Opera VPN vs Surfshark

2026年の投稿は、同じ業務について、Deloitteが確認を行ったと改めて説明している。「私たちはDeloitteのチームにVPNとサーバーインフラストラクチャへの完全なアクセスを提供し、同チームは私たちの主張を検証することができた。実際、そもそもデータロギング機能はVPNに組み込まれていない」。同じ投稿は、2024年の投稿が6月18日から8月10日までとした期間を、「完全なアクセス」へと格上げしている。

Operaは、自社の主張を監査人の結論として説明しています。それが、VERIFYブロックがこのように分かれる理由です。V01がyes_verifiedなのは、Deloitteの発表によるのではなく、実際に開かれたレポート、すなわちCure53が公開した2022年3月の評価に関する独自の管理サマリーに基づいています。

Deloitteのレポート自体はどこにも公開されていないため、V02はpress_onlyです。また、そのエンゲージメントに関する事実ではなく、そのレポートの所見であるすべてのフィールドは不明のままです。対象フリート（V04）、保証基準（V07）、レポートが保持されていると述べている内容（V11）、意見の強さ（V15）がこれに該当します。

エンゲージメントの事実、すなわち会社、そのカテゴリー、日付、テスト対象として記載された内容は、発表から取得しています。この監査を一度でも別のものとして再記述したベンダーは、監査の結論についての情報源にはなりません。C01がnone_linkableなのは、それがプライバシーステートメントにおける宣言だからです。V11は所見であり、読むべき所見はありません。

Cure53のレポートは実在し、V14がyes_verifiedである理由です。7人のテスター、24人日、4つの作業パッケージにわたるホワイトボックス方式で、VPNクライアント、サーバー設定とインフラストラクチャー、そしてVPN設定の配信に使用されるOpera Miniプロトコルを対象としていました。セキュリティ関連の問題は14件で、そのうち実際の脆弱性が8件、高重大度と評価されたものが5件、重大なものはありませんでした。

2022年3月時点で、9件は修正済みで修正が確認済み、1件は部分的に修正済み、3件はリスク受容、1件は誤警告、1件は対応中でした。Operaのブログは、ブラウザVPNに直接関係する7項目は「その後すべて解決された」と述べており、表もそれを裏付けています。残っているものはVPN自体ではなく、Opera Miniの作業パッケージにあります。

所有権は完全に公開されており、最終的に義務のある国に至るため、X03とC11は互いに反対の方向を示しますが、矛盾していません。

Opera自身のプライバシーステートメントで指定されているデータ管理者は、ノルウェー企業のOpera Norway ASであり、透明性レポートはその名義で提出されています。

持株会社はOpera Limitedです。これは2018年3月にケイマン諸島で設立された免除会社で、自社の実質的な事業はありません。2025年のForm 20-Fは、Hong Kong Kunlun Tech Holding Limitedを68.0%の主要株主として挙げています。同社はPRCで設立されたKunlun Tech Co., Ltd.の子会社であり、Kunlunについて「Operaの最終親会社であり、Operaの執行会長によって支配されている」と述べています。

したがってM06はNOでC10はno、一方M11はCNでC11はyesです。

C12は、VPNの申告と、それが組み込まれているアプリケーションとの間にある最も明確な空白です。プライバシー声明のVPNセクションはログ記録なしと宣言していますが、同じ文書の別のセクションには、Operaアプリケーションがインストールされると「ランダムなインストールIDが生成されます。私たちはこの識別子に加え、Machine ID、ハードウェア仕様（モデル、リリース日など）、オペレーティングシステム、環境設定、機能の使用データを収集します」と記載されており、最長3年間保持されます。

Machine IDはハードウェアに由来するため、プロバイダーが保持する識別子は、トンネルがログを記録するかどうかにかかわらず、アプリスコープのランダムなものではなくpersistent_hardware_idです。

X12は、Opera自身が提出した2つの文書を比較します。com.opera.browserのPlayデータセーフティフォームは、分析のためにInstalled appsを収集すると宣言していますが、プライバシー声明はデバイスにインストールされたアプリケーションの収集についてまったく言及していません。Installed appsは識別子ではなく挙動であるため、undisclosed_behaviourです。

同じフォームは、広告のためにDevice or other IDsを他社と共有すると宣言しており、それによってC07aはadsとなります。C07bはそれより狭い事項に基づいており、そのためBと記録されています。製品ページのマークアップで提供される第三者ホストはGoogle Tag Managerだけであり、そのコンテナが実行時に読み込むものは列挙されていません。

U02が不明なのは検索の失敗ではなく、製品の設計によるものです。無料VPNは3地域を提供し、OperaはそれらをAmerica、Asia、Europeと呼んでいますが、国名は一切示していません。C09とC09bはそこから導かれるため、この状態が続く限り確定できません。

X05はOpera自身の説明資料におけるads_supportedです。この資料は3つの収益源のうち広告を最初に挙げ、Opera Adsがランダムに生成されたユーザーID、市または国、閲覧したサイトの大まかなカテゴリーを収集し、最長1年間保持すると説明しています。これにU05 = unlimited_freeを組み合わせると、まさにR15がフラグを立てる対象です。

X06は、AES-256について「最速のコンピューターを使ったハッカーでさえ、解読するのに10億年以上かかるだろう」とする2026年の投稿の主張です。X09は、Operaが外部の研究者から報告を受けた脆弱性を、分析および修正済みバージョンとともに公開した2026年の2件の投稿におけるself_disclosed_promptです。これらはVPNのインシデントではなくブラウザーの脆弱性であり、既知のVPNインシデントはありません。

C05 は not_sold です。無料VPNには支払い手順がまったくありません。サブスクリプションもアカウントもないため、匿名であろうとなかろうと、支払うものはありません。

このレコードは当初 none として記録されました。これは「確認された支払い方法のみが提供される」と読めますが、ここでは誤りです。支払いを一切受け取らないサービスを表すトークンが、当時の語彙にはなかったためです。unknown とすれば検索に失敗したと主張することになり、それも誤りでした。2つの誤った読み方のうち、プロバイダーに不利な誤りを犯す方が記録されました。現在はそのトークンが存在し、料金はゼロです。これが正直な回答です。支払いがなければ、漏洩する支払い識別情報もありません。

SurfsharkとNordVPNは同じ親会社（2022年以降はNord Security）を共有しているが、Surfshark自身の会社概要ページは、ブランドが別個のインフラで「独立して運営しながら」統合されたと記載している。この根拠によりM18は別個に設定され、nordvpn.comのレコードにも整合する。

U12aは、サーバー表自体のP2P列に基づくと「はい」ではなく部分的である。掲載された100か国のうち88か国に表示があり、12か国にはない（AU、CL、CO、HR、GR、IE、JP、MX、NZ、TW、TR、AE）。この列はクライアント側で描画されるため、すべての行にすべてのラベルが含まれる静的HTMLではなく、描画後の表から読み取った。

/transparency-reportにある透明性レポート（現在は/warrant-canaryからここへリダイレクトされる）は、2026年4月〜6月の四半期を表として掲載している。DMCA通知374,719件、政府機関からの照会33件、令状1件、国家安全保障書簡0件、秘密命令0件である。P08は法的要請34件を数え、DMCA通知は除外する。DMCA通知はトラフィックに関する著作権侵害の申し立てであり、ユーザーのデータに対する要請ではないためである。

同じページは、Surfsharkが令状カナリアを廃止し、四半期報告に移行すると記載している。そのためP07は「なし」ではなく削除となる。カナリアは存在しており、意図的に撤回されたためである。

U07_protocolsは、Surfshark自身の表現に基づき、Dausosについてproprietaryを持つ。そのプロトコルページはDausosを「Surfshark独自のプロトコル」と呼んでいるが、ソースを公開していない。この単一の値がC13_weakest_protocolと、それに続く衛生面の減点を設定する。Surfsharkが現在も文書化しているためIKEv2は保持するが、Surfshark自身のブログにはWindowsアプリから削除されたことが記録されている。Shadowsocksはサポートのインデックスから消えており、掲載されていない。

サーバーは記述されているが、根拠はない。 C02、C06、C08には根拠がない。Operaはサーバーが物理サーバーであり、自社所有であると述べているが、それによってディスク、DNS、ハードウェアの所有者のいずれも確認できるわけではない。U02が不明である間は、C09bには回答できない。

ストアは2つではなく1つ。 Google Playのデータセーフティフォームだけを確認した。iOSブラウザーのApp Storeプライバシーラベルは確認していないため、X12は2つのストアのうち悪い方ではなく、1つのストアに基づいている。

記述ではなく、2つの解釈。 U01のLinuxはデスクトップのヘルプマニュアルから推定したものである。同マニュアルはVPNについて説明し、Windows、macOS、Linuxをプラットフォーム別に分けずにまとめて扱っている。AndroidとiOSは監査の告知で明示的に記載されている。U10が無制限なのは、アカウントもデバイス上限もなく、それを適用するものがないためであり、これは明示された数値ではなく、製品についての解釈である。