О записи в целом.
Охват. Эта запись относится к бесплатному VPN Opera, встроенному в браузер, что и делает его browser_proxy: Opera прямо заявляет, что он «защищает только просмотр веб-страниц в браузере Opera, а не всё устройство целиком».
Платный родственный продукт VPN Pro — это другой продукт, и здесь он не оценивается: в заявлении о конфиденциальности говорится, что VPN Pro «предоставляется сторонним поставщиком услуг, который владеет инфраструктурой, управляет ею и обслуживает её», стоит от $4 в месяц, поддерживает до шести устройств и 48 стран, тогда как бесплатный VPN работает на собственной инфраструктуре Opera.
остальное открытое — ещё 1045 слов
Кто является этим третьим лицом, со временем изменилось: в объявлении об аудите 2024 года говорится, что серверы VPN Pro «предоставляются в сотрудничестве с Nord», а в пояснении 2026 года сказано, что VPN Pro «оснащён протоколом нового поколения Lightway», принадлежащим ExpressVPN. Ни в одном из документов не сказано, что договорённость изменилась.
X02 — ключевой вывод, и оба лежащих в его основе документа принадлежат Opera. В объявлении 2024 года приводится мнение Deloitte: «конфигурация ИТ-систем и управление вспомогательными ИТ-операциями были надлежащим образом спроектированы и внедрены во всех существенных отношениях на основе критериев, описанных в Management Assertion Opera, по состоянию на 10 августа 2024 года», а предложение «В службу VPN не встроена функция регистрации данных, и вообще никакие данные не собираются» отдельно приписывается собственному Management Assertion Opera.
В публикации 2026 года та же проверка вновь описывается так, будто вывод сделал Deloitte: «мы предоставили команде Deloitte полный доступ к нашей VPN-инфраструктуре и серверной инфраструктуре, и они смогли проверить наше утверждение ... На самом деле функция регистрации данных изначально даже не встроена в VPN». В той же публикации период, который публикация 2024 года датирует 18 июня — 10 августа 2024 года, преобразуется в «полный доступ».
Opera описывает собственное утверждение как вывод аудитора. Поэтому блок VERIFY разделён именно так. V01 имеет значение yes_verified благодаря фактически открытому отчёту — опубликованному Cure53 собственному резюме руководства по результатам оценки за март 2022 года, — а не благодаря объявлению Deloitte.
Сам отчёт Deloitte нигде не опубликован, поэтому V02 имеет значение press_only, а каждое поле, являющееся результатом этого отчёта, а не фактом о проведении аудита, остаётся неизвестным: охват инфраструктуры (V04), стандарт подтверждения (V07), что, согласно отчёту, хранится (V11), и сила заключения (V15).
Факты о проведении аудита — фирма, её категория, дата и то, что было указано как проверенное, — взяты из объявления. Провайдер, который однажды явно изменил характеристику этого аудита, не является источником сведений о выводе аудита. C01 имеет значение none_linkable, поскольку таково заявление в политике конфиденциальности; V11 — это результат, а результата, который можно было бы прочитать, нет.
Отчёт Cure53 реален и является основанием для значения yes_verified у V14: семь тестировщиков, двадцать четыре человеко-дня, тестирование методом белого ящика по четырём рабочим пакетам, охватывающим VPN-клиенты, конфигурацию и инфраструктуру сервера, а также протокол Opera Mini, использовавшийся для доставки конфигурации VPN. Выявлено четырнадцать проблем, имеющих отношение к безопасности, из них восемь — реальные уязвимости; пять получили высокую степень серьёзности, критических не было.
По состоянию на март 2022 года девять проблем были исправлены, и исправления проверены, одна исправлена частично, по трём риск был принят, одна оказалась ложным срабатыванием, а одна всё ещё находилась в работе. В блоге Opera говорится, что семь пунктов, непосредственно относившихся к VPN браузера, «впоследствии были полностью устранены», и таблица это подтверждает: оставшиеся пункты относятся к рабочему пакету Opera Mini, а не к самому VPN.
Владение полностью раскрыто и заканчивается в стране с предписанием, поэтому X03 и C11 указывают в противоположных направлениях, не противореча друг другу.
Контролёром данных, указанным в собственной политике конфиденциальности Opera, является Opera Norway AS, норвежская компания, и отчёт о прозрачности подан от её имени.
Холдинговой компанией является Opera Limited, освобождённая компания, зарегистрированная на Каймановых островах в марте 2018 года и не имеющая собственной существенной деятельности. В Form 20-F за 2025 год Hong Kong Kunlun Tech Holding Limited названа основным акционером с долей 68,0%; она является дочерней компанией Kunlun Tech Co., Ltd., зарегистрированной в PRC, и в документе указано, что Kunlun «является конечной материнской компанией Opera и находится под контролем исполнительного председателя Opera».
Таким образом, M06 имеет значение NO, а C10 — no, тогда как M11 имеет значение CN, а C11 — yes.
C12 — самый существенный пробел между заявлением VPN и приложением, частью которого он является. В разделе о VPN заявления о конфиденциальности заявлено отсутствие журналирования; в другом разделе того же документа сказано, что при установке приложения Opera «генерируется случайный идентификатор установки. Мы собираем этот идентификатор, а также Machine ID, характеристики оборудования (модель, дата выпуска и т. д.), операционную систему, конфигурацию среды и данные об использовании функций», которые хранятся до трёх лет.
Machine ID выводится из характеристик оборудования, поэтому идентификатор, которым располагает провайдер, — persistent_hardware_id, а не случайный идентификатор, связанный с приложением, независимо от того, что именно туннель журналирует или не журналирует.
X12 сопоставляет два документа, которые Opera подала самостоятельно. В форме Play о безопасности данных для com.opera.browser заявлено, что Installed apps собираются для Analytics, а в заявлении о конфиденциальности вообще не упоминается сбор приложений, установленных на устройстве. Installed apps — это поведение, а не идентификатор, поэтому значение — undisclosed_behaviour.
В той же форме заявлено, что Device or other IDs передаются другим компаниям для рекламы, что и помещает C07a в ads. C07b основан на более узком обстоятельстве и поэтому отмечен как B: единственный сторонний хост в разметке страницы продукта — Google Tag Manager, а содержимое, которое этот контейнер загружает во время работы, не перечислено.
U02 неизвестно по замыслу продукта, а не из-за неудачи поиска: бесплатный VPN предлагает три региона — Opera называет их America, Asia и Europe — и никогда не указывает страну. Из этого следуют C09 и C09b, и пока это сохраняется, их нельзя установить.
X05 — ads_supported в собственном пояснении Opera, где реклама указана первой среди трёх источников дохода и описано, что Opera Ads собирает случайно сгенерированный идентификатор пользователя, город или страну и широкие категории посещённых сайтов, хранящиеся до года; вместе с U05 = unlimited_free это в точности тот случай, который призван обозначать R15.
X06 — заявление из публикации 2026 года о том, что AES-256 «потребуется хакеру даже с самым быстрым компьютером больше миллиарда лет, чтобы взломать». X09 — self_disclosed_prompt в двух публикациях 2026 года, в которых Opera опубликовала уязвимости, о которых ей сообщили внешние исследователи, вместе с анализом и исправленной версией; это уязвимости браузера, а не инциденты VPN, и ни об одном инциденте VPN неизвестно.
C05 — not_sold. В бесплатном VPN вообще нет этапа оплаты — ни подписки, ни учётной записи, — поэтому платить анонимно или каким-либо иным образом нечему.
Эта запись сначала была внесена как none, что читается как «предлагаются только выявленные способы оплаты», и здесь это неверно, поскольку в словаре не было токена для сервиса, который не взимает денег; значение unknown означало бы, что поиск не дал результата, что также было бы неверно, а между двумя ошибочными трактовками была записана та, которая неблагоприятна для провайдера. Теперь токен существует и имеет нулевую цену, что является честным ответом: если оплаты нет, то нет и идентификатора платежа, который мог бы утечь.
