Surfshark è sicuro? Analisi di sicurezza, privacy e audit

Surfshark è sicuro? Una valutazione diretta

Surfshark ottiene un punteggio di affidabilità di 85/100. Opera sotto la giurisdizione dei Paesi Bassi, utilizza la crittografia AES-256-GCM e mantiene una rigida politica no-log verificata da audit indipendenti di Deloitte. Con oltre 3.200 server in più di 100 paesi, offre protezione tramite kill switch, prevenzione delle fughe DNS e un’infrastruttura server basata esclusivamente su RAM. Surfshark è sicuro per la maggior parte degli utenti.

Giurisdizione e cosa significa per le richieste di dati

Surfshark ha trasferito la propria sede legale dalle Isole Vergini Britanniche ai Paesi Bassi nel 2021. I Paesi Bassi si trovano all’interno dell’UE ma offrono vantaggi specifici per i provider VPN. La legge olandese non impone alle aziende VPN di conservare i dati degli utenti.

I Paesi Bassi appartengono all’alleanza di condivisione dell’intelligence dei 9 Occhi. Questo preoccupa alcuni sostenitori della privacy. Tuttavia, l’appartenenza all’alleanza è rilevante solo se il provider archivia dati che i governi possono richiedere. Una politica no-log verificata neutralizza completamente questo rischio.

Se le autorità olandesi emettono una richiesta legale valida, Surfshark può consegnare solo ciò che possiede. Secondo il suo rapporto sulla trasparenza, Surfshark ha ricevuto richieste governative e ha rispettato zero trasferimenti di dati. L’azienda non è fisicamente in grado di fornire cronologie di navigazione, timestamp di connessione o registri degli indirizzi IP.

Storico degli audit indipendenti

Audit no-log di Deloitte

Deloitte ha completato un audit indipendente dell’infrastruttura no-log di Surfshark nel 2023. La società Big Four ha esaminato le configurazioni dei server, i processi di distribuzione e le procedure interne di gestione dei dati. Deloitte ha confermato che l’infrastruttura di Surfshark è allineata con la sua dichiarata politica no-log.

Questo audit di Surfshark ha fatto seguito a un precedente esame del 2022 condotto da Deloitte con lo stesso ambito. Entrambe le valutazioni non hanno trovato alcuna evidenza di registrazione dell’attività degli utenti su nessun server.

Audit di sicurezza di Cure53

Cure53, un’azienda di cybersicurezza tedesca, ha condotto un audit delle estensioni browser di Surfshark nel 2018. Il team ha identificato 2 vulnerabilità critiche, 2 di elevata gravità e 2 di media gravità. Surfshark ha corretto tutti e 6 i problemi prima che il rapporto di audit venisse reso pubblico.

Cure53 ha anche condotto una valutazione di follow-up dell’infrastruttura server di Surfshark nel 2021. Quella revisione non ha trovato vulnerabilità critiche. L’azienda ha osservato che la postura di sicurezza di Surfshark era migliorata significativamente rispetto all’esame iniziale.

Cosa significano questi audit

Due società distinte hanno ora validato le affermazioni di Surfshark in materia di privacy e sicurezza. Deloitte si è concentrata sulle pratiche di registrazione, mentre Cure53 ha testato le difese tecniche. Insieme, questi audit forniscono garanzie più solide rispetto a quanto farebbe ciascuno di essi singolarmente.

Dettagli della politica di registrazione

La privacy policy di Surfshark specifica esattamente cosa raccoglie l’azienda e cosa non raccoglie. Questa distinzione è più importante di qualsiasi affermazione di marketing.

Cosa NON archivia Surfshark

• Cronologia di navigazione o destinazioni del traffico
• Indirizzi IP utilizzati per connettersi alla VPN
• Timestamp di sessione che mostrano i tempi di connessione o disconnessione
• Volume del traffico di rete o consumo di larghezza di banda
• Query DNS effettuate durante la connessione

Cosa RACCOGLIE Surfshark

Surfshark archivia il tuo indirizzo email e la password crittografata per la gestione dell’account. Raccoglie informazioni di fatturazione elaborate tramite provider di pagamento terzi. L’azienda raccoglie dati diagnostici anonimi e segnalazioni di arresti anomali per migliorare le prestazioni.

Surfshark tiene traccia anche dei dati aggregati sulla frequenza di connessione. Ciò significa che sa quante volte un utente si connette al giorno, ma non quando o da dove. Questi dati non possono identificare singole sessioni di navigazione o siti web visitati.

Infrastruttura server basata esclusivamente su RAM

Tutti i 3.200+ server di Surfshark funzionano interamente su memoria RAM volatile. Ciò significa che ogni server cancella automaticamente tutti i dati al riavvio. Anche il sequestro fisico di un server non produrrebbe alcuna informazione utilizzabile. Questa architettura rende la dichiarazione no-log di Surfshark tecnicamente applicabile, anziché basata esclusivamente su politiche.

Standard di crittografia e protocolli

Surfshark utilizza la crittografia AES-256-GCM come cifrario predefinito. Questo standard protegge le comunicazioni governative classificate in tutto il mondo. Nessun attacco noto può violare AES-256 con le tecnologie informatiche attuali.

Protocolli disponibili

Protocollo	Velocità	Livello di sicurezza	Ideale per
WireGuard	Più veloce	Alto	Navigazione quotidiana, streaming
OpenVPN UDP	Moderata	Molto alto	Massima compatibilità
OpenVPN TCP	Più lento	Molto alto	Reti restrittive
IKEv2	Veloce	Alto	Dispositivi mobili

WireGuard funge da protocollo predefinito sulla maggior parte delle app Surfshark. Fornisce velocità circa il 40% superiori rispetto a OpenVPN, mantenendo una sicurezza comparabile. Surfshark aggiunge un sistema double NAT sopra WireGuard per affrontare la sua nota limitazione sulla privacy relativa all’assegnazione di IP statici.

OpenVPN rimane disponibile per gli utenti che preferiscono il suo track record ventennale. Entrambe le varianti UDP e TCP utilizzano chiavi di handshake RSA a 4096 bit accanto alla crittografia del canale dati AES-256.

Comportamento del kill switch e protezione dalle fughe DNS

Surfshark include un kill switch nelle applicazioni per Windows, macOS, iOS, Android e Linux. La funzionalità blocca tutto il traffico Internet se la connessione VPN cade inaspettatamente. Questo impedisce che il tuo vero indirizzo IP trapeli durante brevi disconnessioni.

Il kill switch opera a livello di sistema sulle piattaforme desktop. Intercetta il traffico sull’adattatore di rete prima che i pacchetti possano fuoriuscire non crittografati. Le implementazioni mobili utilizzano API specifiche della piattaforma per ottenere una protezione simile nei limiti del sistema operativo.

Protezione dalle fughe DNS

Surfshark gestisce DNS privati su ogni server della sua rete. Tutte le query DNS vengono instradate attraverso tunnel crittografati verso resolver controllati da Surfshark. Questo elimina i rischi di fuga DNS da provider DNS di terze parti come il tuo ISP.

Test indipendenti su dnsleaktest.com e ipleak.net mostrano costantemente zero fughe DNS nelle opzioni di protocollo di Surfshark. La protezione dalle fughe IPv6 è abilitata per impostazione predefinita, bloccando il traffico IPv6 che potrebbe aggirare il tunnel VPN IPv4.

Incidenti di sicurezza passati

Surfshark non ha subito violazioni dei dati o compromissioni dei server confermati fino all’inizio del 2025. Nessun dato utente è apparso in database pubblici di violazioni collegati all’infrastruttura di Surfshark.

Nel 2020, ricercatori di sicurezza hanno segnalato una potenziale vulnerabilità nell’applicazione Windows di Surfshark. Il problema riguardava una libreria OpenSSL obsoleta che teoricamente avrebbe potuto consentire un’escalation dei privilegi. Surfshark ha rilasciato una patch entro 48 ore dalla divulgazione. Non è stata documentata alcuna sfruttamento in the wild.

L’audit di Cure53 nel 2018 rappresenta la scoperta di vulnerabilità più significativa. Quei 6 problemi nelle estensioni browser sono stati risolti prima della divulgazione pubblica. Surfshark attribuisce al suo programma di bug bounty il merito di aver individuato i problemi in anticipo. L’azienda paga i ricercatori esterni che divulgano responsabilmente vulnerabilità valide.

Funzionalità di sicurezza uniche specifiche di Surfshark

CleanWeb

CleanWeb blocca annunci, tracker e domini malware a livello DNS. Ha prevenuto oltre 1 miliardo di tentativi di tracciamento nella sua base utenti nel 2023. La funzione opera senza installare estensioni browser separate.

MultiHop (Double VPN)

MultiHop instrada il traffico attraverso 2 server VPN in paesi diversi simultaneamente. Questo aggiunge un secondo livello di crittografia e rende gli attacchi di correlazione del traffico significativamente più difficili. Gli utenti scelgono tra coppie di server preimpostate o creano combinazioni personalizzate.

Tecnologia Nexus

Surfshark Nexus connette gli utenti all’intera rete di server anziché a un singolo server. Il traffico entra tramite un server e può uscire tramite un altro utilizzando il routing SDN. Questo riduce la latenza migliorando al contempo la rotazione degli IP e la distribuzione del carico su oltre 3.200 server.

Alternative ID

Alternative ID genera indirizzi email usa e getta e identità online. Gli utenti possono registrarsi ai servizi senza esporre informazioni personali reali. Questa funzionalità distingue Surfshark dai concorrenti che si concentrano esclusivamente sulla privacy a livello di connessione.

IP Rotante

Surfshark cambia il tuo indirizzo IP visibile ogni 5-10 minuti senza disconnettere la sessione VPN. La connessione rimane attiva mentre la tua impronta digitale cambia continuamente. Questo rende il tracciamento a lungo termine tra siti web sostanzialmente più difficile.

Domande frequenti

TuttiSicurezza e PrivacyCome funzionaConfigurazione e Supporto

Surfshark è veramente sicuro da usare?

Sì, Surfshark ottiene un punteggio di affidabilità di 85/100 nei nostri test. Opera sotto la giurisdizione dei Paesi Bassi, utilizza la crittografia AES-256-GCM e la sua politica no-log è stata verificata in modo indipendente da Deloitte nel 2022 e nel 2023. Combinato con i server esclusivamente RAM su tutta la sua rete di 3.200+ server e un kill switch funzionante, Surfshark è sicuro per la maggior parte degli utenti.

Cosa significa per le richieste di dati governativi la giurisdizione dei Paesi Bassi di Surfshark?

I Paesi Bassi non richiedono alle aziende VPN di conservare i dati degli utenti, nonostante appartengano all’alleanza di condivisione dell’intelligence dei 9 Occhi. Surfshark ha trasferito la sua sede legale dalle Isole Vergini Britanniche ai Paesi Bassi nel 2021. Il suo rapporto sulla trasparenza mostra che ha ricevuto richieste governative e ha rispettato zero trasferimenti di dati, poiché una politica no-log verificata non lascia nulla da consegnare.

Cosa hanno effettivamente trovato gli audit no-log di Deloitte per Surfshark?

Deloitte, una società Big Four, ha sottoposto l’infrastruttura no-log di Surfshark a audit nel 2022 e nuovamente nel 2023, esaminando le configurazioni dei server e le procedure interne di gestione dei dati. Entrambe le valutazioni non hanno trovato alcuna evidenza di registrazione dell’attività degli utenti su nessun server. Questo fornisce a Surfshark due verifiche no-log consecutive annuali dalla stessa società di auditing importante, una prova più forte rispetto a un singolo audit.

Quali vulnerabilità ha trovato Cure53 durante i suoi audit di Surfshark?

Cure53, un’azienda di cybersicurezza tedesca, ha sottoposto le estensioni browser di Surfshark ad audit nel 2018 e ha trovato 2 vulnerabilità critiche, 2 di elevata gravità e 2 di media gravità, tutte corrette prima della pubblicazione del rapporto. Un follow-up del 2021 ha esaminato l’infrastruttura server e non ha trovato vulnerabilità critiche, con Cure53 che ha notato che la postura di sicurezza di Surfshark era migliorata significativamente dal 2018.

Quali informazioni raccoglie effettivamente Surfshark dagli utenti?

Surfshark archivia il tuo indirizzo email e la password crittografata per la gestione dell’account, oltre ai dettagli di fatturazione elaborati tramite provider di pagamento terzi. Raccoglie anche dati diagnostici anonimi, segnalazioni di arresti anomali e dati aggregati sulla frequenza di connessione, cioè quante volte ti connetti al giorno, non quando, dove, o quali siti hai visitato. La cronologia di navigazione, gli indirizzi IP e le query DNS non vengono mai archiviate.

Come l’infrastruttura server esclusivamente RAM di Surfshark protegge i dati degli utenti?

Ognuno dei 3.200+ server di Surfshark funziona completamente su memoria RAM volatile anziché dischi rigidi, cancellando automaticamente tutti i dati al riavvio. Un sequestro fisico del server non produrrebbe quindi alcuna informazione utilizzabile, registri, record di connessione o cronologia IP. Questa architettura, supportata dagli audit no-log di Deloitte, rende la dichiarazione no-log di Surfshark tecnicamente vincolante piuttosto che una semplice promessa di politica.

Quale crittografia e quali protocolli supportano le affermazioni di sicurezza di Surfshark?

Surfshark utilizza per impostazione predefinita la crittografia AES-256-GCM abbinata a WireGuard, che funziona circa il 40% più velocemente di OpenVPN mantenendo una sicurezza comparabile. Surfshark aggiunge un sistema double NAT sopra WireGuard per affrontare la sua nota limitazione sulla privacy relativa all’assegnazione di IP statici. OpenVPN UDP/TCP e IKEv2 rimangono disponibili, entrambi utilizzando chiavi di handshake RSA a 4096 bit accanto alla crittografia del canale dati AES-256.

Come posso confermare che il kill switch di Surfshark sta effettivamente funzionando?

Forza la disconnessione del tuo Wi-Fi o scollega il cavo ethernet durante una sessione mentre sei connesso a un server Surfshark; un kill switch funzionante blocca istantaneamente tutto il traffico Internet anziché tornare alla tua connessione non protetta. Su Windows, macOS e Linux l’interruttore opera a livello di adattatore di rete, mentre iOS e Android utilizzano API specifiche della piattaforma per ottenere una protezione simile nei limiti dei vincoli del sistema operativo.

Surfshark ha mai subito una violazione dei dati?

No, Surfshark non ha subito una violazione dei dati confermata o una compromissione del server fino all’inizio del 2025, e nessun dato utente legato alla sua infrastruttura è apparso in database pubblici di violazioni. Nel 2020, i ricercatori hanno segnalato una libreria OpenSSL obsoleta nell’app Windows che avrebbe potuto teoricamente consentire un’escalation dei privilegi; Surfshark l’ha corretta entro 48 ore senza sfruttamento documentato.

Qual è la differenza tra le funzionalità MultiHop e Nexus di Surfshark?

MultiHop instrada il tuo traffico attraverso 2 server VPN in paesi diversi simultaneamente, aggiungendo un secondo livello di crittografia che rende gli attacchi di correlazione del traffico più difficili. Nexus invece ti connette all’intera rete di server di Surfshark utilizzando il routing SDN, permettendo al traffico di entrare attraverso un server e uscire attraverso un altro, il che migliora la rotazione degli IP e la distribuzione del carico su tutta la rete di 3.200+ server.

Tutta questa crittografia e tecnologia di privacy rallenta Surfshark?

Non in modo significativo. Surfshark si classifica al #4 su 22 nel nostro Speed Lab, aggregato da laboratori indipendenti, nonostante esegua la crittografia AES-256-GCM e un livello double NAT sopra WireGuard. WireGuard stesso funziona circa il 40% più velocemente di OpenVPN mantenendo una sicurezza comparabile, quindi il livello di privacy aggiunto non riduce significativamente la velocità effettiva.

Posso ottenere un rimborso se la sicurezza di Surfshark non soddisfa le mie aspettative?

Sì, Surfshark supporta ogni piano con una garanzia di rimborso di 30 giorni, offrendoti un mese intero per testare il suo kill switch, server esclusivamente RAM e affermazioni no-log verificate prima di impegnarti. Questo si applica indipendentemente dal livello di piano che scegli, dal più economico a $1,99/mese nel suo piano a più lungo termine fino ai bundle di suite di sicurezza.

Proteggere più dispositivi su un account aumenta la mia esposizione?

No. Surfshark consente connessioni di dispositivi simultanei illimitate su un singolo account, e ognuna beneficia della stessa politica no-log verificata e dell’infrastruttura server esclusivamente RAM. Poiché Surfshark non archivia la cronologia di navigazione, gli indirizzi IP o i timestamp di sessione su nessun server, l’aggiunta di più dispositivi sotto un account non crea un’impronta dati aggiuntiva.

Cosa devo fare se sospetto una fuga DNS su Surfshark?

Esegui un controllo su dnsleaktest.com o ipleak.net mentre sei connesso; i test indipendenti mostrano costantemente zero fughe DNS tra le opzioni di protocollo di Surfshark. Surfshark instrada tutte le query DNS attraverso tunnel crittografati verso i suoi risolver DNS privati su ogni server, e la protezione dalla fuga IPv6 è abilitata per impostazione predefinita per bloccare il traffico IPv6 dal bypassare il tunnel IPv4.