Classe de serviço

VPN comercial — a segurança lidera

Pontuação de segurança

17 de 100 · Insuficiente

Pontuação de usabilidade

70 de 100 · estado conhecido · 83% comprovado · 88,2% do peso lido

Entidade legal

nordvpn S.A.

Jurisdição

Panamá

Proprietário final

Nord Security

Exposição

Médio · canal dominante: retenção

Retenção

Apenas contagens agregadas

Auditoria mais recente

Deloitte Audit Lithuania · 12 de dez. de 2025 · Uma série anual · desconhecido

Países com saídas

149

Protocolos

Um protocolo derivado do WireGuard OpenVPN Um protocolo ofuscado

Funciona sob censura ativa

Alegado funcionar

Protocolo mais fraco ainda oferecido

não aplicável

DNS próprio dentro do túnel

desconhecido

Plataformas

Windows macOS Linux Android iOS Extensão de navegador Android TV Apple TV

Dispositivos em simultâneo

Interruptor de emergência

Em todas as plataformas

Divisão de túnel

Disponível

Inscrição

desconhecido

Plano gratuito

Nenhum escalão gratuito

P2P permitido

Permitido

Principais serviços de streaming acessíveis

desconhecido

Preço, mensal

$14.99 por mês

Preço, anual

$139.08 por ano na renovação, faturado uma vez

Países oferecidos abrangidos por um mandato de retençãoC09_mandate_countries

Emirados Árabes Unidos Índia Iraque Cazaquistão Turquia Vietnã

País do proprietário efetivo finalM11_owner_jurisdiction

desconhecido

Chave do cluster do grupo proprietárioM15_owner_group

Nord Security

Data em que o proprietário atual assumiu o controloM16_control_since

2012

Função desta marca dentro do grupoM17_brand_role

principal

Infraestrutura partilhada com os membros do clusterM18_shared_infrastructure

separate

Total de auditorias publicadasV10_audit_count

Insuficiente

NordVPN

VPN comercialPanamáPosição 12 de 68

A pagar mensalmente

$14.99 por mês

A pagar anualmente

$139.08 faturado uma vez por ano

Cobertura

149 países com saída

Plano gratuito

Não apenas planos pagos

17 em 100

Segurança

70 em 100

Usabilidade

Visitar site

De onde vem a pontuação de segurança

Oito canais, cada um colocando uma pergunta à ficha publicada e lendo um conjunto nomeado de campos para lhe responder. Multiplicam-se em vez de se somarem — o fator ao lado de um canal é o que resta depois da pressão que encontrou, e abra um canal para ver cada campo que leu, tal como está armazenado. Como funciona o modelo

Campos de segurança

67 55 deles alimentam um canal

Comprovados

47 19 ficaram desconhecido, 1 não aplicável

Completude

69% a parcela que o modelo conseguiu ponderar

Citações

65 em 21 documentos

Cada valor traz consigo aquilo em que se baseia, e o modelo pondera os quatro níveis de forma diferente. Peso, depois quantas citações desta ficha se situam nesse nível:

B pesa 0,85 · 58 aquiC pesa 0,70 · 7 aqui

Os pesos são os próprios do methodology.json; uma alegação vista no próprio artefacto conta mais do que a mesma alegação reportada em segunda mão. A data no final de uma linha é o dia em que esse valor foi lido pela última vez.

Um canal não cobra por cada campo que lê. Os que cobrou estão assinalados ao longo da margem e indicam o que acrescentaram; tudo o resto foi lido e não custou nada. Só um canal que se compõe campo a campo pode sequer assinalar um campo — os restantes cobram-se pelos parâmetros impressos acima das suas linhas.

Ainda em aberto nesta ficha.

Os dois preços. U04b_price_yearly=139.08 e U04_price_monthly=14.99 são os valores de renovação do escalão Basic em USD, obtidos em nordvpn.com/pricing através de um IP dos EUA (a página bloqueia geograficamente a moeda; o plano de um ano anuncia $5.49/mês nos primeiros 12 meses, depois $139.08/ano).

A página de transparência, relida. O bloco P foi relido com base na página de transparência da NordVPN (nordvpn.com/blog/nordvpn-introduces-transparency-reports/, atualizada diariamente): em outubro de 2024, um mandado vinculativo do gabinete do procurador do Panamá obrigou a NordVPN a entregar dados de pagamento e a confirmação de que existia uma conta para um determinado e-mail — a única divulgação de sempre registada (P02/P03/P12).

o resto do que está em aberto — mais 664 palavras

O canário, e o trimestre que o substituiu. A mesma página retirou o canário de mandado (P07=removed) em favor de relatórios de transparência trimestrais; o último trimestre completo (abr.–jun. de 2026) mostra 85 pedidos governamentais e 0 divulgações, pelo que P08/P09 correspondem a esse período, e não ao valor de sempre.

A Índia e o regime de ordens secretas. P04=withdrew_physical corresponde à saída da Índia em junho de 2022. P11=none_known baseia-se na afirmação da página de que a NordVPN não recebeu cartas vinculativas de Segurança Nacional nem ordens de mordaça e na ausência de tal regime no Panamá.

Um nível de garantia que ninguém pode verificar. A NordVPN descreve o trabalho da Deloitte Lithuania como um trabalho de garantia razoável ao abrigo da ISAE 3000 (Revised), que seria a forma mais forte; o relatório da PIA, que pode ser consultado, declara uma conclusão de garantia limitada.

Por que a forma mais forte não é creditada. O modelo atribui agora um valor a essa diferença, e esta ficha não beneficia dela: V15_assurance_strength é desconhecido porque a única afirmação sobre o nível é da própria NordVPN, acerca de um relatório que ninguém fora de uma Nord Account pode abrir. Um documento protegido por início de sessão não é prova aqui a nenhum nível, pelo que a análise é creditada segundo a norma de mercado, e não segundo o nível que se diz ter alcançado.

Um relatório protegido por início de sessão. O próprio relatório só pode ser lido depois de iniciar sessão numa Nord Account, pelo que ninguém fora dessa relação verificou o seu âmbito, e todos os campos de auditoria aqui assentam no resumo que a própria NordVPN faz dele, e não no documento. Isso, e não uma conclusão contra o serviço, é a razão por que esta ficha é a mais incompleta do catálogo.

Os campos do proprietário. M11_owner_jurisdiction e X04_owner_group_history são desconhecidos: nordvpn.com e nordsecurity.com identificam a Nord Security como proprietária, mas nenhum dos dois indica a própria jurisdição de constituição da Nord Security ou qualquer histórico anterior do grupo; a imprensa secundária associa uma entidade holding «Cyberspace» aos Países Baixos desde a fusão de 2022, mas isso não foi confirmado numa página primária da Nord Security ou da NordVPN no tempo disponível.

O que não pôde ser lido de todo. O texto integral do relatório da Deloitte de 2025 não pode ser lido de todo (protegido por início de sessão), pelo que não é registada qualquer conclusão sobre retenção além da própria alegação da política no campo C01_linkable_retention.

A tabela de servidores que não abria. C09b_mandate_hosting é desconhecido: a tabela ativa de servidores por país mostra o estado físico/virtual apenas para a região das Américas no estado do acordeão que esta auditoria conseguiu apresentar; as secções da Europa, Ásia-Pacífico e África/Médio Oriente (que incluem vários países de mandato servidos pela frota, por exemplo AE, IN, TR, VN, IQ, KZ segundo a API de servidores) carregam do lado do cliente ao clicar e não foram expandidas.

Sobre a ficha como um todo.

O próprio nordvpn.com devolve um desafio de bot do Cloudflare (403) a todas as recolhas sem navegador usadas nesta auditoria, incluindo uma ferramenta headless-fetch; todas as citações a uma página de nordvpn.com nesta ficha foram obtidas através de um proxy de leitura de terceiros (r.jina.ai) que renderiza a página no servidor, e não através de um pedido direto ao domínio.

Os documentos legais (política de privacidade, termos) estão num domínio separado, my.nordaccount.com, não detetável a partir do próprio sitemap de nordvpn.com — alcançado apenas seguindo a ligação do rodapé numa página renderizada. O sexto relatório de garantia de não retenção da Deloitte (emitido em 12-12-2025) está explicitamente condicionado a início de sessão, segundo a própria publicação no blogue da NordVPN ('não publicamos excertos publicamente... inicie sessão na sua Nord Account'), pelo que V11_audit_findings é registado como not_stated, em vez de se inferir uma conclusão sobre retenção a partir do resumo do anúncio, de acordo com R23.

o resto do que está em aberto — mais 104 palavras

A violação do centro de dados na Finlândia em 2018 foi uma intrusão de terceiros, não uma apreensão por autoridades policiais — registada em P12_case_history como kind=breach, e não como P01_seizure_event. O próprio relato da NordVPN (nordvpn.com/blog/official-response-datacenter-breach/) e a cobertura contemporânea da Bloomberg concordam que a divulgação se seguiu a alegações no Twitter feitas por investigadores externos, e não a uma iniciativa da NordVPN — daí third_party_disclosed, em vez de self_disclosed_late.

A NordVPN e a Surfshark partilham um proprietário (Nord Security), mas o anúncio da fusão das próprias empresas afirma infraestruturas e roteiros de produtos separados; M18 é definido como separado com base nisso.

RetençãoExiste uma ficha que associe o tráfego a uma pessoa, e quem a verificou?13 campos lidos · 1 ficaram desconhecidos · 45,0 pontos de pressão×0,550

Composto em vez de somado: uma base de 0.55 no ramo silent, deslocada pelo que o documento diz (0.0374) e pelo que a prática mostra (0.3005), com uma credibilidade de 0.3173 vinda da auditoria e 0.85 da forma como o fornecedor se envolveu, contra uma gravidade de 0.08 para o que é efetivamente retido.

Retenção associável a uma pessoa conforme declaradomaterialC01_linkable_retention

aggregates_only

Bmy.nordaccount.com28 de ago. de 2026

Reportar um problema com C01_linkable_retention

Identificador persistente do dispositivo na posse do fornecedorC12_device_identifier

resettable_ad_id

Bmy.nordaccount.com27 de ago. de 2026

Reportar um problema com C12_device_identifier

Pelo menos uma auditoria independentematerialV01_audit_exists

yes_declared

Bnordvpn.com

Calculado

×0,172 de uma ficha limpa completude 69%

De onde vem a queda: Retenção. É o canal em que o risco desta ficha se concentra — por si só, leva uma ficha limpa a ×0,550, e a barra acima está preenchida até esse ponto.

A exposição está registada como medium e o estado de integridade como clean.

Face ao resto do registo, esta ficha situa-se mais acima em Jurisdição — ×0,921 quando o registo tem uma média de ×0,680 — e mais abaixo em Divulgação, ×0,780 contra ×0,970.

Pontuação publicada

Cada linha acima é um campo da ficha publicada, e todas podem ser contestadas: cada linha traz Reportar, ou levantar uma questão sobre a ficha como um todo. Uma correção com uma fonte por trás é feita no próprio dia, e se alterar a pontuação, altera a posição.

Especificação

Presente, nunca pontuado

Países com saída

Comparado com

O que mudou

Se este não for o indicado

NordVPN

De onde vem a pontuação de segurança

Mullvad VPN

IVPN

Proton VPN