AirVPN vs Opera VPN

これはP12_case_historyにcourt_order/nothing_producedイベントとして記録され、出典はAirVPN自身のフォーラム上の確認である（自動取得で403が返されたため、PACERのPDF自体ではなく、二次的な要約を通じてのみ読まれた）。

2026年の投稿は、同じ業務について、Deloitteが確認を行ったと改めて説明している。「私たちはDeloitteのチームにVPNとサーバーインフラストラクチャへの完全なアクセスを提供し、同チームは私たちの主張を検証することができた。実際、そもそもデータロギング機能はVPNに組み込まれていない」。同じ投稿は、2024年の投稿が6月18日から8月10日までとした期間を、「完全なアクセス」へと格上げしている。

Operaは、自社の主張を監査人の結論として説明しています。それが、VERIFYブロックがこのように分かれる理由です。V01がyes_verifiedなのは、Deloitteの発表によるのではなく、実際に開かれたレポート、すなわちCure53が公開した2022年3月の評価に関する独自の管理サマリーに基づいています。

Deloitteのレポート自体はどこにも公開されていないため、V02はpress_onlyです。また、そのエンゲージメントに関する事実ではなく、そのレポートの所見であるすべてのフィールドは不明のままです。対象フリート（V04）、保証基準（V07）、レポートが保持されていると述べている内容（V11）、意見の強さ（V15）がこれに該当します。

エンゲージメントの事実、すなわち会社、そのカテゴリー、日付、テスト対象として記載された内容は、発表から取得しています。この監査を一度でも別のものとして再記述したベンダーは、監査の結論についての情報源にはなりません。C01がnone_linkableなのは、それがプライバシーステートメントにおける宣言だからです。V11は所見であり、読むべき所見はありません。

Cure53のレポートは実在し、V14がyes_verifiedである理由です。7人のテスター、24人日、4つの作業パッケージにわたるホワイトボックス方式で、VPNクライアント、サーバー設定とインフラストラクチャー、そしてVPN設定の配信に使用されるOpera Miniプロトコルを対象としていました。セキュリティ関連の問題は14件で、そのうち実際の脆弱性が8件、高重大度と評価されたものが5件、重大なものはありませんでした。

2022年3月時点で、9件は修正済みで修正が確認済み、1件は部分的に修正済み、3件はリスク受容、1件は誤警告、1件は対応中でした。Operaのブログは、ブラウザVPNに直接関係する7項目は「その後すべて解決された」と述べており、表もそれを裏付けています。残っているものはVPN自体ではなく、Opera Miniの作業パッケージにあります。

所有権は完全に公開されており、最終的に義務のある国に至るため、X03とC11は互いに反対の方向を示しますが、矛盾していません。

Opera自身のプライバシーステートメントで指定されているデータ管理者は、ノルウェー企業のOpera Norway ASであり、透明性レポートはその名義で提出されています。

持株会社はOpera Limitedです。これは2018年3月にケイマン諸島で設立された免除会社で、自社の実質的な事業はありません。2025年のForm 20-Fは、Hong Kong Kunlun Tech Holding Limitedを68.0%の主要株主として挙げています。同社はPRCで設立されたKunlun Tech Co., Ltd.の子会社であり、Kunlunについて「Operaの最終親会社であり、Operaの執行会長によって支配されている」と述べています。

したがってM06はNOでC10はno、一方M11はCNでC11はyesです。

C12は、VPNの申告と、それが組み込まれているアプリケーションとの間にある最も明確な空白です。プライバシー声明のVPNセクションはログ記録なしと宣言していますが、同じ文書の別のセクションには、Operaアプリケーションがインストールされると「ランダムなインストールIDが生成されます。私たちはこの識別子に加え、Machine ID、ハードウェア仕様（モデル、リリース日など）、オペレーティングシステム、環境設定、機能の使用データを収集します」と記載されており、最長3年間保持されます。

Machine IDはハードウェアに由来するため、プロバイダーが保持する識別子は、トンネルがログを記録するかどうかにかかわらず、アプリスコープのランダムなものではなくpersistent_hardware_idです。

X12は、Opera自身が提出した2つの文書を比較します。com.opera.browserのPlayデータセーフティフォームは、分析のためにInstalled appsを収集すると宣言していますが、プライバシー声明はデバイスにインストールされたアプリケーションの収集についてまったく言及していません。Installed appsは識別子ではなく挙動であるため、undisclosed_behaviourです。

同じフォームは、広告のためにDevice or other IDsを他社と共有すると宣言しており、それによってC07aはadsとなります。C07bはそれより狭い事項に基づいており、そのためBと記録されています。製品ページのマークアップで提供される第三者ホストはGoogle Tag Managerだけであり、そのコンテナが実行時に読み込むものは列挙されていません。

U02が不明なのは検索の失敗ではなく、製品の設計によるものです。無料VPNは3地域を提供し、OperaはそれらをAmerica、Asia、Europeと呼んでいますが、国名は一切示していません。C09とC09bはそこから導かれるため、この状態が続く限り確定できません。

X05はOpera自身の説明資料におけるads_supportedです。この資料は3つの収益源のうち広告を最初に挙げ、Opera Adsがランダムに生成されたユーザーID、市または国、閲覧したサイトの大まかなカテゴリーを収集し、最長1年間保持すると説明しています。これにU05 = unlimited_freeを組み合わせると、まさにR15がフラグを立てる対象です。

X06は、AES-256について「最速のコンピューターを使ったハッカーでさえ、解読するのに10億年以上かかるだろう」とする2026年の投稿の主張です。X09は、Operaが外部の研究者から報告を受けた脆弱性を、分析および修正済みバージョンとともに公開した2026年の2件の投稿におけるself_disclosed_promptです。これらはVPNのインシデントではなくブラウザーの脆弱性であり、既知のVPNインシデントはありません。

C05 は not_sold です。無料VPNには支払い手順がまったくありません。サブスクリプションもアカウントもないため、匿名であろうとなかろうと、支払うものはありません。

このレコードは当初 none として記録されました。これは「確認された支払い方法のみが提供される」と読めますが、ここでは誤りです。支払いを一切受け取らないサービスを表すトークンが、当時の語彙にはなかったためです。unknown とすれば検索に失敗したと主張することになり、それも誤りでした。2つの誤った読み方のうち、プロバイダーに不利な誤りを犯す方が記録されました。現在はそのトークンが存在し、料金はゼロです。これが正直な回答です。支払いがなければ、漏洩する支払い識別情報もありません。

ビルドとペンテスト。 再現可能なビルドはAirVPN自身のソースからのビルドページ（eddie.website/support/build/）に記録されておらず、専用クライアントまたはインフラのペンテストも見つけられなかった（V13、V14は不明）。キルスイッチの範囲とスプリットトンネリングの挙動は、AirVPN自身の文書ではなく第三者レビューを出典としている（U08、U09の確からしさはC）。これは、関連するFAQページにサイトのルーティングを通じて直接到達できなかったためである（それらはJavaScriptで描画され、通常のfetchには読み込み中のシェルだけを返した）。

アフィリエイト以外の対象範囲。 報道はアフィリエイトだけに限られていない。アフィリエイト・アグリゲーターのリスト外にある大手メディアBleepingComputerは、アフィリエイト・ディレクトリに限られることなく、独自のアフィリエイト開示通知を付けた独立レビューを公開している（X08=なし）。その同じレビューでは、試したすべてのストリーミングサービス――Netflix、Hulu、HBO Max、Amazon Prime Video、Disney+、ABC、NBC、CBS――でAirVPNが失敗したことも判明した。これが、U12b_streaming_worksが、同サイトが禁止対象と判定される前に付いていたaddictivetips.com由来のpartialではなく、現在noと記録されている理由である。

年間価格。 U04b_price_yearly=4.08は、airvpn.org/buy/における1年プラン（49 EUR/年）のEUR建て実質月額料金であり、AirVPNのすべての期間プランと同様、更新時も一定である。

ワードマーク。 AirVPNはワードマークをPNG（/static/img/logo/web_header.png、logo_horiz.png）としてのみ提供しており、プレスページもブランドページもないため、ラスター画像をトレースするのではなく、AUDITOR.md §1に従いlogos/airvpn.svgは未配置のままとする。