CactusVPN vs RiseupVPN

CactusVPN

このレコードでまだ未解決の点。

法域。 about-usページは、CactusVPNが「モルドバで小さな会社として始まった」と述べているが、これは会社の説明であり、登録に関する声明ではない。また、Terms of Serviceには準拠法も設立国も一切記載されていない。Securitumのレポートは依頼人を「Cactus VPN LLC」とだけ記載し、法域を付していない。レジストリ記録または明示的な法域条項が見つかるまで、M06とそこから導出されるフィールドは不明のままとなる。

義務のあるホスティング。 公開サーバーリストにある25か国すべてに、このカタログ独自の表ではデータ保持義務が付されているため、ここでのC09bは狭い問いではない。しかし、サーバー所在地ページは、どの所在地についても物理的な出口ポイントと仮想の出口ポイントを区別しておらず、今回のセッションでは国ごとのホスティング事実は確認されなかった。

アプリレベルの識別子とストアの申告。 今回のセッションではPlay StoreのデータセーフティフォームもAppleのプライバシーラベルも確認しておらず、C07a、C12、X12は不明のままとなる。また、Securitum監査のホワイトボックス範囲はサーバー側の設定とDNS／トラフィック処理を対象としており、モバイルクライアントや拡張機能クライアントが独自にアプリストアまたは分析SDKへ送信する内容は対象としていなかった。

透明性とカナリア。 サイト上で /transparency、/transparency-report、/warrant-canary、/canary のいずれのパスも解決せず、サイトマップにもそのようなページは見つからなかった。これは調査によって見つかった不在であり、根拠のある「なし」ではないため、両フィールドは「なし」とせず不明のままとなる。

RiseupVPN

このレコードでまだ未解決の点。

ハードウェアの所有権は記載されていない。 Riseup自身の政府向けFAQは、同団体の中核となるSeattleのインフラを物理的に管理していると説明している（「クラウド上でホストされていない」）が、商用ホストに典型的なIPレンジにあるMontreal、Paris、AmsterdamのVPNゲートウェイマシンについては何も述べていない。C08_servers_ownershipは、Seattleについての記述から推定せず、不明のままとなる。

最低限のVPNログは、除外によってのみ説明されている。 セキュリティページは、5日間でローテーションするログに含まれないもの（IPなし、フィンガープリントなし、DNSリクエストなし、メタデータなし）をすべて列挙しているが、含まれるものは決して明記していない。C01はその除外リストに基づきnone_linkableで埋められているが、実際のバイト列が何なのかを知りたい読者は、ここで答えを見つけることができない。

いくつかの使いやすさフィールドには、参照できる文書がまったくない。 スプリットトンネリング、同時接続デバイス数の上限、P2Pポリシー、ストリーミングへのアクセスについては、今回見つかったRiseupVPNのどのページでも扱われていない。また、キルスイッチが確認されているのはデスクトップのトレイクライアントのみで、Androidについては確認されていない。

CactusVPN

レコード全体について。

Securitumの業務（2026年4月20日～5月7日、9人日、ホワイトボックス）では、CactusVPNが掲載する約25か国のサーバー国のうち4か国にある本番サーバー4台と、VPNクライアントの接続動作を調査した。これにはテストに使用したLinuxアプリも含まれるが、これはダウンロードページが現在掲載しているプラットフォームには含まれていない――掲載製品ではなく、手動／レガシーのクライアントアクセスと思われる。

このレポートは、ISAE 3000またはSOC 2の業務ではなく、Securitumによる特注のセキュリティ評価である。そのため、V07／V15には保証ティアを推測せず、その事実を記録する。

料金には更新料金の保証が付いている。年間プラン（$70/yr）と2年プラン（$95/2yr）は、どちらも「生涯にわたって」同じ固定価格で更新されると記載されており、このカタログのプロバイダーの中では珍しい。これは生涯利用の一括料金スキームではない（X07=no）。

RiseupVPN

レコード全体について。

RiseupVPNは、1999年から運営されている米国の501(c)(4)非営利共同体Riseup Networks（riseup.net）の無料クライアントであり、VPN自体に価格はなく、全面的に寄付で維持されているため、U04/U04bはnot_applicableである。RiseupVPNは、LEAPプラットフォーム上に構築された旧Bitmask/Riseup-Blackクライアントのリブランドであり、4つのゲートウェイ（Seattle、Montreal、Paris、Amsterdam）はすべてcountries.csvに基づくログ保持義務のある国に置かれており、そこでのホスティングは仮想ではなく物理である。