Opera VPN vs Surfshark

2026 年文章重新講述同一項稽核工作，表示 Deloitte 的團隊作出了該項確認：「我們讓 Deloitte 的團隊完整存取我們的 VPN 和伺服器基礎設施，他們得以核實我們的聲稱……事實上，VPN 從一開始便沒有內置資料記錄功能。」同一篇文章把 2024 年文章標示為 6 月 18 日至 8 月 10 日的期間，提升為「完整存取」。

Opera 將自己的聲稱描述為其稽核機構的結論。這就是 VERIFY 區塊會如此拆分的原因。V01 是 yes_verified，依據的是一份實際開啟的報告——Cure53 自行公開的 2022年3月評估管理摘要——而不是 Deloitte 的公告。

Deloitte 的報告本身並未在任何地方公開，因此 V02 是 press_only；凡是該報告的調查結果而非有關該項委聘的事實的欄位，均維持未知：覆蓋的伺服器群組（V04）、保證標準（V07）、報告聲明留存的內容（V11），以及意見的強度（V15）。

委聘事實——該公司、其類別、日期，以及列明已測試的內容——取自公告。曾經有明確證據顯示重新界定這項稽核的業者，並不是稽核結論內容的來源。C01 是 none_linkable，因為私隱聲明中就是這樣聲明的；V11 是調查結果，而沒有任何調查結果可供閱讀。

Cure53 的報告確實存在，也是 V14 為 yes_verified 的原因：七名測試人員、二十四個人日，對四個工作套件進行白盒測試，涵蓋 VPN 用戶端、伺服器設定及基礎設施，以及用於傳送 VPN 設定的 Opera Mini 通訊協定。共有十四項與安全性相關的問題，其中八項是真正的漏洞，五項評為高嚴重性，沒有一項屬嚴重級別。

截至 2022年3月，九項已修復且已核實修復內容，一項部分修復，三項接受風險，一項為誤報，另有一項仍在處理中。Opera 的網誌表示，直接涉及瀏覽器 VPN 的七項問題「其後全部已解決」，而表格印證了這一點——餘下項目位於 Opera Mini 工作套件，而不是 VPN 本身。

所有權已完整披露，並以一個有義務的國家作終點，因此 X03 和 C11 指向相反方向，但彼此並不矛盾。

Opera 自己的私隱聲明所列明的資料控制者是 Opera Norway AS，一家挪威公司，而透明度報告亦以該名稱提交。

控股公司是 Opera Limited，這是一家於 2018年3月在開曼群島註冊成立的豁免公司，本身沒有實質業務。2025年的 Form 20-F 將 Hong Kong Kunlun Tech Holding Limited 列為持有 68.0% 股權的主要股東；該公司是 Kunlun Tech Co., Ltd. 的附屬公司，於 PRC 註冊成立，並聲明 Kunlun「是 Opera 的最終母公司，並由 Opera 的執行主席控制」。

因此 M06 是 NO，而 C10 是 no；M11 是 CN，而 C11 是 yes。

C12 是 VPN 的聲明與其所在的應用程式之間最明顯的空白。私隱聲明的 VPN 部分聲明不作記錄；同一文件的另一部分則表示，安裝 Opera 應用程式時「會產生隨機安裝識別碼。我們會收集此識別碼，以及 Machine ID、硬件規格（型號、發布日期等）、作業系統、環境配置和功能使用數據」，留存最長三年。

Machine ID 是從硬件衍生的，因此業者持有的識別碼是 persistent_hardware_id，而不是應用程式範圍內的隨機識別碼，無論隧道有否記錄任何資料。

X12 比較 Opera 自行提交的兩份文件。Play 的資料安全表格聲明會為分析收集已安裝的應用程式，而私隱聲明完全沒有提及收集裝置上已安裝的應用程式。已安裝的應用程式是行為而非識別碼，因此是 undisclosed_behaviour。

同一表格聲明會為廣告目的與其他公司分享裝置或其他識別碼，這就是 C07a 被判為 ads 的原因。C07b 所依據的範圍較窄，因此標記為 B：產品頁面的標記中唯一的第三方主機是 Google Tag Manager，而該容器在執行時載入的內容並未列明。

U02 是產品設計所致的未知，而不是搜尋失敗所致：免費 VPN 提供三個地區——Opera 稱之為 America、Asia 和 Europe——卻從未指明國家。C09 和 C09b 由此而來，在此情況持續期間無法確定。

X05 是 Opera 自己的說明頁上的 ads_supported；該頁將廣告列為三項收入來源之首，並描述 Opera Ads 會收集隨機產生的用戶 ID、城市或國家，以及所瀏覽網站的概括類別，留存最長一年；加上 U05 = unlimited_free，這正是 R15 用來標記的情況。

X06 是 2026 年文章所作的聲明：AES-256「即使是最快的電腦，也要黑客花費超過十億年才能破解」。X09 是兩篇 2026 年文章中的 self_disclosed_prompt；Opera 在其中公開了外部研究人員向其報告的漏洞，以及相關分析和修復版本——這些是瀏覽器漏洞而非 VPN 事故，而目前未知有任何 VPN 事故。

C05 為 not_sold。免費 VPN 完全沒有付款步驟——沒有訂閱，沒有帳戶——因此無論是否匿名，都沒有需要付款的東西。

這項紀錄最初寫作「無」，其含義是「僅提供已識別的付款方式」，但在此並不正確，因為當時的詞彙沒有代表不收取任何款項服務的代碼；寫作「未知」則會表示搜尋失敗，同樣不正確，而在兩種錯誤解讀之間，紀錄了對業者不利的一種。現在已有該代碼，且價格為零，這才是誠實的答案：沒有付款，就沒有可外洩的付款身份。

Surfshark 和 NordVPN 共用一間母公司（Nord Security，自 2022 年起），但 Surfshark 自己的關於我們頁面指出，兩個品牌「在獨立營運的同時」完成合併，並設有分開的基礎設施——M18 根據此點設定為分開，與 nordvpn.com 的紀錄一致。

在伺服器表格本身的 P2P 欄中，U12a 是部分而不是是：列出的 100 個國家中有 88 個標有此項，十二個沒有（AU、CL、CO、HR、GR、IE、JP、MX、NZ、TW、TR、AE）。該欄在用戶端繪製，因此是從呈現後的表格讀取，而不是從靜態 HTML 讀取；在靜態 HTML 中，每一行都帶有每個標籤。

位於 /transparency-report 的透明度報告——/warrant-canary 現在會重新導向至此——以表格列出 2026 年 4 月至 6 月季度的資料：374,719 份 DMCA 通知、政府機構的 33 宗查詢、1 份手令、0 份國家安全信件及 0 份秘密命令。P08 計算 34 宗法律請求，但不計入 DMCA 通知：那些是針對流量的版權投訴，而不是索取用戶資料的請求。

同一頁指出，Surfshark 正以季度報告取代其 warrant canary，因此 P07 是被移除而不是沒有——該 canary 曾經存在，並且是刻意撤回的。

U07_protocols 根據 Surfshark 自己的說法，為 Dausos 記錄 proprietary——其通訊協定頁面稱 Dausos 為「Surfshark 的 proprietary 通訊協定」，但沒有公開其來源——而這個單一值正是設定 C13_weakest_protocol 及其後衛生扣分的依據。IKEv2 予以保留，因為 Surfshark 仍有相關文件，雖然其自己的網誌記錄了從 Windows 應用程式移除該通訊協定；Shadowsocks 已從支援索引中消失，並未列出。

已描述伺服器，並無證據。 C02、C06 和 C08 背後沒有任何資料：Opera 表示伺服器是實體伺服器且屬於其所有，但這既未確認磁碟、DNS，也未確認誰擁有硬件。U02 未知期間，無法回答 C09b。

一個商店，而非兩個。 只查閱了 Google Play 的資料安全表格；沒有查閱 iOS 瀏覽器在 App Store 的私隱標籤，因此 X12 建基於一個商店，而不是兩個之中較差者。

兩項解讀，而非陳述。 U01 中的 Linux 是從桌面版說明手冊推斷出來的；該手冊記錄了 VPN，並一併涵蓋 Windows、macOS 和 Linux，沒有按平台拆分；稽核公告則明確列出 Android 和 iOS。U10 為無限制，因為沒有帳戶，也沒有裝置上限可用來施加這項限制；這是對產品的解讀，而非已陳述的數字。