Mullvad VPN vs Surfshark

Esta ficha foi anteriormente lida duas vezes — connection_timestamps em V11 com base na redação da auditoria, source_ip em C01 com base na redação da política — e avaliada pelo pior dos dois, o que fez com que o intervalo de quinze minutos custasse mais do que não dizer nada: deixar C01 em branco corresponde ao valor prévio de mercado 0,550 e source_ip é 0,750.

R29 traça agora a linha: o estado eliminado dentro de uma janela declarada ligada ao fim da sessão é a ligação, não um registo dela, pelo que ambos os campos leem connection_timestamps na mesma frase. O que continua a ser contabilizado é o que sobrevive à sessão — a data do último início de sessão na secção 2.3.1 da política e os carimbos temporais da ligação que o auditor identifica.

Surfshark e NordVPN partilham um proprietário comum (Nord Security, desde 2022), mas a própria página sobre nós da Surfshark afirma que as marcas se fundiram «enquanto operavam de forma independente», com infraestruturas separadas — M18 é definido como separado com base nisso, em correspondência com a ficha de nordvpn.com.

U12a é parcial, e não sim, na própria coluna P2P da tabela de servidores: 88 dos 100 países listados têm essa indicação e doze não (AU, CL, CO, HR, GR, IE, JP, MX, NZ, TW, TR, AE). A coluna é desenhada do lado do cliente, pelo que foi lida na tabela renderizada e não no HTML estático, onde cada linha contém todas as etiquetas.

O relatório de transparência em /transparency-report — para onde /warrant-canary redireciona agora — apresenta o trimestre de abril a junho de 2026 numa tabela: 374,719 notificações DMCA, 33 pedidos de instituições governamentais, 1 mandado, 0 cartas de segurança nacional e 0 ordens de mordaça. P08 contabiliza os 34 pedidos legais e exclui as notificações DMCA: são reclamações de direitos de autor sobre tráfego, não pedidos de dados de um utilizador.

A mesma página afirma que a Surfshark está a retirar o seu canário de mandado em favor de relatórios trimestrais, razão pela qual P07 é removido, e não definido como inexistente — o canário existia e foi retirado deliberadamente.

U07_protocols contém proprietary para Dausos segundo a própria Surfshark — a sua página sobre o protocolo chama ao Dausos «protocolo proprietário da Surfshark» e não publica nenhuma fonte para o mesmo — e esse valor único é o que define C13_weakest_protocol e a penalização de higiene que se segue. IKEv2 é mantido porque a Surfshark ainda o documenta, embora o seu próprio blogue registe a remoção da aplicação Windows; Shadowsocks desapareceu do índice de suporte e não está listado.

Porque é que a contagem é oito. A contagem de auditorias é oito porque a análise ao GotaTun fica fora da própria lista do repositório da aplicação. Antes disso, uma análise X41 D-Sec de 30 dias-pessoa em todas as cinco plataformas encontrou seis vulnerabilidades — três elevadas, duas médias, uma baixa, nenhuma crítica.

O que nenhum trabalho cobre. O que nenhum destes trabalhos cobre é a frota de servidores: todos examinam a aplicação ou o protocolo do túnel, razão pela qual a cobertura da frota é registada como não aplicável, e não como uma amostra. A alegação de ausência de registos no lado da infraestrutura assenta, portanto, no mandado de busca de abril de 2023 — a polícia sueca foi buscar dados de clientes e saiu sem eles — e não em qualquer auditoria.

Compilações reproduzíveis, apenas no Android. As compilações reproduzíveis existem apenas no Android, a partir da versão 2025.2, pelo que o campo permanece parcial; as compilações para computador e iOS não são verificáveis bit a bit. A Turquia é o único país sujeito a mandato na lista disponibilizada e o alojamento associado não está comprovado.

Nada publicado sobre pedidos. Nada no registo assenta em algo que o fornecedor publique sobre os pedidos que recebe: não existe um relatório de transparência nem um canário de mandado, pelo que a apreensão de abril de 2023 constitui a única base para esse fundamento. A cobertura do interruptor de emergência e a política de P2P não estão comprovadas; a auditoria mais recente é uma revisão de código do protocolo, não um trabalho sobre ausência de registos, pelo que V11 permanece silencioso e a retenção assenta na declaração.