NordVPN против Surfshark

Канарейка и заменивший её квартал. На той же странице канарейка предписаний была отменена (P07=removed) в пользу ежеквартальных отчётов о прозрачности; последний завершённый квартал (апрель–июнь 2026 года) показывает 85 запросов от государственных органов и 0 раскрытий, поэтому P08/P09 относятся к этому периоду, а не к показателю за весь период.

Индия и режим тайных предписаний. P04=withdrew_physical — это уход из Индии в июне 2022 года. P11=none_known основан на заявлении страницы о том, что NordVPN не получал обязательных National Security letters или запретов на разглашение, а также на отсутствии такого режима в Панаме.

Уровень уверенности, который никто не может проверить. NordVPN описывает работу Deloitte Lithuania как аудит с reasonable уверенностью по ISAE 3000 (Revised), что было бы более сильной формой; в доступном для чтения отчёте PIA указано заключение об ограниченной уверенности.

Почему более сильная форма не засчитывается. Теперь модель учитывает эту разницу, но эта запись не получает выгоды от неё: V15_assurance_strength имеет значение unknown, поскольку единственное заявление об уровне принадлежит самому NordVPN и касается отчёта, который никто за пределами Nord Account открыть не может. Документ за страницей входа не является здесь доказательством ни на каком уровне, поэтому аудит засчитывается по рыночной норме, а не на уровне, которого, как заявлено, он достиг.

Отчёт, доступный только после входа. Сам отчёт можно прочитать только после входа в Nord Account, поэтому никто за пределами этих отношений не проверял его охват, и каждое поле аудита здесь основано на собственном резюме NordVPN, а не на документе. Именно это, а не вывод против сервиса, делает эту запись самой скудной в каталоге.

Поля владельца. M11_owner_jurisdiction и X04_owner_group_history неизвестны: nordvpn.com и nordsecurity.com называют владельцем Nord Security, но ни один из них не указывает собственную юрисдикцию регистрации Nord Security или какую-либо предшествующую историю группы; вторичные публикации связывают холдинговую структуру «Cyberspace» с Нидерландами после слияния 2022 года, но за доступное время это не было подтверждено по первичной странице Nord Security или NordVPN.

Что вообще нельзя было прочитать. Полный текст отчёта Deloitte за 2025 год вообще нельзя прочитать (доступ закрыт входом), поэтому никакого вывода о хранении данных не зафиксировано, кроме собственного заявления политики в C01_linkable_retention.

Таблица серверов, которая не открылась. C09b_mandate_hosting неизвестно: действующая таблица серверов по странам в состоянии аккордеона, которое этот аудит смог отобразить, показывает статус физических/виртуальных серверов только для региона Americas; разделы Europe, Asia-Pacific и Africa/Middle East (включающие несколько стран с предписанием, где работает флот, например AE, IN, TR, VN, IQ, KZ, согласно API серверов) загружаются на стороне клиента по нажатию и не были раскрыты.

Оставлено неизвестным, а не заявлено. C04-C07, U06 (доказательства цензуры), U11, V12-V14, X06, X07, X10 и X11 не были независимо подтверждены по первичному документу и оставлены неизвестными, а не заявлены на основании вторичных публикаций.

Одно сомнение оставлено открытым и не учтено. По X12 остаётся одно сомнение, без его учёта: форма безопасности данных Play для com.nordvpn.android указывает Installed apps в разделе аналитики на Android, тогда как уведомление о конфиденциальности NordVPN упоминает установленные приложения только в одном месте — в проверке уязвимостей на наличие вредоносных программ — и ограничивает обработку названий и версий приложений Windows.

Почему это всё же считается совпадением. Категория раскрыта, а не отсутствует, и R28 не делает вывода на основании различия в охвате платформ, поэтому значение отображается как matches_policy; однако назначение на Android не совпадает с описанным в уведомлении, и только NordVPN может сказать, что из двух записано неверно.

Индия и режим секретных предписаний. P04_mandate_response=withdrew_physical — это уход из Индии в июне 2022 года, восстановленный по собственной публикации Surfshark (surfshark.com/blog/surfshark-servers-certin-india), после того как предыдущая проверка обнаружила, что на странице /trust-center это больше не указано. P11=judicial_only основан на отчёте о прозрачности, где число ордеров Amsterdam District Court за апрель 2026 года и ответов на письма о национальной безопасности и запреты на разглашение равно нулю.

Найдены два отчёта, возможно, не все. Опубликованными были найдены только два отчёта Deloitte об отсутствии журналов (декабрь 2022 года, июнь 2025 года); могут существовать и другие, не связанные из robots.txt, поиск которых другими способами этот аудит не проводил.

Взлом дата-центра в Финляндии в 2018 году был проникновением третьей стороны, а не изъятием правоохранительными органами — он записан в P12_case_history как kind=breach, а не в P01_seizure_event. Собственное описание NordVPN (nordvpn.com/blog/official-response-datacenter-breach/) и одновременное освещение в Bloomberg согласуются в том, что раскрытие последовало за заявлениями в Twitter внешних исследователей, а не было инициативой NordVPN, — поэтому используется third_party_disclosed, а не self_disclosed_late.

NordVPN и Surfshark имеют общего владельца (Nord Security), но в объявлении обеих компаний о слиянии указано, что инфраструктура и планы развития продуктов остаются раздельными; на этом основании для M18 задано значение separate.

Эта запись ранее была прочитана дважды — connection_timestamps в V11 по формулировке аудита и source_ip в C01 по формулировке политики — и оценена по худшему из двух вариантов, из-за чего пятнадцатиминутный буфер стоил больше, чем отсутствие утверждения: пропуск в C01 даёт рыночное априорное значение 0,550, а source_ip — 0,750.

R29 теперь проводит границу: если указано, что данные удаляются в заявленный срок, связанный с окончанием сеанса, речь идёт о подключении, а не о записи о нём, поэтому оба поля в этом же предложении читаются как connection_timestamps. По-прежнему учитывается то, что переживает сеанс: дата последнего входа в разделе 2.3.1 политики и временные метки подключений, названные аудитором.

Surfshark и NordVPN имеют общего владельца (Nord Security, с 2022 года), но на собственной странице Surfshark о компании указано, что бренды объединились «при независимой работе» с отдельной инфраструктурой — поэтому для M18 установлено разделение, как и в записи nordvpn.com.

Для U12a установлено частичное значение, а не «да», по собственной колонке P2P в таблице серверов: у 88 из 100 перечисленных стран есть эта пометка, а у двенадцати её нет (AU, CL, CO, HR, GR, IE, JP, MX, NZ, TW, TR, AE). Колонка формируется на стороне клиента, поэтому её прочитали в отображённой таблице, а не в статическом HTML, где каждая строка содержит все метки.

В отчёте о прозрачности по адресу /transparency-report — куда теперь перенаправляет /warrant-canary — квартал за апрель—июнь 2026 года представлен в виде таблицы: 374 719 уведомлений DMCA, 33 запроса от государственных учреждений, 1 предписание, 0 писем о национальной безопасности и 0 запретов на разглашение. P08 учитывает 34 правовых запроса и не учитывает уведомления DMCA: это жалобы на нарушение авторских прав в связи с трафиком, а не запросы данных пользователя.

На той же странице указано, что Surfshark отказывается от уведомления о предписаниях в пользу ежеквартальной отчётности, поэтому P07 удалено, а не отмечено как отсутствующее: уведомление существовало и было намеренно отозвано.

U07_protocols содержит значение proprietary для Dausos со слов самого Surfshark — на странице протокола Dausos назван «собственным протоколом Surfshark», но источник для него не опубликован — и именно это единственное значение определяет C13_weakest_protocol и следующую за ним надбавку за гигиену. IKEv2 сохранён, поскольку Surfshark по-прежнему документирует его, хотя в собственном блоге зафиксировано удаление из приложения для Windows; Shadowsocks исчез из указателя поддержки и не перечисляется.