Opera VPN vs Surfshark

De ce scorul nu depinde de aceasta. Atât curat, cât și necunoscut au prețul 0,000, astfel că nimic din scor nu depinde de aceasta; ceea ce lipsește este fișa, nu numărul, iar următoarea rundă ar trebui să înceapă cu documentele Kunlun și registrul federal, nu cu un rezumat al acestora.

Raportul care ar modifica patru câmpuri. Raportul Deloitte este celălalt document care ar modifica simultan mai multe câmpuri: V04, V07, V11 și V15 sunt toate necunoscute doar pentru că nu este publicat, iar V11 este în special câmpul pe care se bazează întreaga afirmație privind lipsa jurnalelor.

Ceea ce nu are document. U07 nu are document și nici C13 din spatele său: Opera numește AES-256 și un „tunel securizat” și nu numește niciodată un protocol, astfel că transportul cel mai slab oferit nu este dovedit. U08, U09 și U12b sunt necompletate din același motiv — tabelul de comparație a funcțiilor de pe pagina produsului marchează rândurile cu bife pe care marcajul preluat nu le conține, iar citirea bifelor dintr-o imagine redată nu constituie o sursă.

Servere descrise, nu dovedite. C02, C06 și C08 nu au nimic în spatele lor: Opera spune că serverele sunt fizice și proprii, ceea ce nu clarifică nici discurile, nici DNS-ul, nici cine deține hardware-ul. C09b nu poate primi răspuns cât timp U02 este necunoscut.

Un singur magazin, nu două. A fost citit doar formularul Google Play privind siguranța datelor; etichetele de confidențialitate din App Store pentru browserul iOS nu au fost citite, astfel că X12 se bazează pe un singur magazin, nu pe cel mai nefavorabil dintre două.

Două interpretări, nu afirmații. Linux din U01 este dedus din manualul de ajutor pentru desktop, care documentează VPN și acoperă împreună Windows, macOS și Linux, fără a le separa pe platforme; Android și iOS sunt menționate explicit în anunțul auditului. U10 este nelimitat deoarece nu există niciun cont și nicio limită de dispozitive care să impună una, ceea ce este o interpretare a produsului, nu o cifră declarată.

India și regimul de ordine secrete. P04_mandate_response=withdrew_physical este ieșirea din India din iunie 2022, restabilită din propriul blog al Surfshark (surfshark.com/blog/surfshark-servers-certin-india), după ce verificarea anterioară a constatat că pagina /trust-center nu o mai conținea. P11=judicial_only se bazează pe raportul de transparență, care arată mandatul Amsterdam District Court din aprilie 2026 și contoarele pentru scrisorile de securitate națională și ordinele de tăcere la zero.

Au fost găsite două rapoarte, poate nu toate. Au fost găsite publicate doar două rapoarte Deloitte privind lipsa jurnalelor (dec. 2022, iun. 2025); este posibil să existe și altele care nu sunt indicate din robots.txt și pe care acest audit nu le-a căutat prin alte mijloace.

Identitatea acelui terț a variat: anunțul auditului din 2024 spune că serverele VPN Pro sunt „furnizate în colaborare cu Nord”, iar explicația din 2026 spune că VPN Pro este „echipat cu protocolul Lightway de nouă generație”, care aparține ExpressVPN. Niciunul dintre documente nu spune că aranjamentul s-a schimbat.

X02 este constatarea de care depinde totul, iar ambele documente care o susțin sunt ale Opera. Anunțul din 2024 citează opinia Deloitte astfel: „configurația sistemelor informatice și gestionarea operațiunilor IT aferente au fost proiectate și implementate în mod adecvat, în toate privințele semnificative, pe baza criteriilor descrise în Management Assertion al Opera, la data de 10 august 2024”, și atribuie separat propoziția „Funcționalitatea de jurnalizare a datelor nu este integrată în serviciul VPN și nu se colectează absolut niciun fel de date” propriului Management Assertion al Opera.

Postarea din 2026 prezintă din nou aceeași misiune, descriind constatarea ca fiind realizată de Deloitte: „am oferit echipei Deloitte acces complet la VPN-ul și infrastructura noastră de servere, iar aceasta a putut verifica afirmația noastră ... De fapt, o funcție de jurnalizare a datelor nici măcar nu este integrată în VPN de la bun început.” Aceeași postare transformă un interval pe care postarea din 2024 îl datează între 18 iunie și 10 august 2024 în „acces complet”.

Opera își descrie propria afirmație ca fiind concluzia auditorului său. De aceea blocul VERIFY este împărțit astfel. V01 este yes_verified pe baza unui raport deschis efectiv — propriul rezumat public al conducerii întocmit de Cure53 pentru evaluarea din martie 2022 — nu pe baza anunțului Deloitte.

Raportul Deloitte în sine nu este publicat nicăieri, așadar V02 este press_only, iar fiecare câmp care reprezintă o constatare a acelui raport, nu un fapt despre angajament, rămâne necunoscut: acoperirea flotei (V04), standardul de asigurare (V07), ce afirmă raportul că este reținut (V11) și nivelul de forță al opiniei (V15).

Faptele despre angajament — firma, categoria sa, data, ceea ce a fost enumerat ca fiind testat — sunt preluate din anunț. Un furnizor care a redefinit în mod demonstrabil acest audit o dată nu este o sursă pentru ceea ce a concluzionat auditul. C01 este none_linkable deoarece aceasta este declarația din informarea privind confidențialitatea; V11 este constatarea, iar nu există nicio constatare de citit.

Raportul Cure53 este real și acesta este motivul pentru care V14 este yes_verified: șapte testeri, douăzeci și patru de zile-om, testare white-box în cadrul a patru pachete de lucru care acoperă clienții VPN, configurația și infrastructura serverului, precum și protocolul Opera Mini utilizat pentru furnizarea configurației VPN. Paisprezece probleme relevante pentru securitate, dintre care opt vulnerabilități propriu-zise, cinci evaluate ca având severitate ridicată și niciuna critică.

La data de martie 2022, nouă erau remediate, iar remedierile erau verificate, una era remediată parțial, trei riscuri erau acceptate, una era o alertă falsă și una era încă în desfășurare. Blogul Opera afirmă că cele șapte elemente referitoare direct la VPN-ul browserului au fost „toate rezolvate ulterior”, iar tabelul confirmă acest lucru — restul se află în pachetul de lucru Opera Mini, nu în VPN-ul propriu-zis.

Proprietatea este dezvăluită complet și se încheie într-o țară cu obligație legală, motiv pentru care X03 și C11 indică direcții opuse fără a se contrazice.

Operatorul de date menționat în propria informare privind confidențialitatea a Opera este Opera Norway AS, o companie norvegiană, iar raportul de transparență este depus sub acest nume.

Compania holding este Opera Limited, o companie exceptată constituită în Insulele Cayman în martie 2018, fără operațiuni proprii substanțiale. Formularul 20-F pentru 2025 o menționează pe Hong Kong Kunlun Tech Holding Limited drept acționar principal, cu 68,0%, o filială a Kunlun Tech Co., Ltd. constituită în PRC, și afirmă că Kunlun „este compania-mamă finală a Opera și este controlată de președintele executiv al Opera”.

Așadar, M06 este NO, iar C10 este no, în timp ce M11 este CN, iar C11 este yes.

C12 este cea mai evidentă lacună dintre declarația VPN-ului și aplicația în care este integrat. Secțiunea VPN din declarația de confidențialitate declară că nu reține jurnale; o altă secțiune a aceluiași document spune că, atunci când o aplicație Opera este instalată, „se generează un ID de instalare aleatoriu. Colectăm acest identificator, precum și Machine ID, specificațiile hardware (modelul, data lansării etc.), sistemul de operare, configurația mediului și datele privind utilizarea funcțiilor”, păstrate timp de până la trei ani.

Un Machine ID este derivat din hardware, astfel încât identificatorul deținut de furnizor este persistent_hardware_id, nu unul aleatoriu asociat aplicației, indiferent de ceea ce înregistrează sau nu tunelul.

X12 compară două documente depuse chiar de Opera. Formularul Play privind siguranța datelor pentru com.opera.browser declară că Installed apps este colectat pentru Analytics, iar declarația de confidențialitate nu menționează deloc colectarea aplicațiilor instalate pe dispozitiv. Installed apps ține de comportament, nu este un identificator, de aici undisclosed_behaviour.

Același formular declară că Device or other IDs sunt partajate cu alte companii pentru publicitate, ceea ce plasează C07a la ads. C07b se bazează pe ceva mai restrâns și este marcat B pentru acest motiv: singura gazdă terță din marcajul servit pentru pagina produsului este Google Tag Manager, iar ceea ce încarcă acel container în timpul rulării nu a fost enumerat.

U02 este necunoscut prin concepția produsului, nu din cauza unui eșec al căutării: VPN-ul gratuit oferă trei regiuni — Opera le numește America, Asia și Europe — și niciodată o țară. C09 și C09b rezultă din aceasta și nu pot fi stabilite cât timp situația se menține.

X05 este ads_supported în propriul material explicativ al Opera, care enumeră publicitatea prima dintre cele trei surse de venit și descrie Opera Ads ca colectând un ID de utilizator generat aleatoriu, orașul sau țara și categorii largi de site-uri vizitate, păstrate timp de până la un an; împreună cu U05 = unlimited_free, acesta este exact cazul pe care R15 există pentru a-l semnala.

X06 este afirmația din postarea din 2026 potrivit căreia AES-256 „i-ar lua unui hacker care dispune chiar și de cel mai rapid computer mai mult de un miliard de ani pentru a-l sparge”. X09 este self_disclosed_prompt în două postări din 2026 în care Opera a publicat vulnerabilități raportate de cercetători externi, împreună cu analiza și versiunea remediată — acestea sunt vulnerabilități ale browserului, nu incidente VPN, iar niciun incident VPN nu este cunoscut.

C05 este not_sold. VPN-ul gratuit nu are deloc etapă de plată — nici abonament, nici cont — deci nu există nimic de plătit anonim sau în alt mod.

Această fișă a fost scrisă inițial ca none, ceea ce se interpretează ca „sunt oferite doar metodele de plată identificate” și este fals aici, deoarece vocabularul nu avea niciun token pentru un serviciu care nu încasează bani; necunoscut ar fi susținut că căutarea a eșuat, ceea ce era de asemenea fals, iar dintre două interpretări greșite a fost înregistrată cea care greșește în defavoarea furnizorului. Tokenul există acum și are prețul de nimic, ceea ce este răspunsul onest: acolo unde nu există plată, nu există identitate de plată care să poată fi divulgată.

Această fișă a fost citită anterior de două ori — connection_timestamps în V11 pe baza formulării din audit, source_ip în C01 pe baza formulării din politică — și evaluată la nivelul mai nefavorabil dintre cele două, ceea ce a făcut ca marja de cincisprezece minute să coste mai mult decât a nu spune nimic: un câmp necompletat pentru C01 este priorul pieței 0,550, iar source_ip este 0,750.

R29 trasează acum linia: starea ștearsă într-un interval declarat, legat de sfârșitul sesiunii, ține de conexiune, nu de o fișă a acesteia, astfel că ambele câmpuri apar ca connection_timestamps în aceeași propoziție. Ceea ce se contabilizează în continuare este ceea ce supraviețuiește sesiunii — data ultimei autentificări din secțiunea 2.3.1 a politicii și marcajele temporale ale conexiunilor menționate de auditor.

Surfshark și NordVPN au același proprietar principal (Nord Security, din 2022), dar pagina proprie despre companie a Surfshark afirmă că mărcile s-au unit „operând independent”, cu infrastructură separată — M18 este setat la separat pe această bază, în concordanță cu fișa nordvpn.com.

U12a este parțial, nu da, în coloana P2P proprie tabelului serverelor: 88 dintre cele 100 de țări listate o au, iar douăsprezece nu o au (AU, CL, CO, HR, GR, IE, JP, MX, NZ, TW, TR, AE). Coloana este generată la nivelul clientului, astfel că a fost citită din tabelul redat, nu din HTML-ul static, unde fiecare rând poartă fiecare etichetă.

Raportul de transparență de la /transparency-report — către care redirecționează acum /warrant-canary — prezintă trimestrul aprilie–iunie 2026 sub forma unui tabel: 374.719 notificări DMCA, 33 de solicitări din partea instituțiilor guvernamentale, 1 mandat, 0 scrisori de securitate națională și 0 ordine de tăcere. P08 numără cele 34 de cereri legale și exclude notificările DMCA: acestea sunt plângeri privind drepturile de autor referitoare la trafic, nu cereri pentru datele unui utilizator.