Private Internet Access vs Surfshark

Czego nie zbadano. Raport obejmuje wyłącznie infrastrukturę. C07a_app_sdk i C12_device_identifier to fakty po stronie aplikacji, których raport nigdy nie badał; obecnie odwołują się one zamiast tego do polityki prywatności, która opisuje analitykę dla odwiedzających stronę oraz dobrowolnie włączane raporty diagnostyczne zawierające platformę i wersję aplikacji. Odczytanie któregokolwiek z nich jako stwierdzenia dotyczącego SDK skompilowanych w aplikacji jest najsłabszym ogniwem tego rejestru, a to właśnie klienci open-source rozstrzygnęliby tę kwestię.

Wezwanie sądowe z 2016 roku opiera się na własnych słowach PIA, nie na aktach sądowych. Jedyny szczegółowy opis sprawy McWaters (S.D. Fla., 9:16-cr-80043) znajduje się na stronie afiliacyjnej, której ten rejestr nie może cytować; wokanda CourtListener dla tej sprawy nie wymienia wezwania sądowego, dostawcy ani wyniku. P03_court_record i P12_case_history opierają się teraz na własnym oświadczeniu PIA w raporcie przejrzystości, że w latach 2016–2017 otrzymała wezwanie sądowe i nie przekazała żadnych danych — samodeklaracja poziomu B, a nie zweryfikowany zapis sądowy.

Indie i reżim tajnych nakazów. P04_mandate_response=withdrew_physical oznacza wycofanie się z Indii w czerwcu 2022 r., ponownie potwierdzone na własnym blogu Surfshark (surfshark.com/blog/surfshark-servers-certin-india), po tym jak wcześniejsza weryfikacja wykazała, że strona /trust-center nie zawierała już tej informacji. P11=judicial_only opiera się na raporcie przejrzystości, w którym liczby dotyczące nakazu sądowego Amsterdam District Court z kwietnia 2026 r. oraz National-Security-letter i gag-order wynoszą zero.

Znaleziono dwa raporty, być może nie wszystkie. Znaleziono opublikowane tylko dwa raporty Deloitte dotyczące braku logów (grudzień 2022 r., czerwiec 2025 r.); mogą istnieć inne, niepodlinkowane z robots.txt, których ten audyt nie wyszukiwał innymi sposobami.

M08_user_scale, P02_disclosure_history, P03_court_record i P12_case_history odczytano ponownie na podstawie tych samych źródeł i pozostają bez zmian; główna strona raportu przejrzystości nadal nie wymienia żadnej sprawy poza wezwaniami sądowymi z lat 2016–2017 już znajdującymi się w aktach. Ponowny przegląd cen na tej samej stronie buy-vpn-online wykazał, że obie wartości pozostały bez zmian: plan miesięczny $11,95, plan roczny $47,88 naliczane za pierwszy rok i odnawiane automatycznie po tej samej cenie $47,88, bez różnicy między ceną wstępną a ceną odnowienia, zgodnie ze stałą taryfą PIA odnotowaną w innych miejscach katalogu.

Źródła stanowiły własne strony i blog privateinternetaccess.com, dwa pliki PDF Deloitte „Independent Limited Assurance Report” zgodne z ISAE 3000 (Revised) (z kwietnia 2024 roku i grudnia 2025 roku, oba otwarte i przeczytane bezpośrednio), własna strona Kape Technologies, raporty oparte na źródłach z Isle of Man/Companies House dotyczące wycofania Kape z giełdy w 2023 roku przez Unikmind Holdings (Teddy Sagi) oraz oficjalna organizacja pia-foss w serwisie GitHub dotycząca klientów open source.

Publiczna wokanda CourtListener dla United States v. McWaters (9:16-cr-80043, S.D. Fla.) została otwarta, ale nie wymienia wezwania sądowego, dostawcy VPN ani wyniku; opis na stronie afiliacyjnej (vpncompare.co.uk), który szczegółowo opisuje to wezwanie sądowe, odrzucono jako niedozwolone źródło, a własne materiały TorrentFreak zwracały HTTP 403 przy każdej próbie pobrania w tej turze, w tym przy użyciu curl. P03/P12 opierają się teraz na własnej samodeklaracji PIA w raporcie przejrzystości.

Wikipedia została usunięta z V12 na rzecz samej organizacji GitHub. W żadnym miejscu tego rejestru nie użyto strony afiliacyjnej ani agregatora „best VPN” jako źródła faktów, mimo że w wynikach wyszukiwania wielokrotnie pojawiało się kilka takich stron z pozornie wiarygodnymi liczbami (liczby serwerów, liczby użytkowników, daty audytów), których nie można było sprawdzić względem strony źródłowej; odrzucono je zamiast wykorzystać.

Ten rekord był wcześniej odczytywany dwukrotnie — connection_timestamps w V11 na podstawie sformułowania z audytu, source_ip w C01 na podstawie sformułowania z polityki — i oceniono go według gorszej z tych dwóch wartości, przez co piętnastominutowy bufor kosztował więcej niż całkowite pominięcie tej informacji: puste C01 ma rynkowy priory 0,550, a source_ip wynosi 0,750.

R29 wyznacza teraz granicę: stan usunięty w zadeklarowanym oknie powiązanym z końcem sesji to połączenie, a nie jego rekord, więc oba pola mają w tym samym zdaniu wartość connection_timestamps. Nadal uwzględniane jest to, co przetrwa sesję — data ostatniego logowania w sekcji 2.3.1 polityki oraz znaczniki czasu połączeń wskazane przez audytora.

Surfshark i NordVPN mają wspólnego właściciela nadrzędnego (Nord Security, od 2022 r.), ale własna strona Surfshark o firmie stwierdza, że marki połączyły się „przy niezależnym działaniu”, z oddzielną infrastrukturą — na tej podstawie M18 ustawiono jako oddzielne, zgodnie z rekordem nordvpn.com.

U12a ma wartość częściowe, a nie tak, w osobnej kolumnie P2P tabeli serwerów: 88 ze 100 wymienionych krajów ma tę informację, a dwanaście jej nie ma (AU, CL, CO, HR, GR, IE, JP, MX, NZ, TW, TR, AE). Kolumna jest rysowana po stronie klienta, więc odczytano ją z wyrenderowanej tabeli, a nie ze statycznego HTML, w którym każdy wiersz zawiera każdą etykietę.

Raport przejrzystości pod adresem /transparency-report — dokąd /warrant-canary teraz przekierowuje — zawiera kwartał kwiecień–czerwiec 2026 w formie tabeli: 374 719 powiadomień DMCA, 33 zapytania od instytucji rządowych, 1 nakaz, 0 listów bezpieczeństwa narodowego i 0 tajnych nakazów. P08 uwzględnia 34 żądania prawne i pomija powiadomienia DMCA: są to skargi dotyczące praw autorskich do ruchu, a nie żądania danych użytkownika.

Ta sama strona stwierdza, że Surfshark wycofuje swój kanarek nakazów na rzecz raportowania kwartalnego, dlatego P07 ustawiono jako usunięte, a nie jako brak — kanarek istniał i został celowo wycofany.