NordVPN vs Surfshark

Surfshark 和 NordVPN 由同一所有者集团控制（自 2022 年起为 Nord Security），但 Surfshark 自己的关于我们页面说明，两个品牌“在独立运营的同时”完成合并，并使用独立基础设施——据此将 M18 设为 separate，与 nordvpn.com 的记录一致。

根据服务器表自身的 P2P 列，U12a 是 partial 而非 yes：列出的 100 个国家中有 88 个带有该标记，12 个没有（AU、CL、CO、HR、GR、IE、JP、MX、NZ、TW、TR、AE）。该列由客户端生成，因此读取的是渲染后的表格，而不是静态 HTML；后者的每一行都带有每个标签。

位于 /transparency-report 的透明度报告——/warrant-canary 现在重定向到此处——以表格形式列出了 2026 年 4 月至 6 月这一季度的数据：374,719 条 DMCA 通知、政府机构提出的 33 项询问、1 份令状、0 份国家安全信函和 0 份秘密命令。P08 统计 34 项法律请求，但不计入 DMCA 通知：这些是针对流量的版权投诉，而不是索取用户数据的请求。

同一页面说明 Surfshark 正在用季度报告取代其 warrant canary，因此 P07 被移除，而不是设为 none——该 canary 曾经存在，只是被有意撤回。

U07_protocols 根据 Surfshark 自己的表述，为 Dausos 记录 proprietary——其协议页面称 Dausos 为“Surfshark's proprietary protocol”，且未公开任何相关源代码——这个单一值决定了 C13_weakest_protocol 以及随之产生的安全扣分。保留 IKEv2 是因为 Surfshark 仍记录该协议，尽管其博客记载了从 Windows 应用中移除该协议；Shadowsocks 已从支持索引中消失，且未被列出。

无人能够核查的保证级别。 NordVPN 将 Deloitte Lithuania 的工作描述为根据 ISAE 3000 (Revised) 开展的合理保证业务，这本应是更强的形式；可供查阅的 PIA 报告则载明了有限保证结论。

为何不计入更高等级。 该模型现在会对这一差异定价，而本记录不因其受益：V15_assurance_strength 为未知，因为对等级的唯一说明来自 NordVPN，所述报告在 Nord Account 之外无人可以打开。在这里，登录后才能查看的文档在任何等级上都不算证据，因此该项按市场标准而非据称已达到的等级计入。

登录后才能查看的报告。 该报告本身只有登录 Nord Account 后才能阅读，因此该关系之外无人核查过其范围，这里的每个审计字段所依据的都是 NordVPN 对它的自有摘要，而不是该文档本身。这一点，而不是针对该服务的判定，是本记录在名录中最薄弱的原因。

所有者字段。 M11_owner_jurisdiction 和 X04_owner_group_history 为未知：nordvpn.com 和 nordsecurity.com 将 Nord Security 列为所有者，但两者都没有说明 Nord Security 自身的注册管辖地，也没有说明该集团以往的记录；二手媒体报道将一家名为“Cyberspace”的控股实体与荷兰联系起来，依据是 2022 年的合并，但在可用时间内未能对照 Nord Security 或 NordVPN 的主要页面予以确认。

完全无法阅读的内容。 2025 年 Deloitte 报告的全文完全无法阅读（登录限制），因此除政策自身在 C01_linkable_retention 中的自称外，没有记录任何留存判定。

无法打开的服务器表。 C09b_mandate_hosting 为未知：在本次审计能够呈现的折叠面板状态下，实时的逐国服务器表仅显示美洲地区的物理/虚拟状态；欧洲、亚太和非洲/中东部分（其中包括该服务网络覆盖的几个有相关义务的国家，例如服务器 API 中的 AE、IN、TR、VN、IQ、KZ）在点击后通过客户端加载，未能展开。

保留为未知，而非据此断言。 C04-C07、U06（审查证明）、U11、V12-V14、X06、X07、X10 和 X11 未能根据主要文档独立确认，因此保留为未知，而非依据二手报道作出断言。

留下一个疑问，但不计入扣分。 X12 仍有一个未决疑问，但不因此计入扣分：com.nordvpn.android 的 Play 数据安全表在 Android 上将“已安装的应用”列在分析之下，而 NordVPN 隐私声明仅在一处提到已安装的应用——反恶意软件漏洞扫描——并将对应用名称和版本的处理范围限定为 Windows。

为何仍显示为匹配。 该类别已公开说明，而 R28 不会因平台范围差异作出判定，因此该值显示为 matches_policy；但 Android 的用途并不是声明所描述的用途，只有 NordVPN 能说明两者中哪一个写错了。