NordVPN vs Opera VPN

O canário, e o trimestre que o substituiu. A mesma página retirou o canário de mandado (P07=removed) em favor de relatórios de transparência trimestrais; o último trimestre completo (abr.–jun. de 2026) mostra 85 pedidos governamentais e 0 divulgações, pelo que P08/P09 correspondem a esse período, e não ao valor de sempre.

A Índia e o regime de ordens secretas. P04=withdrew_physical corresponde à saída da Índia em junho de 2022. P11=none_known baseia-se na afirmação da página de que a NordVPN não recebeu cartas vinculativas de Segurança Nacional nem ordens de mordaça e na ausência de tal regime no Panamá.

Um nível de garantia que ninguém pode verificar. A NordVPN descreve o trabalho da Deloitte Lithuania como um trabalho de garantia razoável ao abrigo da ISAE 3000 (Revised), que seria a forma mais forte; o relatório da PIA, que pode ser consultado, declara uma conclusão de garantia limitada.

Por que a forma mais forte não é creditada. O modelo atribui agora um valor a essa diferença, e esta ficha não beneficia dela: V15_assurance_strength é desconhecido porque a única afirmação sobre o nível é da própria NordVPN, acerca de um relatório que ninguém fora de uma Nord Account pode abrir. Um documento protegido por início de sessão não é prova aqui a nenhum nível, pelo que a análise é creditada segundo a norma de mercado, e não segundo o nível que se diz ter alcançado.

Um relatório protegido por início de sessão. O próprio relatório só pode ser lido depois de iniciar sessão numa Nord Account, pelo que ninguém fora dessa relação verificou o seu âmbito, e todos os campos de auditoria aqui assentam no resumo que a própria NordVPN faz dele, e não no documento. Isso, e não uma conclusão contra o serviço, é a razão por que esta ficha é a mais incompleta do catálogo.

Os campos do proprietário. M11_owner_jurisdiction e X04_owner_group_history são desconhecidos: nordvpn.com e nordsecurity.com identificam a Nord Security como proprietária, mas nenhum dos dois indica a própria jurisdição de constituição da Nord Security ou qualquer histórico anterior do grupo; a imprensa secundária associa uma entidade holding «Cyberspace» aos Países Baixos desde a fusão de 2022, mas isso não foi confirmado numa página primária da Nord Security ou da NordVPN no tempo disponível.

O que não pôde ser lido de todo. O texto integral do relatório da Deloitte de 2025 não pode ser lido de todo (protegido por início de sessão), pelo que não é registada qualquer conclusão sobre retenção além da própria alegação da política no campo C01_linkable_retention.

A tabela de servidores que não abria. C09b_mandate_hosting é desconhecido: a tabela ativa de servidores por país mostra o estado físico/virtual apenas para a região das Américas no estado do acordeão que esta auditoria conseguiu apresentar; as secções da Europa, Ásia-Pacífico e África/Médio Oriente (que incluem vários países de mandato servidos pela frota, por exemplo AE, IN, TR, VN, IQ, KZ segundo a API de servidores) carregam do lado do cliente ao clicar e não foram expandidas.

Deixados desconhecidos em vez de afirmados. C04-C07, U06 (prova de censura), U11, V12-V14, X06, X07, X10 e X11 não foram confirmados de forma independente num documento primário e são deixados desconhecidos em vez de afirmados com base em cobertura secundária.

Uma dúvida deixada em aberto, sem penalização. Permanece uma dúvida em aberto sobre X12, sem penalização: o formulário de segurança dos dados do Play para com.nordvpn.android declara Aplicações instaladas em análise no Android, enquanto o aviso de privacidade da NordVPN menciona aplicações instaladas num único ponto — a análise de vulnerabilidades antimalware — e limita o tratamento dos nomes e versões das aplicações ao Windows.

Por que continua a ser lido como uma correspondência. A categoria é divulgada, em vez de estar ausente, e R28 não tira uma conclusão de uma diferença de âmbito da plataforma, pelo que o valor aparece como matches_policy; mas a finalidade no Android não é a que o aviso descreve, e só a NordVPN pode dizer qual dos dois está redigido incorretamente.

O relatório que alteraria quatro campos. O relatório da Deloitte é o outro documento que alteraria vários campos de uma só vez: V04, V07, V11 e V15 são todos desconhecidos apenas porque não está publicado, e V11, em particular, é o campo em que assenta toda a alegação de ausência de registos.

O que não tem documento. U07 não tem documento, nem C13 que lhe está subjacente: a Opera menciona AES-256 e um «túnel seguro», mas nunca um protocolo, pelo que o transporte mais fraco disponível não está comprovado. U08, U09 e U12b não estão preenchidos pela mesma razão — a tabela de comparação de funcionalidades na página do produto assinala as linhas com marcas de seleção que a marcação obtida não contém, e ler marcas de seleção numa imagem renderizada não é uma fonte.

Servidores descritos, não comprovados. C02, C06 e C08 não têm qualquer prova por trás: a Opera afirma que os servidores são físicos e seus, o que não comprova nem o disco, nem o DNS, nem quem é proprietário do hardware. C09b não pode ser respondido enquanto U02 for desconhecido.

Uma loja, não duas. Apenas foi lido o formulário de segurança dos dados do Google Play; as etiquetas de privacidade da App Store para o navegador iOS não foram lidas, pelo que X12 assenta numa loja, e não na pior das duas.

Duas leituras em vez de afirmações. O Linux em U01 é inferido do manual de ajuda para computador, que documenta a VPN e abrange Windows, macOS e Linux em conjunto, sem os separar por plataforma; Android e iOS são nomeados explicitamente no anúncio da auditoria. U10 é ilimitado porque não há conta nem limite de dispositivos que imponha um limite, o que é uma leitura do produto e não um valor declarado.

A violação do centro de dados na Finlândia em 2018 foi uma intrusão de terceiros, não uma apreensão por autoridades policiais — registada em P12_case_history como kind=breach, e não como P01_seizure_event. O próprio relato da NordVPN (nordvpn.com/blog/official-response-datacenter-breach/) e a cobertura contemporânea da Bloomberg concordam que a divulgação se seguiu a alegações no Twitter feitas por investigadores externos, e não a uma iniciativa da NordVPN — daí third_party_disclosed, em vez de self_disclosed_late.

A NordVPN e a Surfshark partilham um proprietário (Nord Security), mas o anúncio da fusão das próprias empresas afirma infraestruturas e roteiros de produtos separados; M18 é definido como separado com base nisso.

X02 é a constatação decisiva, e os dois documentos que a sustentam são da própria Opera. O anúncio de 2024 cita a opinião da Deloitte como sendo de que "a configuração dos sistemas de TI e a gestão das operações de TI de suporte foram devidamente concebidas e implementadas, em todos os aspetos materiais, com base nos critérios descritos na Management Assertion da Opera, à data de 10 de agosto de 2024", e atribui separadamente à própria Management Assertion da Opera a frase "Não existe qualquer funcionalidade de registo de dados incorporada no serviço VPN e não são recolhidos quaisquer dados".

A publicação de 2026 reconta o mesmo trabalho, apresentando a Deloitte como tendo feito a constatação: "demos à equipa da Deloitte acesso completo à nossa infraestrutura de VPN e de servidores, e conseguiram verificar a nossa afirmação ... Na verdade, uma função de registo de dados nem sequer está incorporada na VPN desde o início." A mesma publicação transforma uma janela que a publicação de 2024 data de 18 de junho a 10 de agosto de 2024 em "acesso completo".

A Opera está a descrever a sua própria afirmação como a conclusão do seu auditor. É por isso que o bloco VERIFY se divide da forma que se divide. V01 é yes_verified com base num relatório que foi efetivamente aberto — o resumo de gestão publicado pela própria Cure53 sobre a sua avaliação de março de 2022 — e não com base no anúncio da Deloitte.

O próprio relatório da Deloitte não está publicado em lado algum, pelo que V02 é press_only, e todos os campos que constituem uma constatação desse relatório, e não um facto sobre o trabalho realizado, permanecem desconhecidos: cobertura da frota (V04), norma de garantia (V07), o que o relatório afirma ser retido (V11) e a robustez da opinião (V15).

Os factos do trabalho — a empresa, a sua categoria, a data, o que foi listado como testado — são retirados do anúncio. Um fornecedor que comprovadamente voltou a caracterizar esta auditoria de forma diferente uma vez não é uma fonte sobre o que a auditoria concluiu. C01 é none_linkable porque essa é a declaração constante da declaração de privacidade; V11 é a constatação, e não há nenhuma constatação para ler.

O relatório da Cure53 é real e é a razão pela qual V14 é yes_verified: sete testadores, vinte e quatro dias-pessoa, uma avaliação de caixa branca em quatro pacotes de trabalho que abrangeram os clientes VPN, a configuração e a infraestrutura do servidor, e o protocolo Opera Mini utilizado para fornecer a configuração VPN. Catorze problemas relevantes para a segurança, oito dos quais eram vulnerabilidades efetivas, cinco classificados como de gravidade elevada e nenhum crítico.

À data de março de 2022, nove tinham sido corrigidos, com as correções verificadas, um estava parcialmente corrigido, três tinham o risco aceite, um era um falso alerta e um continuava em curso. O blogue da Opera afirma que os sete itens relacionados diretamente com a VPN do navegador foram "todos posteriormente resolvidos", e a tabela confirma isso — o remanescente está no pacote de trabalho do Opera Mini, não na própria VPN.