NordVPN - Surfshark

Canary ve onun yerini alan çeyrek. Aynı sayfa, üç aylık şeffaflık raporları için arama emri canary'sini kullanımdan kaldırdı (P07=removed); tamamlanmış en son çeyrek (Nis–Haz 2026) 85 devlet soruşturması ve 0 açıklama gösteriyor, dolayısıyla P08/P09 ömür boyu rakamı değil, bu dönemi ifade ediyor.

Hindistan ve gizli emir rejimi. P04=withdrew_physical, Haziran 2022'de Hindistan'dan çıkıştır. P11=none_known, sayfanın NordVPN'in bağlayıcı National Security mektupları veya ifşa yasakları almadığı yönündeki ifadesine ve Panama'da böyle bir rejimin bulunmamasına dayanıyor.

Kimsenin kontrol edemeyeceği bir güvence düzeyi. NordVPN, Deloitte Lithuania çalışmasını ISAE 3000 (Revised) kapsamında makul güvence çalışması olarak tanımlıyor; bu daha güçlü biçim olurdu. Okunabilen PIA raporu ise sınırlı güvence sonucu belirtiyor.

Daha güçlü biçimin neden puanlanmadığı. Model artık bu farkı fiyatlandırıyor ve bu kayıt bundan yararlanmıyor: V15_assurance_strength bilinmiyor, çünkü düzeye ilişkin tek beyan NordVPN'in, Nord Account dışındaki hiç kimsenin açamadığı bir rapor hakkındaki kendi beyanı. Giriş yapılmasını gerektiren bir belge burada hiçbir düzeyde kanıt değildir; bu nedenle denetim çalışması ulaştığı söylenen düzeyde değil, piyasa normunda puanlanır.

Giriş yapılmasını gerektiren bir rapor. Raporun kendisi yalnızca bir Nord Account'a giriş yaptıktan sonra okunabildiğinden, bu ilişkinin dışından hiç kimse kapsamını kontrol etmemiştir ve buradaki her denetim alanı belgeden değil, NordVPN'in rapora ilişkin kendi özetinden hareket eder. Hizmete karşı bir bulgu değil, bu nedenle bu kayıt katalogdaki en zayıf kayıttır.

Sahip alanları. M11_owner_jurisdiction ve X04_owner_group_history bilinmiyor: nordvpn.com ve nordsecurity.com sahibi Nord Security olarak adlandırıyor, ancak ikisi de Nord Security'nin kendi kuruluş yargı yetkisini veya grup için herhangi bir önceki kaydı belirtmiyor; ikincil basın, 2022 birleşmesinden itibaren bir 'Cyberspace' holding kuruluşunu Hollanda'ya bağlıyor, ancak mevcut süre içinde bu, birincil bir Nord Security veya NordVPN sayfasıyla doğrulanmadı.

Hiç okunamayan şey. 2025 Deloitte raporunun tam metni hiç okunamıyor (girişle sınırlı); bu nedenle C01_linkable_retention alanında politikanın kendi beyanının ötesinde hiçbir saklama bulgusu kaydedilmedi.

Açılmayan sunucu tablosu. C09b_mandate_hosting bilinmiyor: canlı ülke başına sunucu tablosu, bu denetimin görüntüleyebildiği akordeon durumunda yalnızca Amerika kıtaları bölgesi için fiziksel/sanal durumunu gösteriyor; Avrupa, Asya-Pasifik ve Afrika/Orta Doğu bölümleri (filonun hizmet verdiği AE, IN, TR, VN, IQ, KZ gibi birkaç yükümlülük ülkesini içerir) tıklamayla istemci tarafında yükleniyor ve açılmadı.

Beyan edilmek yerine bilinmiyor olarak bırakıldı. C04-C07, U06 (sansür kanıtı), U11, V12-V14, X06, X07, X10 ve X11 birincil bir belgeye karşı bağımsız olarak doğrulanmadı ve ikincil haberlerden beyan edilmek yerine bilinmiyor olarak bırakıldı.

Bir kuşku açık bırakıldı ve puana yansıtılmadı. X12 konusunda bir kuşku, puana yansıtılmadan açık bırakıldı: com.nordvpn.android için Play veri güvenliği formu, Android'de analitik kapsamında Installed apps beyan ediyor; NordVPN gizlilik bildirimi ise yüklü uygulamalardan yalnızca tek bir yerde — kötü amaçlı yazılımlara karşı güvenlik açığı taramasında — söz ediyor ve uygulama adları ile sürümlerinin işlenmesini Windows'la sınırlıyor.

Neden hâlâ eşleşme olarak göründüğü. Kategori yok olmak yerine açıklanmış ve R28 bir platform kapsam farkı hakkında bulgu oluşturmuyor; bu nedenle değer matches_policy olarak görünür, ancak Android amacı bildirimin açıkladığı amaç değildir ve ikisinden hangisinin yanlış yazıldığını yalnızca NordVPN söyleyebilir.

Hindistan ve gizli emir rejimi. P04_mandate_response=withdrew_physical, Surfshark'ın kendi blogundan (surfshark.com/blog/surfshark-servers-certin-india) yeniden doğrulanan Haziran 2022 Hindistan çıkışıdır; önceki çalışmada /trust-center sayfasında artık bu bilginin yer almadığı görülmüştü. P11=judicial_only, şeffaflık raporunda Nisan 2026 tarihli Amsterdam District Court emrinin ve National-Security-letter ile ifşa yasağı sayaçlarının sıfır olarak gösterilmesine dayanıyor.

İki rapor bulundu, belki hepsi değil. Yayımlanmış yalnızca iki Deloitte no-logs raporu (Aralık 2022, Haziran 2025) bulundu; robots.txt'den bağlantı verilmeyen ve bu denetimin başka yollarla aramadığı başka raporlar olabilir.

2018 Finlandiya veri merkezi ihlali, kolluk kuvvetlerinin el koyması değil, üçüncü tarafça gerçekleştirilen bir sızmaydı — P01_seizure_event altında değil, kind=breach olarak P12_case_history altında kaydedildi. NordVPN'in kendi açıklaması (nordvpn.com/blog/official-response-datacenter-breach/) ve Bloomberg'in aynı dönemdeki haberleri, açıklamanın NordVPN'in kendi girişimiyle değil, dışarıdaki araştırmacıların Twitter iddialarının ardından yapıldığı konusunda hemfikir — bu nedenle self_disclosed_late yerine third_party_disclosed kullanıldı.

NordVPN ve Surfshark aynı üst şirkete (Nord Security) sahip, ancak her iki şirketin kendi birleşme duyurusu ayrı altyapıları ve ürün yol haritalarını belirtiyor; bu temelde M18 ayrı olarak ayarlandı.

Bu kayıt daha önce iki kez okunmuştu — V11'deki connection_timestamps denetim ifadesinden, C01'deki source_ip politika ifadesinden — ve iki değerden daha kötüsü üzerinden puanlanmıştı; bu da on beş dakikalık arabelleğin hiç kayıt bulunmamasından daha fazla maliyet yaratmasına yol açtı: C01 için boş değer piyasa öncülü 0.550, source_ip ise 0.750'dir.

R29 artık ayrımı yapıyor: oturumun sonuna bağlı olarak beyan edilmiş bir süre içinde silinen durum, bunun kaydı değil bağlantının kendisidir; bu nedenle aynı cümlede her iki alan da connection_timestamps olarak okunuyor. Puanlamaya hâlâ dahil edilen, oturumdan sonra varlığını sürdüren şeylerdir — politika bölümündeki 2.3.1'de yer alan son giriş tarihi ve denetçinin adlandırdığı bağlantı zaman damgaları.

Surfshark ve NordVPN aynı sahibi paylaşıyor (2022'den beri Nord Security); ancak Surfshark'ın kendi hakkımızda sayfası, markaların ayrı altyapıyla 'bağımsız olarak faaliyet gösterirken' birleştiğini belirtiyor — nordvpn.com kaydındaki yaklaşımı yansıtan M18, bu temelde ayrı olarak ayarlanıyor.

Sunucu tablosunun kendi P2P sütununda U12a, evet yerine kısmi: listelenen 100 ülkenin 88'inde bu işaret var ve on ikisinde yok (AU, CL, CO, HR, GR, IE, JP, MX, NZ, TW, TR, AE). Sütun istemci tarafında oluşturuluyor; bu nedenle her satırın her etiketi taşıdığı statik HTML'den değil, oluşturulmuş tablodan okunuyor.

/warrant-canary adresinin artık yönlendirdiği /transparency-report adresindeki şeffaflık raporu, Nisan-Haziran 2026 çeyreğini bir tablo olarak içeriyor: 374.719 DMCA bildirimi, devlet kurumlarından 33 soruşturma, 1 arama emri, 0 ulusal güvenlik mektubu ve 0 ifşa yasağı. P08, 34 yasal talebi sayıyor ve DMCA bildirimlerini dışarıda bırakıyor: bunlar kullanıcının verilerine yönelik talepler değil, trafik hakkındaki telif hakkı şikâyetleri.

Aynı sayfa, Surfshark'ın warrant canary uygulamasını üç aylık raporlama lehine sonlandırdığını belirtiyor; bu nedenle P07 hiç yokmuş gibi değil, kaldırılmış olarak işleniyor — canary vardı ve kasten geri çekildi.

U07_protocols, Surfshark'ın kendi ifadesine dayanarak Dausos için proprietary değerini taşıyor — protokol sayfası Dausos'u "Surfshark's proprietary protocol" olarak adlandırıyor ve bunun için kaynak kodu yayımlamıyor — ve C13_weakest_protocol ile bunun ardından gelen hijyen kesintisini belirleyen tek değer bu. Surfshark hâlâ belgelediği için IKEv2 korunuyor; ancak kendi blogu Windows uygulamasından kaldırıldığını kaydediyor. Shadowsocks destek dizininden kaldırılmış ve listelenmiyor.