Opera VPN vs Surfshark

X02 é a constatação decisiva, e os dois documentos que a sustentam são da própria Opera. O anúncio de 2024 cita a opinião da Deloitte como sendo de que "a configuração dos sistemas de TI e a gestão das operações de TI de suporte foram devidamente concebidas e implementadas, em todos os aspetos materiais, com base nos critérios descritos na Management Assertion da Opera, à data de 10 de agosto de 2024", e atribui separadamente à própria Management Assertion da Opera a frase "Não existe qualquer funcionalidade de registo de dados incorporada no serviço VPN e não são recolhidos quaisquer dados".

A publicação de 2026 reconta o mesmo trabalho, apresentando a Deloitte como tendo feito a constatação: "demos à equipa da Deloitte acesso completo à nossa infraestrutura de VPN e de servidores, e conseguiram verificar a nossa afirmação ... Na verdade, uma função de registo de dados nem sequer está incorporada na VPN desde o início." A mesma publicação transforma uma janela que a publicação de 2024 data de 18 de junho a 10 de agosto de 2024 em "acesso completo".

A Opera está a descrever a sua própria afirmação como a conclusão do seu auditor. É por isso que o bloco VERIFY se divide da forma que se divide. V01 é yes_verified com base num relatório que foi efetivamente aberto — o resumo de gestão publicado pela própria Cure53 sobre a sua avaliação de março de 2022 — e não com base no anúncio da Deloitte.

O próprio relatório da Deloitte não está publicado em lado algum, pelo que V02 é press_only, e todos os campos que constituem uma constatação desse relatório, e não um facto sobre o trabalho realizado, permanecem desconhecidos: cobertura da frota (V04), norma de garantia (V07), o que o relatório afirma ser retido (V11) e a robustez da opinião (V15).

Os factos do trabalho — a empresa, a sua categoria, a data, o que foi listado como testado — são retirados do anúncio. Um fornecedor que comprovadamente voltou a caracterizar esta auditoria de forma diferente uma vez não é uma fonte sobre o que a auditoria concluiu. C01 é none_linkable porque essa é a declaração constante da declaração de privacidade; V11 é a constatação, e não há nenhuma constatação para ler.

O relatório da Cure53 é real e é a razão pela qual V14 é yes_verified: sete testadores, vinte e quatro dias-pessoa, uma avaliação de caixa branca em quatro pacotes de trabalho que abrangeram os clientes VPN, a configuração e a infraestrutura do servidor, e o protocolo Opera Mini utilizado para fornecer a configuração VPN. Catorze problemas relevantes para a segurança, oito dos quais eram vulnerabilidades efetivas, cinco classificados como de gravidade elevada e nenhum crítico.

À data de março de 2022, nove tinham sido corrigidos, com as correções verificadas, um estava parcialmente corrigido, três tinham o risco aceite, um era um falso alerta e um continuava em curso. O blogue da Opera afirma que os sete itens relacionados diretamente com a VPN do navegador foram "todos posteriormente resolvidos", e a tabela confirma isso — o remanescente está no pacote de trabalho do Opera Mini, não na própria VPN.

A propriedade está totalmente divulgada e termina num país de mandato, razão pela qual X03 e C11 apontam em direções opostas sem se contradizerem.

O responsável pelo tratamento dos dados identificado na própria declaração de privacidade da Opera é a Opera Norway AS, uma empresa norueguesa, e o relatório de transparência é apresentado nesse nome.

A sociedade holding é a Opera Limited, uma sociedade isenta constituída nas Ilhas Caimão em março de 2018, sem operações substanciais próprias. O Form 20-F de 2025 identifica a Hong Kong Kunlun Tech Holding Limited como acionista principal, com 68,0%, uma subsidiária da Kunlun Tech Co., Ltd. constituída na RPC, e afirma que a Kunlun "é a sociedade-mãe final da Opera e é controlada pelo presidente executivo da Opera".

Assim, M06 é NO e C10 é no, enquanto M11 é CN e C11 é yes.

C12 é a lacuna mais acentuada entre a declaração da VPN e a aplicação onde está integrada. A secção da VPN da declaração de privacidade declara ausência de registos; uma secção diferente do mesmo documento afirma que, quando uma aplicação Opera é instalada, "é gerado um ID de instalação aleatório. Recolhemos este identificador, bem como o Machine ID, especificações do hardware (modelo, data de lançamento, etc.), o sistema operativo, a configuração do ambiente e dados de utilização das funcionalidades", retidos durante até três anos.

Um Machine ID é derivado do hardware, pelo que o identificador que o fornecedor detém é persistent_hardware_id e não um identificador aleatório específico da aplicação, independentemente do que o túnel regista ou não regista.

X12 compara dois documentos que a própria Opera apresentou. O formulário de segurança dos dados da Play para com.opera.browser declara que Installed apps é recolhido para Analytics, e a declaração de privacidade nunca menciona a recolha das aplicações instaladas no dispositivo. Installed apps é comportamento, não um identificador, daí undisclosed_behaviour.

O mesmo formulário declara que Device or other IDs são partilhados com outras empresas para publicidade, o que coloca C07a em ads. C07b assenta em algo mais restrito e é marcado como B por isso: o único anfitrião de terceiros na marcação servida para a página do produto é Google Tag Manager, e o que esse contentor carrega em tempo de execução não foi enumerado.

U02 é desconhecido por conceção do produto, não por falha da pesquisa: a VPN gratuita oferece três regiões — a Opera chama-lhes America, Asia e Europe — e nunca um país. C09 e C09b decorrem disso e não podem ser estabelecidos enquanto essa situação se mantiver.

X05 é ads_supported na própria explicação da Opera, que lista a publicidade em primeiro lugar entre três fontes de receita e descreve a Opera Ads a recolher um ID de utilizador gerado aleatoriamente, a cidade ou o país e categorias gerais dos sites consultados, retidos durante até um ano; juntamente com U05 = unlimited_free, este é exatamente o caso que R15 existe para assinalar.

X06 é a alegação da publicação de 2026 de que o AES-256 "levaria um hacker, mesmo com o computador mais rápido, mais de mil milhões de anos a quebrar". X09 é self_disclosed_prompt em duas publicações de 2026 nas quais a Opera publicou vulnerabilidades que investigadores externos lhe tinham comunicado, juntamente com a análise e a versão corrigida — estas são vulnerabilidades do navegador, não incidentes de VPN, e não é conhecido qualquer incidente de VPN.

C05 é not_sold. A VPN gratuita não tem qualquer etapa de pagamento — nem subscrição, nem conta —, portanto não há nada a pagar anonimamente ou de outra forma.

Esta ficha foi inicialmente escrita como none, o que significa «são oferecidos apenas os métodos de pagamento identificados» e é falso neste caso, porque o vocabulário não tinha um token para um serviço que não recebe dinheiro; unknown teria afirmado que a pesquisa falhou, o que também era falso, e entre duas interpretações erradas foi registada a que erra contra o fornecedor. O token existe agora e tem o preço de nada, que é a resposta honesta: onde não há pagamento, não há identidade de pagamento para divulgar.

Esta ficha foi anteriormente lida duas vezes — connection_timestamps em V11 com base na redação da auditoria, source_ip em C01 com base na redação da política — e avaliada pelo pior dos dois, o que fez com que o intervalo de quinze minutos custasse mais do que não dizer nada: deixar C01 em branco corresponde ao valor prévio de mercado 0,550 e source_ip é 0,750.

R29 traça agora a linha: o estado eliminado dentro de uma janela declarada ligada ao fim da sessão é a ligação, não um registo dela, pelo que ambos os campos leem connection_timestamps na mesma frase. O que continua a ser contabilizado é o que sobrevive à sessão — a data do último início de sessão na secção 2.3.1 da política e os carimbos temporais da ligação que o auditor identifica.

Surfshark e NordVPN partilham um proprietário comum (Nord Security, desde 2022), mas a própria página sobre nós da Surfshark afirma que as marcas se fundiram «enquanto operavam de forma independente», com infraestruturas separadas — M18 é definido como separado com base nisso, em correspondência com a ficha de nordvpn.com.

U12a é parcial, e não sim, na própria coluna P2P da tabela de servidores: 88 dos 100 países listados têm essa indicação e doze não (AU, CL, CO, HR, GR, IE, JP, MX, NZ, TW, TR, AE). A coluna é desenhada do lado do cliente, pelo que foi lida na tabela renderizada e não no HTML estático, onde cada linha contém todas as etiquetas.

O relatório de transparência em /transparency-report — para onde /warrant-canary redireciona agora — apresenta o trimestre de abril a junho de 2026 numa tabela: 374,719 notificações DMCA, 33 pedidos de instituições governamentais, 1 mandado, 0 cartas de segurança nacional e 0 ordens de mordaça. P08 contabiliza os 34 pedidos legais e exclui as notificações DMCA: são reclamações de direitos de autor sobre tráfego, não pedidos de dados de um utilizador.

O relatório que alteraria quatro campos. O relatório da Deloitte é o outro documento que alteraria vários campos de uma só vez: V04, V07, V11 e V15 são todos desconhecidos apenas porque não está publicado, e V11, em particular, é o campo em que assenta toda a alegação de ausência de registos.

O que não tem documento. U07 não tem documento, nem C13 que lhe está subjacente: a Opera menciona AES-256 e um «túnel seguro», mas nunca um protocolo, pelo que o transporte mais fraco disponível não está comprovado. U08, U09 e U12b não estão preenchidos pela mesma razão — a tabela de comparação de funcionalidades na página do produto assinala as linhas com marcas de seleção que a marcação obtida não contém, e ler marcas de seleção numa imagem renderizada não é uma fonte.

Servidores descritos, não comprovados. C02, C06 e C08 não têm qualquer prova por trás: a Opera afirma que os servidores são físicos e seus, o que não comprova nem o disco, nem o DNS, nem quem é proprietário do hardware. C09b não pode ser respondido enquanto U02 for desconhecido.

Uma loja, não duas. Apenas foi lido o formulário de segurança dos dados do Google Play; as etiquetas de privacidade da App Store para o navegador iOS não foram lidas, pelo que X12 assenta numa loja, e não na pior das duas.

Duas leituras em vez de afirmações. O Linux em U01 é inferido do manual de ajuda para computador, que documenta a VPN e abrange Windows, macOS e Linux em conjunto, sem os separar por plataforma; Android e iOS são nomeados explicitamente no anúncio da auditoria. U10 é ilimitado porque não há conta nem limite de dispositivos que imponha um limite, o que é uma leitura do produto e não um valor declarado.

A India e o regime das ordens secretas. P04_mandate_response=withdrew_physical é a saída da India em junho de 2022, recuperada do próprio blogue da Surfshark (surfshark.com/blog/surfshark-servers-certin-india) depois de a análise anterior ter constatado que a página /trust-center já não a apresentava. P11=judicial_only baseia-se no relatório de transparência que mostra o mandado de April 2026 do Amsterdam District Court e os seus contadores de cartas de segurança nacional e ordens de mordaça a zero.

Foram encontrados dois relatórios, talvez não todos. Foram encontrados publicados apenas dois relatórios Deloitte de ausência de registos (dezembro de 2022, junho de 2025); pode haver outros que não estejam ligados a partir de robots.txt e que esta auditoria não procurou por outros meios.