Mullvad VPN và Surfshark

Vì sao số lượng là tám. Số lượng kiểm toán là tám vì đợt rà soát GotaTun nằm ngoài danh sách riêng của kho ứng dụng. Trước các đợt này, một cuộc rà soát X41 D-Sec kéo dài 30 ngày công trên cả năm nền tảng đã phát hiện sáu lỗ hổng — ba lỗ hổng cao, hai lỗ hổng trung bình, một lỗ hổng thấp, không có lỗ hổng nghiêm trọng.

Không đợt đánh giá nào bao quát. Điều không đợt đánh giá nào trong số này bao quát là đội máy chủ: từng đợt đều kiểm tra ứng dụng hoặc giao thức đường hầm, vì vậy phạm vi bao quát đội máy chủ được ghi nhận là không áp dụng chứ không phải là một mẫu. Do đó, tuyên bố không lưu nhật ký ở phía hạ tầng dựa trên lệnh khám xét tháng 4 năm 2023 — cảnh sát Thụy Điển đến tìm dữ liệu khách hàng nhưng rời đi mà không có dữ liệu đó — chứ không dựa trên bất kỳ cuộc kiểm toán nào.

Bản dựng có thể tái lập, chỉ Android. Bản dựng có thể tái lập chỉ áp dụng cho Android, từ phiên bản 2025.2 trở đi, nên trường vẫn ở trạng thái một phần; các bản dựng cho máy tính để bàn và iOS không thể được xác minh từng bit một. Thổ Nhĩ Kỳ là quốc gia duy nhất có nghĩa vụ pháp lý trong danh sách được cung cấp và dịch vụ hosting đứng sau đó chưa được xác lập.

Không có gì được công bố về các yêu cầu. Không điều gì trong hồ sơ dựa trên bất kỳ nội dung nào nhà cung cấp công bố về các yêu cầu mà họ nhận được: không có báo cáo minh bạch và không có warrant canary, vì vậy vụ thu giữ tháng 4 năm 2023 là cơ sở duy nhất đó. Phạm vi công tắc ngắt kết nối và chính sách P2P chưa được xác lập; cuộc kiểm toán mới nhất là một đợt rà soát mã giao thức, không phải một đợt đánh giá về việc không lưu nhật ký, nên V11 không có kết luận và việc lưu giữ dữ liệu dựa vào tuyên bố.

Ấn Độ và chế độ lệnh bí mật. P04_mandate_response=withdrew_physical là việc rút khỏi Ấn Độ vào tháng 6 năm 2022, được khôi phục từ blog của chính Surfshark (surfshark.com/blog/surfshark-servers-certin-india) sau khi lần kiểm tra trước đó phát hiện trang /trust-center không còn nêu nội dung này. P11=judicial_only dựa trên báo cáo minh bạch, trong đó lệnh của Amsterdam District Court vào tháng 4 năm 2026 cùng các bộ đếm National-Security-letter và lệnh bí mật đều bằng 0.

Tìm thấy hai báo cáo, có thể chưa phải tất cả. Chỉ tìm thấy hai báo cáo không lưu nhật ký của Deloitte được công bố (tháng 12 năm 2022, tháng 6 năm 2025); có thể còn những báo cáo khác không được liên kết từ robots.txt mà cuộc kiểm toán này không tìm kiếm bằng phương thức khác.

Hồ sơ này trước đây đã được đọc hai lần — connection_timestamps trong V11 từ cách diễn đạt của kiểm toán, source_ip trong C01 từ cách diễn đạt của chính sách — và được chấm theo kết quả kém hơn trong hai kết quả đó, khiến bộ đệm 15 phút bị trừ nhiều hơn so với việc không ghi nhận gì: để trống C01 có mức trước của thị trường là 0.550 còn source_ip là 0.750.

R29 giờ đây vạch rõ ranh giới: trạng thái bị xóa trong một khoảng thời gian đã công bố gắn với thời điểm kết thúc phiên là kết nối, không phải hồ sơ về kết nối đó, nên cả hai trường đều ghi connection_timestamps trong cùng một câu. Điều vẫn được tính là những gì tồn tại sau phiên — ngày đăng nhập gần nhất trong mục 2.3.1 của chính sách và các dấu thời gian kết nối mà kiểm toán viên nêu.

Surfshark và NordVPN có cùng một công ty mẹ (Nord Security, từ năm 2022), nhưng trang about-us của Surfshark nêu rằng các thương hiệu đã sáp nhập 'trong khi hoạt động độc lập' với hạ tầng riêng — M18 được đặt là riêng biệt trên cơ sở đó, phù hợp với hồ sơ nordvpn.com.

U12a là một phần thay vì có trên chính cột P2P của bảng máy chủ: 88 trong số 100 quốc gia được liệt kê có mục này và 12 quốc gia không có (AU, CL, CO, HR, GR, IE, JP, MX, NZ, TW, TR, AE). Cột này được dựng ở phía máy khách, nên đã được đọc từ bảng đã hiển thị thay vì HTML tĩnh, nơi mọi hàng đều mang mọi nhãn.