NordVPN vs Surfshark

Breșa centrului de date din Finlanda din 2018 a fost o intruziune a unei terțe părți, nu un sechestru efectuat de autoritățile de aplicare a legii — înregistrată la P12_case_history ca kind=breach, nu la P01_seizure_event. Relatarea proprie a NordVPN (nordvpn.com/blog/official-response-datacenter-breach/) și relatarea contemporană a Bloomberg sunt de acord că dezvăluirea a urmat acuzațiilor de pe Twitter formulate de cercetători externi, nu unei inițiative proprii a NordVPN — de aici third_party_disclosed în loc de self_disclosed_late.

NordVPN și Surfshark au același proprietar (Nord Security), dar anunțul propriu al ambelor companii privind fuziunea afirmă infrastructuri și foi de parcurs ale produselor separate; M18 este stabilit ca separat pe această bază.

Această fișă a fost citită anterior de două ori — connection_timestamps în V11 pe baza formulării din audit, source_ip în C01 pe baza formulării din politică — și evaluată la nivelul mai nefavorabil dintre cele două, ceea ce a făcut ca marja de cincisprezece minute să coste mai mult decât a nu spune nimic: un câmp necompletat pentru C01 este priorul pieței 0,550, iar source_ip este 0,750.

R29 trasează acum linia: starea ștearsă într-un interval declarat, legat de sfârșitul sesiunii, ține de conexiune, nu de o fișă a acesteia, astfel că ambele câmpuri apar ca connection_timestamps în aceeași propoziție. Ceea ce se contabilizează în continuare este ceea ce supraviețuiește sesiunii — data ultimei autentificări din secțiunea 2.3.1 a politicii și marcajele temporale ale conexiunilor menționate de auditor.

Surfshark și NordVPN au același proprietar principal (Nord Security, din 2022), dar pagina proprie despre companie a Surfshark afirmă că mărcile s-au unit „operând independent”, cu infrastructură separată — M18 este setat la separat pe această bază, în concordanță cu fișa nordvpn.com.

U12a este parțial, nu da, în coloana P2P proprie tabelului serverelor: 88 dintre cele 100 de țări listate o au, iar douăsprezece nu o au (AU, CL, CO, HR, GR, IE, JP, MX, NZ, TW, TR, AE). Coloana este generată la nivelul clientului, astfel că a fost citită din tabelul redat, nu din HTML-ul static, unde fiecare rând poartă fiecare etichetă.

Raportul de transparență de la /transparency-report — către care redirecționează acum /warrant-canary — prezintă trimestrul aprilie–iunie 2026 sub forma unui tabel: 374.719 notificări DMCA, 33 de solicitări din partea instituțiilor guvernamentale, 1 mandat, 0 scrisori de securitate națională și 0 ordine de tăcere. P08 numără cele 34 de cereri legale și exclude notificările DMCA: acestea sunt plângeri privind drepturile de autor referitoare la trafic, nu cereri pentru datele unui utilizator.

Aceeași pagină afirmă că Surfshark retrage canarul privind mandatele în favoarea raportării trimestriale, motiv pentru care P07 este eliminat, nu setat la none — canarul a existat și a fost retras în mod deliberat.

U07_protocols conține proprietary pentru Dausos, pe baza propriei formulări Surfshark — pagina sa despre protocoale numește Dausos „protocolul proprietar al Surfshark” și nu publică nicio sursă pentru acesta — iar această singură valoare stabilește C13_weakest_protocol și penalizarea pentru igiena care urmează. IKEv2 este păstrat deoarece Surfshark încă îl documentează, deși propriul său blog consemnează eliminarea sa din aplicația Windows; Shadowsocks a dispărut din indexul de asistență și nu este listat.

Canarul și trimestrul care l-a înlocuit. Aceeași pagină a retras canarul de mandat (P07=removed) în favoarea rapoartelor trimestriale de transparență; cel mai recent trimestru complet (aprilie–iunie 2026) indică 85 de solicitări guvernamentale și 0 divulgări, astfel că P08/P09 se referă la acea perioadă, nu la cifra cumulată.

India și regimul de ordine secrete. P04=withdrew_physical este retragerea din India din iunie 2022. P11=none_known se bazează pe afirmația de pe pagină că NordVPN nu a primit scrisori National Security sau ordine de tăcere obligatorii și pe absența unui asemenea regim în Panama.

Un nivel de asigurare pe care nimeni nu îl poate verifica. NordVPN descrie misiunea Deloitte Lithuania ca pe o misiune de asigurare rezonabilă în temeiul ISAE 3000 (Revizuit), care ar fi forma mai puternică; raportul PIA, care poate fi consultat, formulează o concluzie de asigurare limitată.

De ce forma mai puternică nu este recunoscută. Modelul evaluează acum această diferență, iar această fișă nu beneficiază de ea: V15_assurance_strength este necunoscut deoarece singura afirmație privind nivelul aparține NordVPN și se referă la un raport pe care nimeni din afara unui Nord Account nu îl poate deschide. Un document aflat în spatele unei autentificări nu constituie dovezi aici la niciun nivel, astfel că auditul este recunoscut la norma pieței, nu la nivelul la care se spune că a ajuns.

Un raport aflat în spatele unei autentificări. Raportul în sine poate fi citit numai după autentificarea într-un Nord Account, astfel că nimeni din afara acelei relații nu i-a verificat domeniul de aplicare, iar fiecare câmp de audit de aici se bazează pe propriul rezumat al NordVPN, nu pe document. Acest lucru, nu o constatare împotriva serviciului, explică de ce această fișă este cea mai puțin susținută de dovezi din catalog.