Mullvad VPN vs Opera VPN

De ce numărul este opt. Numărul auditurilor este opt deoarece recenzia GotaTun se află în afara listei proprii a depozitului aplicației. Înaintea acestora, o recenzie X41 D-Sec de 30 de zile-persoană, desfășurată pe toate cele cinci platforme, a găsit șase vulnerabilități — trei ridicate, două medii, una scăzută, niciuna critică.

Ce nu acoperă niciun angajament. Ceea ce nu acoperă niciunul dintre aceste angajamente este flota de servere: fiecare examinează aplicația sau protocolul de tunel, motiv pentru care acoperirea flotei este înregistrată ca neaplicabilă, nu ca eșantion. Prin urmare, declarația fără jurnale referitoare la infrastructură se bazează pe mandatul de percheziție din aprilie 2023 — poliția suedeză a venit pentru datele clienților și a plecat fără ele — și nu pe vreun audit.

Compilări reproductibile, doar pentru Android. Compilările reproductibile sunt disponibile doar pentru Android, începând cu versiunea 2025.2, astfel că câmpul rămâne parțial; compilările pentru desktop și iOS nu pot fi verificate bit cu bit. Turcia este singura țară cu obligație legală din lista oferită, iar hostingul din spatele acesteia nu este dovedit.

Nimic publicat despre cereri. Nimic din fișă nu se bazează pe ceva publicat de furnizor despre cererile pe care le primește: nu există niciun raport de transparență și niciun canar de mandat, astfel că ridicarea din aprilie 2023 este singurul temei. Acoperirea întrerupătorului de urgență și politica P2P nu sunt dovedite; cel mai recent audit este o recenzie a codului protocolului, nu un angajament privind lipsa jurnalelor, astfel că V11 nu oferă nicio indicație, iar reținerea se bazează pe declarație.

De ce scorul nu depinde de aceasta. Atât curat, cât și necunoscut au prețul 0,000, astfel că nimic din scor nu depinde de aceasta; ceea ce lipsește este fișa, nu numărul, iar următoarea rundă ar trebui să înceapă cu documentele Kunlun și registrul federal, nu cu un rezumat al acestora.

Raportul care ar modifica patru câmpuri. Raportul Deloitte este celălalt document care ar modifica simultan mai multe câmpuri: V04, V07, V11 și V15 sunt toate necunoscute doar pentru că nu este publicat, iar V11 este în special câmpul pe care se bazează întreaga afirmație privind lipsa jurnalelor.

Ceea ce nu are document. U07 nu are document și nici C13 din spatele său: Opera numește AES-256 și un „tunel securizat” și nu numește niciodată un protocol, astfel că transportul cel mai slab oferit nu este dovedit. U08, U09 și U12b sunt necompletate din același motiv — tabelul de comparație a funcțiilor de pe pagina produsului marchează rândurile cu bife pe care marcajul preluat nu le conține, iar citirea bifelor dintr-o imagine redată nu constituie o sursă.

Servere descrise, nu dovedite. C02, C06 și C08 nu au nimic în spatele lor: Opera spune că serverele sunt fizice și proprii, ceea ce nu clarifică nici discurile, nici DNS-ul, nici cine deține hardware-ul. C09b nu poate primi răspuns cât timp U02 este necunoscut.

Un singur magazin, nu două. A fost citit doar formularul Google Play privind siguranța datelor; etichetele de confidențialitate din App Store pentru browserul iOS nu au fost citite, astfel că X12 se bazează pe un singur magazin, nu pe cel mai nefavorabil dintre două.

Două interpretări, nu afirmații. Linux din U01 este dedus din manualul de ajutor pentru desktop, care documentează VPN și acoperă împreună Windows, macOS și Linux, fără a le separa pe platforme; Android și iOS sunt menționate explicit în anunțul auditului. U10 este nelimitat deoarece nu există niciun cont și nicio limită de dispozitive care să impună una, ceea ce este o interpretare a produsului, nu o cifră declarată.

Identitatea acelui terț a variat: anunțul auditului din 2024 spune că serverele VPN Pro sunt „furnizate în colaborare cu Nord”, iar explicația din 2026 spune că VPN Pro este „echipat cu protocolul Lightway de nouă generație”, care aparține ExpressVPN. Niciunul dintre documente nu spune că aranjamentul s-a schimbat.

X02 este constatarea de care depinde totul, iar ambele documente care o susțin sunt ale Opera. Anunțul din 2024 citează opinia Deloitte astfel: „configurația sistemelor informatice și gestionarea operațiunilor IT aferente au fost proiectate și implementate în mod adecvat, în toate privințele semnificative, pe baza criteriilor descrise în Management Assertion al Opera, la data de 10 august 2024”, și atribuie separat propoziția „Funcționalitatea de jurnalizare a datelor nu este integrată în serviciul VPN și nu se colectează absolut niciun fel de date” propriului Management Assertion al Opera.

Postarea din 2026 prezintă din nou aceeași misiune, descriind constatarea ca fiind realizată de Deloitte: „am oferit echipei Deloitte acces complet la VPN-ul și infrastructura noastră de servere, iar aceasta a putut verifica afirmația noastră ... De fapt, o funcție de jurnalizare a datelor nici măcar nu este integrată în VPN de la bun început.” Aceeași postare transformă un interval pe care postarea din 2024 îl datează între 18 iunie și 10 august 2024 în „acces complet”.

Opera își descrie propria afirmație ca fiind concluzia auditorului său. De aceea blocul VERIFY este împărțit astfel. V01 este yes_verified pe baza unui raport deschis efectiv — propriul rezumat public al conducerii întocmit de Cure53 pentru evaluarea din martie 2022 — nu pe baza anunțului Deloitte.

Raportul Deloitte în sine nu este publicat nicăieri, așadar V02 este press_only, iar fiecare câmp care reprezintă o constatare a acelui raport, nu un fapt despre angajament, rămâne necunoscut: acoperirea flotei (V04), standardul de asigurare (V07), ce afirmă raportul că este reținut (V11) și nivelul de forță al opiniei (V15).

Faptele despre angajament — firma, categoria sa, data, ceea ce a fost enumerat ca fiind testat — sunt preluate din anunț. Un furnizor care a redefinit în mod demonstrabil acest audit o dată nu este o sursă pentru ceea ce a concluzionat auditul. C01 este none_linkable deoarece aceasta este declarația din informarea privind confidențialitatea; V11 este constatarea, iar nu există nicio constatare de citit.

Raportul Cure53 este real și acesta este motivul pentru care V14 este yes_verified: șapte testeri, douăzeci și patru de zile-om, testare white-box în cadrul a patru pachete de lucru care acoperă clienții VPN, configurația și infrastructura serverului, precum și protocolul Opera Mini utilizat pentru furnizarea configurației VPN. Paisprezece probleme relevante pentru securitate, dintre care opt vulnerabilități propriu-zise, cinci evaluate ca având severitate ridicată și niciuna critică.

La data de martie 2022, nouă erau remediate, iar remedierile erau verificate, una era remediată parțial, trei riscuri erau acceptate, una era o alertă falsă și una era încă în desfășurare. Blogul Opera afirmă că cele șapte elemente referitoare direct la VPN-ul browserului au fost „toate rezolvate ulterior”, iar tabelul confirmă acest lucru — restul se află în pachetul de lucru Opera Mini, nu în VPN-ul propriu-zis.

Proprietatea este dezvăluită complet și se încheie într-o țară cu obligație legală, motiv pentru care X03 și C11 indică direcții opuse fără a se contrazice.

Operatorul de date menționat în propria informare privind confidențialitatea a Opera este Opera Norway AS, o companie norvegiană, iar raportul de transparență este depus sub acest nume.

Compania holding este Opera Limited, o companie exceptată constituită în Insulele Cayman în martie 2018, fără operațiuni proprii substanțiale. Formularul 20-F pentru 2025 o menționează pe Hong Kong Kunlun Tech Holding Limited drept acționar principal, cu 68,0%, o filială a Kunlun Tech Co., Ltd. constituită în PRC, și afirmă că Kunlun „este compania-mamă finală a Opera și este controlată de președintele executiv al Opera”.

Așadar, M06 este NO, iar C10 este no, în timp ce M11 este CN, iar C11 este yes.

C12 este cea mai evidentă lacună dintre declarația VPN-ului și aplicația în care este integrat. Secțiunea VPN din declarația de confidențialitate declară că nu reține jurnale; o altă secțiune a aceluiași document spune că, atunci când o aplicație Opera este instalată, „se generează un ID de instalare aleatoriu. Colectăm acest identificator, precum și Machine ID, specificațiile hardware (modelul, data lansării etc.), sistemul de operare, configurația mediului și datele privind utilizarea funcțiilor”, păstrate timp de până la trei ani.

Un Machine ID este derivat din hardware, astfel încât identificatorul deținut de furnizor este persistent_hardware_id, nu unul aleatoriu asociat aplicației, indiferent de ceea ce înregistrează sau nu tunelul.

X12 compară două documente depuse chiar de Opera. Formularul Play privind siguranța datelor pentru com.opera.browser declară că Installed apps este colectat pentru Analytics, iar declarația de confidențialitate nu menționează deloc colectarea aplicațiilor instalate pe dispozitiv. Installed apps ține de comportament, nu este un identificator, de aici undisclosed_behaviour.

Același formular declară că Device or other IDs sunt partajate cu alte companii pentru publicitate, ceea ce plasează C07a la ads. C07b se bazează pe ceva mai restrâns și este marcat B pentru acest motiv: singura gazdă terță din marcajul servit pentru pagina produsului este Google Tag Manager, iar ceea ce încarcă acel container în timpul rulării nu a fost enumerat.

U02 este necunoscut prin concepția produsului, nu din cauza unui eșec al căutării: VPN-ul gratuit oferă trei regiuni — Opera le numește America, Asia și Europe — și niciodată o țară. C09 și C09b rezultă din aceasta și nu pot fi stabilite cât timp situația se menține.

X05 este ads_supported în propriul material explicativ al Opera, care enumeră publicitatea prima dintre cele trei surse de venit și descrie Opera Ads ca colectând un ID de utilizator generat aleatoriu, orașul sau țara și categorii largi de site-uri vizitate, păstrate timp de până la un an; împreună cu U05 = unlimited_free, acesta este exact cazul pe care R15 există pentru a-l semnala.

X06 este afirmația din postarea din 2026 potrivit căreia AES-256 „i-ar lua unui hacker care dispune chiar și de cel mai rapid computer mai mult de un miliard de ani pentru a-l sparge”. X09 este self_disclosed_prompt în două postări din 2026 în care Opera a publicat vulnerabilități raportate de cercetători externi, împreună cu analiza și versiunea remediată — acestea sunt vulnerabilități ale browserului, nu incidente VPN, iar niciun incident VPN nu este cunoscut.

C05 este not_sold. VPN-ul gratuit nu are deloc etapă de plată — nici abonament, nici cont — deci nu există nimic de plătit anonim sau în alt mod.

Această fișă a fost scrisă inițial ca none, ceea ce se interpretează ca „sunt oferite doar metodele de plată identificate” și este fals aici, deoarece vocabularul nu avea niciun token pentru un serviciu care nu încasează bani; necunoscut ar fi susținut că căutarea a eșuat, ceea ce era de asemenea fals, iar dintre două interpretări greșite a fost înregistrată cea care greșește în defavoarea furnizorului. Tokenul există acum și are prețul de nimic, ceea ce este răspunsul onest: acolo unde nu există plată, nu există identitate de plată care să poată fi divulgată.