Mullvad VPN vs Surfshark

Mullvad VPN

このレコードでまだ未解決の点。

監査の頻度。 Mullvadはアプリリポジトリで監査インデックスを公開しており、頻度について正確に記している。そのインデックスには、メインアプリの監査は2年ごとに実施され、その間に追加分があると明記されている。そのため、定期性は年次シリーズではなく、固定間隔なしの反復として記録されている。年次の頻度を自己申告する者はいない。

2つのレポート、1つの日付。 2つの別々の業務が2026年2月17日を共有しており、レコードは両方を記載している。1つは、userspace WireGuard実装であるGotaTunに対するAssuredのコードレビュー（critical、high、mediumの問題はなく、lowが2件、注記が9件）。もう1つはAndroidアプリに対するLeviathanのMobile App Profile評価で、コンプライアンスレポートは評価日を2026年2月17日、保証レベルをAL2としている。1つの日付、2つのレポート、矛盾なし。

件数が8となる理由。 監査件数が8なのは、GotaTunのレビューがアプリリポジトリ独自のリストの外にあるためである。それらに先立ち、5つすべてのプラットフォームを対象とした30人日のX41 D-Secレビューでは、6件の脆弱性が見つかった。内訳はhighが3件、mediumが2件、lowが1件で、criticalはなかった。

Surfshark

このレコードでまだ未解決の点。

2つの価格。 U04_price_monthly=16.45およびU04b_price_yearly=79.00は、Surfshark Starter（VPN + Alternative ID）の米ドル建て更新価格である。料金ページ自体にはプロモーションの初回期間料金しか表示されないが、利用規約から、期間別の更新価格を掲載した現在の継続課金額ページ（surfshark.com/terms-of-service/pricing）にリンクしている。通貨は地域制限されているため、米国のIPで同ページを確認した。Starterより下位のVPN専用プランはない。

一次文書で確認できなかった事項。 C00_architecture、C08_servers_ownership、U09、U11、V12/V13、X04、X06-X08、X10、X11は、利用可能な時間内に一次文書との照合で確認できず、不明のままとした。M11_owner_jurisdictionおよびX04_owner_group_historyには、nordvpn.jsonに記録されたものと同じ空白がある。Nord Security自身の法域およびレコードは、いずれのブランドのサイトにも記載されていない。

インドと秘密命令の制度。 P04_mandate_response=withdrew_physicalは、2022年6月のインドからの撤退を示すもので、以前の調査で/trust-centerページにその記載がなくなっていることが判明した後、Surfshark自身のブログ（surfshark.com/blog/surfshark-servers-certin-india）から復元した。P11=judicial_onlyは、透明性レポートに、2026年4月のAmsterdam District Courtの令状、およびNational-Security-letterと秘密命令のカウンターがゼロであることが示されていることに基づく。

Mullvad VPN

レコード全体について。

2023年4月の捜索令状は、このレコードにおける単独の項目として最も強力なものです。警察はオフィスに立ち入り、何も持ち出さずに去りました。これは書類ではなく実務のエビデンスであり、監査よりもはるかに長く古びません。料金はすべての期間で一律5 EUR／月です。U04_price_monthlyには5.80（Mullvadが自身のページで示すUSD相当額）が記載され、U04b_price_yearlyは69.60で、その料金での満額1年分です。

Surfshark

レコード全体について。

surfshark.comはnordvpn.comのようにCloudflareで遮断されてはいない。robots.txt、静的ページ、さらには2件のISAE 3000ノーログ保証レポートPDFと2025年12月のSecuRingインフラストラクチャ・ペネトレーションテストレポートまで、すべて直接取得できる。また、robots.txt自身のDisallowリストには正確なPDFパスが記載されていた（明らかに、直接リンクから隠すためではなく、検索結果から除外するためのものだった）。

両方の監査PDFを開いて全文を読み取った（レベルA）。2025年のレポートの付録とプライバシーポリシーは、同じレコードを同じ表現で説明している：「user ID and/or your IP address and connection to VPN server time stamps」。これはセッション終了後15分以内に自動的に削除される。

このレコードは以前に2回読み取られていた。監査の表現からV11のconnection_timestampsを、ポリシーの表現からC01のsource_ipを読み取り、2つのうち悪い方で評価していた。そのため、何も記載しない場合よりも15分のバッファの方が大きなコストとなった。C01を空欄にした場合の市場事前確率は0.550、source_ipは0.750である。

R29は線引きを明確にした。セッション終了に結び付いた宣言済みの期間内に削除された状態は接続そのものであり、その記録ではないため、両方のフィールドは同じ文でconnection_timestampsと読む。なお、セッションを超えて残るもの、すなわちポリシーのセクション2.3.1にある最後のログイン日と、監査人が挙げる接続タイムスタンプは、引き続き対象となる。