NordVPN vs Opera VPN

Canarul și trimestrul care l-a înlocuit. Aceeași pagină a retras canarul de mandat (P07=removed) în favoarea rapoartelor trimestriale de transparență; cel mai recent trimestru complet (aprilie–iunie 2026) indică 85 de solicitări guvernamentale și 0 divulgări, astfel că P08/P09 se referă la acea perioadă, nu la cifra cumulată.

India și regimul de ordine secrete. P04=withdrew_physical este retragerea din India din iunie 2022. P11=none_known se bazează pe afirmația de pe pagină că NordVPN nu a primit scrisori National Security sau ordine de tăcere obligatorii și pe absența unui asemenea regim în Panama.

Un nivel de asigurare pe care nimeni nu îl poate verifica. NordVPN descrie misiunea Deloitte Lithuania ca pe o misiune de asigurare rezonabilă în temeiul ISAE 3000 (Revizuit), care ar fi forma mai puternică; raportul PIA, care poate fi consultat, formulează o concluzie de asigurare limitată.

De ce forma mai puternică nu este recunoscută. Modelul evaluează acum această diferență, iar această fișă nu beneficiază de ea: V15_assurance_strength este necunoscut deoarece singura afirmație privind nivelul aparține NordVPN și se referă la un raport pe care nimeni din afara unui Nord Account nu îl poate deschide. Un document aflat în spatele unei autentificări nu constituie dovezi aici la niciun nivel, astfel că auditul este recunoscut la norma pieței, nu la nivelul la care se spune că a ajuns.

Un raport aflat în spatele unei autentificări. Raportul în sine poate fi citit numai după autentificarea într-un Nord Account, astfel că nimeni din afara acelei relații nu i-a verificat domeniul de aplicare, iar fiecare câmp de audit de aici se bazează pe propriul rezumat al NordVPN, nu pe document. Acest lucru, nu o constatare împotriva serviciului, explică de ce această fișă este cea mai puțin susținută de dovezi din catalog.

Câmpurile proprietarului. M11_owner_jurisdiction și X04_owner_group_history sunt necunoscute: nordvpn.com și nordsecurity.com numesc Nord Security drept proprietar, dar niciunul nu precizează jurisdicția proprie de înregistrare a Nord Security sau vreun istoric anterior al grupului; presa secundară leagă o entitate holding „Cyberspace” de Olanda în urma fuziunii din 2022, dar acest lucru nu a fost confirmat printr-o pagină principală a Nord Security sau NordVPN în timpul disponibil.

Ce nu a putut fi citit deloc. Textul integral al raportului Deloitte din 2025 nu poate fi citit deloc (accesul este condiționat de autentificare), astfel că nu este înregistrată nicio constatare privind reținerea în afara propriei afirmații a politicii din C01_linkable_retention.

Tabelul serverelor care nu s-a deschis. C09b_mandate_hosting este necunoscut: tabelul live al serverelor pe țări afișează starea fizică/virtuală numai pentru regiunea Americilor în starea acordeonului pe care acest audit a putut să o redea; secțiunile Europa, Asia-Pacific și Africa/Orientul Mijlociu (care includ mai multe țări cu obligații deservite de flotă, de exemplu AE, IN, TR, VN, IQ, KZ, conform API-ului serverelor) se încarcă pe partea clientului la clic și nu au fost extinse.

Lăsate necunoscute, nu afirmate. C04-C07, U06 (dovezi privind cenzura), U11, V12-V14, X06, X07, X10 și X11 nu au fost confirmate independent printr-un document principal și sunt lăsate necunoscute, nu afirmate pe baza acoperirii secundare.

O îndoială rămâne deschisă și nu este imputată. O îndoială rămâne deschisă pentru X12 fără a fi imputată: formularul de siguranță a datelor din Play pentru com.nordvpn.android declară Aplicații instalate în cadrul analizelor pe Android, în timp ce nota de informare privind confidențialitatea NordVPN menționează aplicațiile instalate într-un singur loc — scanarea vulnerabilităților anti-malware — și limitează prelucrarea numelor și versiunilor aplicațiilor la Windows.

De ce este totuși interpretat ca o potrivire. Categoria este dezvăluită, nu absentă, iar R28 nu formulează o constatare pe baza unei diferențe de domeniu de aplicare între platforme, astfel că valoarea este matches_policy; însă scopul pe Android nu este cel descris în notă, iar numai NordVPN poate spune care dintre cele două este formulat greșit.

De ce scorul nu depinde de aceasta. Atât curat, cât și necunoscut au prețul 0,000, astfel că nimic din scor nu depinde de aceasta; ceea ce lipsește este fișa, nu numărul, iar următoarea rundă ar trebui să înceapă cu documentele Kunlun și registrul federal, nu cu un rezumat al acestora.

Raportul care ar modifica patru câmpuri. Raportul Deloitte este celălalt document care ar modifica simultan mai multe câmpuri: V04, V07, V11 și V15 sunt toate necunoscute doar pentru că nu este publicat, iar V11 este în special câmpul pe care se bazează întreaga afirmație privind lipsa jurnalelor.

Ceea ce nu are document. U07 nu are document și nici C13 din spatele său: Opera numește AES-256 și un „tunel securizat” și nu numește niciodată un protocol, astfel că transportul cel mai slab oferit nu este dovedit. U08, U09 și U12b sunt necompletate din același motiv — tabelul de comparație a funcțiilor de pe pagina produsului marchează rândurile cu bife pe care marcajul preluat nu le conține, iar citirea bifelor dintr-o imagine redată nu constituie o sursă.

Servere descrise, nu dovedite. C02, C06 și C08 nu au nimic în spatele lor: Opera spune că serverele sunt fizice și proprii, ceea ce nu clarifică nici discurile, nici DNS-ul, nici cine deține hardware-ul. C09b nu poate primi răspuns cât timp U02 este necunoscut.

Un singur magazin, nu două. A fost citit doar formularul Google Play privind siguranța datelor; etichetele de confidențialitate din App Store pentru browserul iOS nu au fost citite, astfel că X12 se bazează pe un singur magazin, nu pe cel mai nefavorabil dintre două.

Două interpretări, nu afirmații. Linux din U01 este dedus din manualul de ajutor pentru desktop, care documentează VPN și acoperă împreună Windows, macOS și Linux, fără a le separa pe platforme; Android și iOS sunt menționate explicit în anunțul auditului. U10 este nelimitat deoarece nu există niciun cont și nicio limită de dispozitive care să impună una, ceea ce este o interpretare a produsului, nu o cifră declarată.

Breșa centrului de date din Finlanda din 2018 a fost o intruziune a unei terțe părți, nu un sechestru efectuat de autoritățile de aplicare a legii — înregistrată la P12_case_history ca kind=breach, nu la P01_seizure_event. Relatarea proprie a NordVPN (nordvpn.com/blog/official-response-datacenter-breach/) și relatarea contemporană a Bloomberg sunt de acord că dezvăluirea a urmat acuzațiilor de pe Twitter formulate de cercetători externi, nu unei inițiative proprii a NordVPN — de aici third_party_disclosed în loc de self_disclosed_late.

NordVPN și Surfshark au același proprietar (Nord Security), dar anunțul propriu al ambelor companii privind fuziunea afirmă infrastructuri și foi de parcurs ale produselor separate; M18 este stabilit ca separat pe această bază.

Identitatea acelui terț a variat: anunțul auditului din 2024 spune că serverele VPN Pro sunt „furnizate în colaborare cu Nord”, iar explicația din 2026 spune că VPN Pro este „echipat cu protocolul Lightway de nouă generație”, care aparține ExpressVPN. Niciunul dintre documente nu spune că aranjamentul s-a schimbat.

X02 este constatarea de care depinde totul, iar ambele documente care o susțin sunt ale Opera. Anunțul din 2024 citează opinia Deloitte astfel: „configurația sistemelor informatice și gestionarea operațiunilor IT aferente au fost proiectate și implementate în mod adecvat, în toate privințele semnificative, pe baza criteriilor descrise în Management Assertion al Opera, la data de 10 august 2024”, și atribuie separat propoziția „Funcționalitatea de jurnalizare a datelor nu este integrată în serviciul VPN și nu se colectează absolut niciun fel de date” propriului Management Assertion al Opera.

Postarea din 2026 prezintă din nou aceeași misiune, descriind constatarea ca fiind realizată de Deloitte: „am oferit echipei Deloitte acces complet la VPN-ul și infrastructura noastră de servere, iar aceasta a putut verifica afirmația noastră ... De fapt, o funcție de jurnalizare a datelor nici măcar nu este integrată în VPN de la bun început.” Aceeași postare transformă un interval pe care postarea din 2024 îl datează între 18 iunie și 10 august 2024 în „acces complet”.

Opera își descrie propria afirmație ca fiind concluzia auditorului său. De aceea blocul VERIFY este împărțit astfel. V01 este yes_verified pe baza unui raport deschis efectiv — propriul rezumat public al conducerii întocmit de Cure53 pentru evaluarea din martie 2022 — nu pe baza anunțului Deloitte.

Raportul Deloitte în sine nu este publicat nicăieri, așadar V02 este press_only, iar fiecare câmp care reprezintă o constatare a acelui raport, nu un fapt despre angajament, rămâne necunoscut: acoperirea flotei (V04), standardul de asigurare (V07), ce afirmă raportul că este reținut (V11) și nivelul de forță al opiniei (V15).

Faptele despre angajament — firma, categoria sa, data, ceea ce a fost enumerat ca fiind testat — sunt preluate din anunț. Un furnizor care a redefinit în mod demonstrabil acest audit o dată nu este o sursă pentru ceea ce a concluzionat auditul. C01 este none_linkable deoarece aceasta este declarația din informarea privind confidențialitatea; V11 este constatarea, iar nu există nicio constatare de citit.

Raportul Cure53 este real și acesta este motivul pentru care V14 este yes_verified: șapte testeri, douăzeci și patru de zile-om, testare white-box în cadrul a patru pachete de lucru care acoperă clienții VPN, configurația și infrastructura serverului, precum și protocolul Opera Mini utilizat pentru furnizarea configurației VPN. Paisprezece probleme relevante pentru securitate, dintre care opt vulnerabilități propriu-zise, cinci evaluate ca având severitate ridicată și niciuna critică.