Mullvad VPN vs Surfshark

Dlaczego liczba wynosi osiem. Liczba audytów wynosi osiem, ponieważ przegląd GotaTun znajduje się poza własną listą repozytorium aplikacji. Wcześniej, podczas przeglądu X41 D-Sec trwającego łącznie 30 osobodni i obejmującego wszystkie pięć platform, znaleziono sześć luk — trzy o wysokiej wadze, dwie o średniej, jedną o niskiej, żadnej krytycznej.

Czego nie obejmuje żadne zlecenie. Żadne z tych zleceń nie obejmuje floty serwerów: każde z nich bada aplikację lub protokół tunelu, dlatego zakres floty jest zapisany jako nie mający zastosowania, a nie jako próbka. Deklaracja braku logów po stronie infrastruktury opiera się zatem na nakazie przeszukania z kwietnia 2023 r. — szwedzka policja przybyła po dane klientów i odjechała bez nich — a nie na żadnym audycie.

Kompilacje odtwarzalne, tylko Android. Kompilacje odtwarzalne dotyczą wyłącznie Androida, od wersji 2025.2 wzwyż, więc pole pozostaje częściowe; kompilacji desktopowych i iOS nie można zweryfikować bit po bicie. Turcja jest jedynym krajem z obowiązkiem retencyjnym na oferowanej liście, a hosting za nim nie jest potwierdzony.

Nic opublikowanego o nakazach. Nic w rekordzie nie opiera się na czymkolwiek, co dostawca publikuje o otrzymywanych nakazach: nie ma raportu przejrzystości ani kanarka nakazów, więc zajęcie z kwietnia 2023 r. stanowi jedyną podstawę w tym zakresie. Zakres wyłącznika awaryjnego i polityka P2P nie są potwierdzone; najnowszy audyt jest przeglądem kodu protokołu, a nie zleceniem dotyczącym braku logów, więc V11 milczy, a retencja opiera się na deklaracji.

Indie i reżim tajnych nakazów. P04_mandate_response=withdrew_physical oznacza wycofanie się z Indii w czerwcu 2022 r., ponownie potwierdzone na własnym blogu Surfshark (surfshark.com/blog/surfshark-servers-certin-india), po tym jak wcześniejsza weryfikacja wykazała, że strona /trust-center nie zawierała już tej informacji. P11=judicial_only opiera się na raporcie przejrzystości, w którym liczby dotyczące nakazu sądowego Amsterdam District Court z kwietnia 2026 r. oraz National-Security-letter i gag-order wynoszą zero.

Znaleziono dwa raporty, być może nie wszystkie. Znaleziono opublikowane tylko dwa raporty Deloitte dotyczące braku logów (grudzień 2022 r., czerwiec 2025 r.); mogą istnieć inne, niepodlinkowane z robots.txt, których ten audyt nie wyszukiwał innymi sposobami.

Ten rekord był wcześniej odczytywany dwukrotnie — connection_timestamps w V11 na podstawie sformułowania z audytu, source_ip w C01 na podstawie sformułowania z polityki — i oceniono go według gorszej z tych dwóch wartości, przez co piętnastominutowy bufor kosztował więcej niż całkowite pominięcie tej informacji: puste C01 ma rynkowy priory 0,550, a source_ip wynosi 0,750.

R29 wyznacza teraz granicę: stan usunięty w zadeklarowanym oknie powiązanym z końcem sesji to połączenie, a nie jego rekord, więc oba pola mają w tym samym zdaniu wartość connection_timestamps. Nadal uwzględniane jest to, co przetrwa sesję — data ostatniego logowania w sekcji 2.3.1 polityki oraz znaczniki czasu połączeń wskazane przez audytora.

Surfshark i NordVPN mają wspólnego właściciela nadrzędnego (Nord Security, od 2022 r.), ale własna strona Surfshark o firmie stwierdza, że marki połączyły się „przy niezależnym działaniu”, z oddzielną infrastrukturą — na tej podstawie M18 ustawiono jako oddzielne, zgodnie z rekordem nordvpn.com.

U12a ma wartość częściowe, a nie tak, w osobnej kolumnie P2P tabeli serwerów: 88 ze 100 wymienionych krajów ma tę informację, a dwanaście jej nie ma (AU, CL, CO, HR, GR, IE, JP, MX, NZ, TW, TR, AE). Kolumna jest rysowana po stronie klienta, więc odczytano ją z wyrenderowanej tabeli, a nie ze statycznego HTML, w którym każdy wiersz zawiera każdą etykietę.

Raport przejrzystości pod adresem /transparency-report — dokąd /warrant-canary teraz przekierowuje — zawiera kwartał kwiecień–czerwiec 2026 w formie tabeli: 374 719 powiadomień DMCA, 33 zapytania od instytucji rządowych, 1 nakaz, 0 listów bezpieczeństwa narodowego i 0 tajnych nakazów. P08 uwzględnia 34 żądania prawne i pomija powiadomienia DMCA: są to skargi dotyczące praw autorskich do ruchu, a nie żądania danych użytkownika.

Ta sama strona stwierdza, że Surfshark wycofuje swój kanarek nakazów na rzecz raportowania kwartalnego, dlatego P07 ustawiono jako usunięte, a nie jako brak — kanarek istniał i został celowo wycofany.

U07_protocols ma wartość proprietary dla Dausos na podstawie własnego określenia Surfshark — strona protokołu nazywa Dausos „własnościowym protokołem Surfshark” i nie publikuje jego źródła — a ta pojedyncza wartość ustala C13_weakest_protocol oraz wynikające z niej obciążenie higieny. IKEv2 pozostaje, ponieważ Surfshark nadal je dokumentuje, choć na jego własnym blogu odnotowano usunięcie go z aplikacji Windows; Shadowsocks zniknął z indeksu pomocy i nie jest wymieniany.