Proton VPN - Surfshark

Bu kayıt daha önce iki kez okunmuştu — V11'deki connection_timestamps denetim ifadesinden, C01'deki source_ip politika ifadesinden — ve iki değerden daha kötüsü üzerinden puanlanmıştı; bu da on beş dakikalık arabelleğin hiç kayıt bulunmamasından daha fazla maliyet yaratmasına yol açtı: C01 için boş değer piyasa öncülü 0.550, source_ip ise 0.750'dir.

R29 artık ayrımı yapıyor: oturumun sonuna bağlı olarak beyan edilmiş bir süre içinde silinen durum, bunun kaydı değil bağlantının kendisidir; bu nedenle aynı cümlede her iki alan da connection_timestamps olarak okunuyor. Puanlamaya hâlâ dahil edilen, oturumdan sonra varlığını sürdüren şeylerdir — politika bölümündeki 2.3.1'de yer alan son giriş tarihi ve denetçinin adlandırdığı bağlantı zaman damgaları.

Surfshark ve NordVPN aynı sahibi paylaşıyor (2022'den beri Nord Security); ancak Surfshark'ın kendi hakkımızda sayfası, markaların ayrı altyapıyla 'bağımsız olarak faaliyet gösterirken' birleştiğini belirtiyor — nordvpn.com kaydındaki yaklaşımı yansıtan M18, bu temelde ayrı olarak ayarlanıyor.

Sunucu tablosunun kendi P2P sütununda U12a, evet yerine kısmi: listelenen 100 ülkenin 88'inde bu işaret var ve on ikisinde yok (AU, CL, CO, HR, GR, IE, JP, MX, NZ, TW, TR, AE). Sütun istemci tarafında oluşturuluyor; bu nedenle her satırın her etiketi taşıdığı statik HTML'den değil, oluşturulmuş tablodan okunuyor.

/warrant-canary adresinin artık yönlendirdiği /transparency-report adresindeki şeffaflık raporu, Nisan-Haziran 2026 çeyreğini bir tablo olarak içeriyor: 374.719 DMCA bildirimi, devlet kurumlarından 33 soruşturma, 1 arama emri, 0 ulusal güvenlik mektubu ve 0 ifşa yasağı. P08, 34 yasal talebi sayıyor ve DMCA bildirimlerini dışarıda bırakıyor: bunlar kullanıcının verilerine yönelik talepler değil, trafik hakkındaki telif hakkı şikâyetleri.

Aynı sayfa, Surfshark'ın warrant canary uygulamasını üç aylık raporlama lehine sonlandırdığını belirtiyor; bu nedenle P07 hiç yokmuş gibi değil, kaldırılmış olarak işleniyor — canary vardı ve kasten geri çekildi.

U07_protocols, Surfshark'ın kendi ifadesine dayanarak Dausos için proprietary değerini taşıyor — protokol sayfası Dausos'u "Surfshark's proprietary protocol" olarak adlandırıyor ve bunun için kaynak kodu yayımlamıyor — ve C13_weakest_protocol ile bunun ardından gelen hijyen kesintisini belirleyen tek değer bu. Surfshark hâlâ belgelediği için IKEv2 korunuyor; ancak kendi blogu Windows uygulamasından kaldırıldığını kaydediyor. Shadowsocks destek dizininden kaldırılmış ve listelenmiyor.

İtiraz ve çözüme kavuşturmadığı şey. 22 Ekim 2021 tarihli itiraz burada, açıkça belirtilmesi gereken bir çekinceyle kaynak gösterilmiştir: Federal Administrative Court, e-posta hizmetlerinin telekomünikasyon sağlayıcıları olmadığına hükmetmiştir ve ne hükme ilişkin haberlerde ne de Proton'un kendi anlatımında VPN'den söz edilmektedir.

İki alanı gerçekte ne belirliyor. C10 ve C11'i belirleyen, İsviçre'nin sicilin kendi ülke listesinde hiçbir yükümlülük dayanağı taşımamasıdır; itiraz, İsviçre makamlarının Proton'a nasıl muamele ettiğini doğrular ve tek başına Proton VPN hakkında bir bulgu değildir. Kardeş bir hizmet hakkındaki hüküm, kaynağın gösterdiğinden daha zayıf bir dayanak oluşturur.

Açık kalan en büyük tek konu. Proton, kayıt tutma yükümlülüğü getiren sekiz ülkede çıkış konumları sunuyor. Donanımın bunlardan herhangi birinde gerçekten bulunup bulunmadığı kanıtlanmış değil: Proton 2022'de fiziksel sunucuları Hindistan'dan çekti ve başka yerlerden hizmet verdiği konumlar için Smart Routing'i belgeliyor; bu durum yalnızca Hindistan için doğrulandı. C09b_mandate_hosting'in kanıtlanması, bu kayıttaki açık kalan en büyük tek konu.

Hindistan ve gizli emir rejimi. P04_mandate_response=withdrew_physical, Surfshark'ın kendi blogundan (surfshark.com/blog/surfshark-servers-certin-india) yeniden doğrulanan Haziran 2022 Hindistan çıkışıdır; önceki çalışmada /trust-center sayfasında artık bu bilginin yer almadığı görülmüştü. P11=judicial_only, şeffaflık raporunda Nisan 2026 tarihli Amsterdam District Court emrinin ve National-Security-letter ile ifşa yasağı sayaçlarının sıfır olarak gösterilmesine dayanıyor.

İki rapor bulundu, belki hepsi değil. Yayımlanmış yalnızca iki Deloitte no-logs raporu (Aralık 2022, Haziran 2025) bulundu; robots.txt'den bağlantı verilmeyen ve bu denetimin başka yollarla aramadığı başka raporlar olabilir.