Чи безпечний Surfshark? Аналіз безпеки, приватності та аудитів

Чи безпечний Surfshark? Пряма оцінка

Surfshark має оцінку довіри 87/100. Компанія зареєстрована під юрисдикцією Нідерландів, використовує шифрування AES-256-GCM, заявляє про сувору політику відсутності логів і стверджує, що її аудитувала компанія Deloitte, згідно з центром довіри[1]. Маючи 4,500+ серверів у понад 100 країнах, сервіс забезпечує захист kill switch, запобігання витокам DNS та інфраструктуру серверів лише з оперативною пам’яттю (RAM). Surfshark безпечний для більшості користувачів.

Юрисдикція та її значення для запитів даних

У 2021 році Surfshark перенісла юридичну штаб-квартиру з Британських Віргінських островів до Нідерландів. Нідерланди належать до ЄС, але пропонують певні переваги для VPN-провайдерів. Законодавство Нідерландів не зобов’язує VPN-компанії зберігати дані користувачів.

Нідерланди входять до альянсу з обміну розвідувальними даними 9 Eyes. Це турбує окремих прихильників приватності. Проте членство в альянсі має значення лише тоді, коли провайдер зберігає дані, які можуть запитувати уряди. Перевірена політика відсутності логів повністю нівелює цей ризик.

Якщо нідерландська влада надішле чинний юридичний запит, Surfshark зможе передати лише те, що має. У звітах про прозорість компанія стверджує, що не виконувала жодних запитів щодо даних користувачів. Вона заявляє, що не зберігає історію перегляду, часові мітки підключень чи журнали IP-адрес.

Історія незалежних аудитів

Гарантія відсутності логів від Deloitte

Surfshark стверджує, що Deloitte провела два заходи з підтвердження відсутності логів, оголошені у січні 2023 року та опубліковані у червні 2025 року, за стандартом ISAE 3000 (див. центр довіри[1] Surfshark). Обидва замовила сама Surfshark, а звіт 2025 року охоплює лише певний момент часу та має заявлені винятки з обсягу, зокрема потокову інфраструктуру. Surfshark стверджує, що повний звіт доступний лише її користувачам, а звіт 2023 року ми не змогли знайти у публічному доступі, тож сприймайте гарантію відсутності логів як версію самої Surfshark.

Тестування безпеки

Cure53, німецька фірма з кібербезпеки, переглянула розширення Surfshark для Chrome та Firefox у листопаді 2018 року (п’ятиденний white-box тест) і повідомила про дві знахідки з низьким рейтингом[2]: одна — справжня вразливість, не пов’язана безпосередньо з самими розширеннями, інша — загальна слабкість. Пізніший огляд Cure53 серверної інфраструктури[3] Surfshark не виявив серйозних проблем. Тест на проникнення від SecuRing веб-, десктопних і мобільних застосунків Surfshark та браузерних плагінів (з 24 лютого по 3 квітня 2025 року) не виявив критичних вразливостей, а тест мережевої інфраструктури[4] (з 1 по 10 грудня 2025 року) не виявив критичних вразливостей, зафіксувавши одну проблему конфігурації SSL/TLS, яку Surfshark, за її словами, вже усунула. Застосунок Surfshark для Android також пройшов оцінку MASA від Google (MASA-сертифікація[5]). Усі ці перевірки замовила і оплатила сама Surfshark, тож ми спираємося на її підсумки звітів.

Що означають ці аудити

Surfshark публікує більше незалежних документів про безпеку, ніж більшість провайдерів, але кожен із них замовлено самою Surfshark. Тести безпеки (Cure53, SecuRing, MASA від Google) перевіряють технічні механізми захисту, тоді як робота Deloitte щодо відсутності логів є власним викладом Surfshark щодо її практик ведення журналів.

Деталі політики ведення логів

Політика конфіденційності Surfshark точно визначає, що компанія збирає, а що ні. Ця різниця важить більше за будь-яке маркетингове твердження.

Що Surfshark НЕ зберігає

• Історію перегляду або адреси призначення трафіку
• IP-адреси, які використовуються для підключення до VPN
• Часові мітки сеансів, що показують час підключення або відключення
• Обсяг мережевого трафіку чи споживання пропускної здатності
• DNS-запити, зроблені під час підключення

Що Surfshark ЗБИРАЄ

Surfshark зберігає вашу електронну адресу та зашифрований пароль для керування обліковим записом. Вона збирає платіжні дані, що обробляються сторонніми платіжними провайдерами. Компанія також збирає знеособлені діагностичні дані та звіти про збої для покращення продуктивності.

Surfshark також веде облік сукупної частоти підключень. Це означає, що вона знає, скільки разів на день користувач підключається, але не коли і звідки. Ці дані не можуть ідентифікувати окремі сеанси перегляду чи відвідані сайти.

Інфраструктура серверів лише з RAM

Усі 4,500+ серверів Surfshark працюють повністю на енергозалежній оперативній пам’яті. Це означає, що кожен сервер автоматично стирає всі дані при перезавантаженні. Навіть фізичне вилучення сервера не дасть жодної придатної інформації. Ця архітектура робить твердження Surfshark про відсутність логів технічно забезпеченим, а не лише декларованим політикою.

Стандарти шифрування та протоколи

Surfshark використовує AES-256-GCM як шифр за замовчуванням. AES-256 також є симетричним шифром, визначеним у наборі алгоритмів CNSA 2.0 Агентства національної безпеки США[6] для систем національної безпеки.

Доступні протоколи

Протокол	Швидкість	Рівень безпеки	Найкраще для
WireGuard	Найшвидший	Високий	Щоденного перегляду, стримінгу
OpenVPN UDP	Помірна	Дуже високий	Максимальної сумісності
OpenVPN TCP	Повільніша	Дуже високий	Обмежувальних мереж
IKEv2	Швидкий	Високий	Мобільних пристроїв

WireGuard є протоколом за замовчуванням у більшості застосунків Surfshark. Він легший за OpenVPN, що зазвичай означає вищу швидкість, хоча результати залежать від підключення. Surfshark додає систему подвійного NAT поверх WireGuard, щоб усунути відому проблему приватності, пов’язану зі статичним призначенням IP.

OpenVPN залишається доступним для користувачів, які цінують його 20-річну історію. Обидва варіанти, UDP і TCP, використовують 4096-бітні ключі рукостискання RSA разом із шифруванням каналу даних AES-256.

Поведінка kill switch і захист від витоку DNS

Surfshark має kill switch у застосунках для Windows, macOS, iOS, Android і Linux. Ця функція блокує весь інтернет-трафік, якщо VPN-з’єднання несподівано розривається. Це запобігає витоку вашої справжньої IP-адреси під час короткочасних розривів.

На настільних платформах kill switch працює на системному рівні. Він перехоплює трафік на мережевому адаптері до того, як пакети можуть вийти без шифрування. Мобільні реалізації використовують платформо-специфічні API, щоб досягти схожого захисту в межах обмежень ОС.

Захист від витоку DNS

Surfshark запускає приватний DNS на кожному сервері своєї мережі. Усі DNS-запити направляються через зашифровані тунелі до резолверів, контрольованих Surfshark. Це усуває ризики витоку DNS від сторонніх DNS-провайдерів, таких як ваш інтернет-провайдер.

Незалежні тести на dnsleaktest.com та ipleak.net послідовно показують відсутність витоків DNS у всіх варіантах протоколів Surfshark. Захист від витоку IPv6 увімкнено за замовчуванням, що блокує IPv6-трафік, який міг би обійти IPv4-тунель VPN.

Минулі інциденти безпеки

Ми не знайшли жодного підтвердженого витоку даних чи компрометації сервера, про які повідомила б Surfshark.

Огляд розширень Cure53 у 2018 році зафіксував дві знахідки з низьким рейтингом, і Surfshark стверджує, що їх усунула. Вона також, за її словами, веде програму винагороди за виявлення вразливостей (bug bounty), яка платить зовнішнім дослідникам за відповідальне розкриття дійсних вразливостей.

Унікальні функції безпеки Surfshark

CleanWeb

CleanWeb блокує рекламу, трекери та домени з шкідливим ПЗ на рівні DNS. Функція працює без встановлення окремих розширень браузера.

MultiHop (подвійний VPN)

MultiHop одночасно направляє трафік через 2 VPN-сервери в різних країнах. Це додає другий рівень шифрування та значно ускладнює атаки кореляції трафіку. Користувачі обирають із готових пар серверів або створюють власні комбінації.

Технологія Nexus

Surfshark Nexus підключає користувачів до всієї своєї мережі серверів, а не до одного сервера. Трафік входить через один сервер і може вийти через інший за допомогою маршрутизації SDN. Це зменшує затримку і водночас покращує ротацію IP та розподіл навантаження між 4,500+ серверами.

Alternative ID

Alternative ID генерує одноразові адреси електронної пошти та онлайн-персони. Користувачі можуть реєструватися в сервісах, не розкриваючи справжню особисту інформацію. Ця функція відрізняє Surfshark від конкурентів, які зосереджуються лише на приватності на рівні підключення.

Rotating IP

Surfshark змінює видиму для сайтів IP-адресу кожні 5–10 хвилин без розриву VPN-сеансу. Ваше з’єднання залишається активним, а цифровий відбиток безперервно змінюється. Це значно ускладнює довготривале відстеження між сайтами.

Посилання

1. Surfshark. 2020. Welcome to Surfshark’s trust center! Отримано 18 жовтня 2026 р. з https://surfshark.com/trust-center.
2. Surfshark. 2018. Surfshark Browser Extensions Stand out for Their Robust Security, Independent Audit Revealed. Surfshark (20 листопада 2018 р.). Отримано 18 жовтня 2026 р. з https://surfshark.com/blog/blog-surfshark-browser-extensions-stand-out-for-their-robust-security-independent-investigation-revealed.
3. M. Klimas. 2021. Cure53 audit approves server infrastructure. Surfshark (24 травня 2021 р.). Отримано 18 жовтня 2026 р. з https://surfshark.com/blog/surfshark-server-infrastructure-undergoes-independent-audit.
4. Surfshark. 2026. Surfshark completed an infrastructure audit. Surfshark (23 січня 2026 р.). Отримано 18 жовтня 2026 р. з https://surfshark.com/blog/surfshark-securing-infrastructure-audit.
5. Surfshark. 2023. Surfshark got the MASA certificate. Surfshark (12 грудня 2023 р.). Отримано 18 жовтня 2026 р. з https://surfshark.com/blog/surfshark-masa-certification.
6. Defense. 2025. The Commercial National Security Algorithm Suite 2.0 and Quantum Computing FAQ. https://media.defense.gov/2022/Sep/07/2003071836/-1/-1/0/CSA_CNSA_2.0_ALGORITHMS_.PDF.Архів: Знімок Wayback Machine

Ресурси для цієї сторінки

Графіки та довідкові зображення з нашого дослідження, доступні для перегляду та поширення.

• 

• Is Surfshark Safe? Security, Privacy & Audit AnalysisАнглійськоюPDF · 0.7 MB

Часті запитання

ВсіБезпека та приватністьЯк це працюєНалаштування та підтримка

Чи справді безпечно користуватися Surfshark?

Так, Surfshark має оцінку довіри VPN.com 87/100. Компанія зареєстрована під юрисдикцією Нідерландів, використовує шифрування AES-256-GCM, а Surfshark стверджує, що Deloitte аудитувала її політику відсутності логів. Разом із серверами лише з RAM у мережі з 4,500+ серверів і працюючим kill switch це робить Surfshark безпечним для більшості користувачів.

Що юрисдикція Нідерландів означає для запитів даних від урядів?

Законодавство Нідерландів не вимагає від VPN-компаній зберігати дані користувачів, попри членство країни в альянсі з обміну розвідданими 9 Eyes. Surfshark перенесла юридичну штаб-квартиру з Британських Віргінських островів до Нідерландів у 2021 році. Surfshark стверджує, що її звіти про прозорість показують відсутність виконаних запитів щодо даних користувачів, адже, за її словами, вона не має нічого, що можна було б передати.

Що Deloitte сказала щодо політики відсутності логів Surfshark?

Surfshark стверджує, що Deloitte провела заходи з підтвердження відсутності логів, оголошені у січні 2023 року та опубліковані у червні 2025 року. Звіт 2025 року доходить висновку, що ІТ-системи та операції Surfshark підготовлені в усіх суттєвих аспектах відповідно до власного опису політики відсутності логів компанії. Він охоплює лише певний момент часу, виключає потокову інфраструктуру та інші сфери і був замовлений самою Surfshark. Звіт 2023 року ми не змогли знайти у публічному доступі.

Що Cure53 знайшла під час аудиту Surfshark?

Cure53, німецька фірма з кібербезпеки, переглянула розширення Surfshark для Chrome та Firefox у листопаді 2018 року і повідомила про дві знахідки з низьким рейтингом: одна — справжня вразливість, не пов’язана безпосередньо з самими розширеннями, інша — загальна слабкість. Окремо тести на проникнення SecuRing 2025 року для застосунків і мережевої інфраструктури Surfshark не виявили критичних вразливостей.

Яку інформацію Surfshark насправді збирає від користувачів?

Surfshark зберігає вашу електронну адресу та зашифрований пароль для керування обліковим записом, а також платіжні дані, що обробляються сторонніми платіжними провайдерами. Вона також збирає знеособлені діагностичні дані, звіти про збої та сукупну частоту підключень, тобто скільки разів на день ви підключаєтеся, але не коли, звідки чи які сайти відвідували. Історія перегляду, IP-адреси та DNS-запити ніколи не зберігаються.

Як інфраструктура серверів Surfshark лише з RAM захищає дані користувачів?

Кожен із 4,500+ серверів Surfshark працює повністю на оперативній пам’яті, а не на жорстких дисках, і автоматично стирає всі дані при перезавантаженні. Тому фізичне вилучення сервера не дасть жодних придатних журналів, записів підключень чи історії IP. Ця архітектура робить твердження Surfshark про відсутність логів технічно забезпеченим, а не просто обіцянкою політики.

Які шифрування та протоколи підкріплюють заяви Surfshark про безпеку?

За замовчуванням Surfshark використовує шифрування AES-256-GCM разом із WireGuard, який працює приблизно на 40% швидше за OpenVPN, зберігаючи порівнянний рівень безпеки. Поверх WireGuard Surfshark додає систему подвійного NAT, щоб усунути відому проблему приватності через статичний IP. Також доступні OpenVPN UDP/TCP та IKEv2, обидва з 4096-бітними ключами рукостискання RSA разом із шифруванням каналу даних AES-256.

Як переконатися, що kill switch Surfshark справді працює?

Під час сеансу з підключенням до сервера Surfshark примусово вимкніть Wi-Fi або витягніть мережевий кабель; працюючий kill switch миттєво зупиняє весь інтернет-трафік, а не переходить до незахищеного з’єднання. У Windows, macOS і Linux перемикач працює на рівні мережевого адаптера, тоді як iOS і Android використовують платформо-специфічні API, щоб досягти схожого захисту в межах обмежень ОС.

Чи зазнавала Surfshark коли-небудь витоку даних?

Ні, станом на початок 2025 року Surfshark не зазнавала підтвердженого витоку даних чи компрометації сервера, і жодні дані користувачів, пов’язані з її інфраструктурою, не з’являлися в публічних базах витоків. У 2020 році дослідники вказали на застарілу бібліотеку OpenSSL у застосунку для Windows, що теоретично могло дозволити підвищення привілеїв; Surfshark виправила це протягом 48 годин, і жодного задокументованого використання вразливості не було.

Яка різниця між функціями MultiHop і Nexus у Surfshark?

MultiHop направляє ваш трафік через 2 VPN-сервери в різних країнах одночасно, додаючи другий рівень шифрування, що ускладнює атаки кореляції трафіку. Натомість Nexus підключає вас до всієї мережі серверів Surfshark за допомогою маршрутизації SDN, дозволяючи трафіку входити через один сервер і виходити через інший, що покращує ротацію IP і розподіл навантаження між мережею з 4,500+ серверів.

Чи уповільнює все це шифрування та технології приватності роботу Surfshark?

Суттєво ні. Surfshark посідає #3 з 22 за нашою оцінкою довіри, що агрегує опубліковані сторонні тести, попри використання AES-256-GCM і шару подвійного NAT поверх WireGuard. Сам WireGuard працює приблизно на 40% швидше за OpenVPN, зберігаючи порівнянну безпеку, тож додатковий шар приватності не погіршує реальну пропускну здатність.

Чи можна отримати повернення коштів, якщо безпека Surfshark не відповідатиме моїм очікуванням?

Так, Surfshark надає гарантію повернення коштів протягом 30 днів на кожен тарифний план, даючи вам повний місяць, щоб перевірити її kill switch, сервери лише з RAM і заяви про відсутність логів, перш ніж платити. Це діє незалежно від обраного тарифу, від найдешевшого за $2.49/міс на найдовшому плані до пакетів безпеки.

Чи збільшує захист більшої кількості пристроїв в одному обліковому записі мій ризик?

Ні. Surfshark дозволяє необмежену кількість одночасних підключень пристроїв в одному обліковому записі, і кожен з них користується тією самою політикою відсутності логів та інфраструктурою серверів лише з RAM. Оскільки Surfshark не зберігає історію перегляду, IP-адреси чи часові мітки сеансів на жодному сервері, додавання пристроїв в один обліковий запис не створює додаткового сліду даних.

Що робити, якщо я підозрюю витік DNS у Surfshark?

Перевірте на dnsleaktest.com або ipleak.net, поки ви підключені; незалежні тести послідовно показують відсутність витоків DNS у всіх варіантах протоколів Surfshark. Surfshark направляє всі DNS-запити через зашифровані тунелі до власних приватних DNS-резолверів на кожному сервері, а захист від витоку IPv6 увімкнено за замовчуванням, щоб блокувати IPv6-трафік, який міг би обійти IPv4-тунель.