip in C01 dalla formulazione dell'informativa — e valutata al peggiore dei due livelli, facendo sì che il margine di quindici minuti costasse più che non dire nulla: un campo vuoto in C01 è il prior di mercato 0,550 e source_ip è 0,750.

R29 traccia ora il confine: lo stato eliminato entro una finestra dichiarata legata alla fine della sessione è la connessione, non una sua scheda, quindi entrambi i campi riportano connection_timestamps nella stessa frase. Ciò che continua a essere conteggiato è quanto sopravvive alla sessione: la data dell’ultimo accesso nella sezione 2.3.1 della policy e i timestamp della connessione indicati dall’auditor.

Surfshark e NordVPN hanno lo stesso proprietario (Nord Security, dal 2022), ma la pagina about-us di Surfshark dichiara che i marchi si sono fusi «pur operando in modo indipendente», con infrastrutture separate: su questa base M18 è impostato su separati, in linea con la scheda di nordvpn.com.

U12a è parziale, non sì, nella colonna P2P della tabella dei server: 88 dei 100 Paesi elencati la riportano e dodici no (AU, CL, CO, HR, GR, IE, JP, MX, NZ, TW, TR, AE). La colonna viene disegnata lato client, quindi è stata letta dalla tabella visualizzata anziché dall’HTML statico, dove ogni riga riporta ogni etichetta.

Il rapporto sulla trasparenza all’indirizzo /transparency-report — a cui ora reindirizza /warrant-canary — riporta il trimestre aprile-giugno 2026 in una tabella: 374.719 notifiche DMCA, 33 richieste di informazioni da istituzioni governative, 1 mandato, 0 lettere di sicurezza nazionale e 0 ordini di bavaglio. P08 conta le 34 richieste legali e lascia fuori le notifiche DMCA: sono reclami sul copyright relativi al traffico, non richieste di dati di un utente.

La stessa pagina dichiara che Surfshark sta ritirando il proprio warrant canary a favore di rapporti trimestrali, motivo per cui P07 è rimosso anziché impostato su nessuno: il canary esisteva ed è stato ritirato deliberatamente.

U07_protocols riporta proprietary per Dausos sulla base delle stesse parole di Surfshark: la sua pagina sui protocolli lo definisce «il protocollo proprietario di Surfshark» e non pubblica alcuna fonte al riguardo; questo singolo valore determina C13_weakest_protocol e la penalità di igiene che ne consegue. IKEv2 viene mantenuto perché Surfshark lo documenta ancora, sebbene il suo blog riporti la rimozione dall’app Windows; Shadowsocks è scomparso dall’indice dell’assistenza e non è elencato.

Il ricorso e ciò che non stabilisce. Il ricorso del 22 ottobre 2021 è citato qui con una precisazione che vale la pena esprimere chiaramente: il Federal Administrative Court ha stabilito che i servizi di email non sono fornitori di servizi di telecomunicazione, e né i resoconti della sentenza né il resoconto fornito da Proton menzionano la VPN.

Ciò che determina effettivamente i due campi. Ciò che determina C10 e C11 è che la Svizzera non ha alcuna base per un obbligo nell'elenco dei Paesi del catalogo; l'appello corrobora il modo in cui le autorità svizzere trattano Proton e non costituisce di per sé un accertamento su Proton VPN. Una decisione su un servizio affine offre una base più debole di quanto la citazione lasci intendere.

Il principale punto aperto. Proton offre località di uscita in otto Paesi che impongono un obbligo di conservazione. Non è accertato che l'hardware si trovi effettivamente in uno di essi: Proton ha ritirato i server fisici dall'India nel 2022 e documenta lo Smart Routing per le località servite da altrove, il che indica una configurazione virtuale, ma ciò è stato verificato solo per l'India. Stabilire C09b_mandate_hosting è il principale punto aperto di questa scheda.

L'India e il regime degli ordini di bavaglio. P04_mandate_response=withdrew_physical è l'uscita dall'India del giugno 2022, ripristinata dal blog di Surfshark (surfshark.com/blog/surfshark-servers-certin-india) dopo che la verifica precedente aveva rilevato che la pagina /trust-center non la riportava più. P11=judicial_only si basa sul rapporto di trasparenza, che mostra il mandato dell'Amsterdam District Court dell'aprile 2026 e i relativi contatori per le lettere di sicurezza nazionale e gli ordini di bavaglio a zero.

Trovati due rapporti, forse non tutti. Sono stati trovati pubblicati solo due rapporti Deloitte no-logs (dicembre 2022, giugno 2025); potrebbero essercene altri non collegati da robots.txt, che questo audit non ha cercato con altri mezzi.