NordVPN vs Windscribe

NordVPN

レコード全体について。

nordvpn.com自体は、この監査で使用したすべての非ブラウザーの取得（headless-fetchツールを含む）に対してCloudflareのボットチャレンジ（403）を返す。このレコード内のnordvpn.comページへの出典はすべて、ドメインへの直接リクエストではなく、ページをサーバー側でレンダリングする第三者リーダープロキシ（r.jina.ai）を通じて取得された。

法的文書（プライバシーポリシー、利用規約）は別ドメインのmy.nordaccount.comにあり、nordvpn.com自身のサイトマップからは発見できず、レンダリングされたページのフッターリンクをたどった場合にのみ到達できた。第6回のDeloitteノーログ保証レポート（2025年12月12日発行）は、NordVPN自身のブログ記事（「we don't publish excerpts publicly... log in to your Nord Account」）によれば明示的にログインで制限されているため、発表の要約から保持に関する所見を推測せず、R23に従いV11_audit_findingsはnot_statedとして記録されている。

2018年のフィンランドのデータセンター侵害は第三者による侵入であり、法執行機関による押収ではないため、P01_seizure_eventではなくkind=breachとしてP12_case_historyに記録されている。NordVPN自身の説明（nordvpn.com/blog/official-response-datacenter-breach/）とBloombergの当時の報道は、開示がNordVPN自身の主導ではなく、外部研究者によるTwitter上の指摘に続くものだったという点で一致しているため、self_disclosed_lateではなくthird_party_disclosedとした。

Windscribe

レコード全体について。

3つの法域における3件の別個の要求であり、いずれもデータを生じさせず、3件すべてに日付がある。これは実務ルートが評価の対象として構築されたレコードであり、監査を上回る。監査はノーログのエンゲージメントではなく、ペンテストだからである。

U08 は Windscribe 自身の機能ページ上で desktop_only である。Firewall は Windows、Mac、Linux のアプリに搭載され、Android と iOS では代わりに、オペレーティングシステム自身の Always-On VPN を使うようページが案内している。これはプロバイダーの機能ではなくプラットフォームの機能であり、その区別をこのフィールドは数えている。

U12bは同じ根拠に基づき部分的である — マーケティングページはブロック解除を約束している一方、サポート記事はすべてのストリーミングサービスが機能することを会社は保証できないと述べ、別の記事はNetflixでOriginalsのみが表示されることをNetflix自身のVPN検出によるものとしている。

NordVPN

このレコードでまだ未解決の点。

2つの価格。 U04b_price_yearly=139.08およびU04_price_monthly=14.99は、米国IPからnordvpn.com/pricingで読み取った、USD建てのBasicティアの更新価格である（ページは通貨を地域ロックしている。1年プランは最初の12か月について月額$5.49、その後は年額$139.08と表示される）。

透明性ページを再読。 PブロックはNordVPNの透明性ページ（nordvpn.com/blog/nordvpn-introduces-transparency-reports/、毎日更新）と照合して再読した。2024年10月、パナマの検察当局による拘束力のある令状により、NordVPNは支払いデータと、特定のメールアドレスについてアカウントが存在したことの確認を引き渡すよう強制された。これは記録上唯一の全期間にわたる開示である（P02/P03/P12）。

カナリアと、それに代わった四半期。 同じページでは、四半期ごとの透明性レポートに移行するため、令状カナリアが廃止されている（P07=removed）。最新の完了した四半期（2026年4月〜6月）では、政府からの照会が85件、開示が0件であるため、P08/P09は全期間の数値ではなく、その期間を示している。

インドと秘密命令制度。 P04=withdrew_physicalは、2022年6月のインド撤退である。P11=none_knownは、NordVPNが拘束力のあるNational Security lettersまたは秘密命令を受け取っていないというページの記載と、パナマにそのような制度が存在しないことに基づいている。

Windscribe

このレコードでまだ未解決の点。

ペンテストで判明したこと。 セキュリティスコアは2024年6月の Packetlabs のレポートに基づき、その内容を否定的な方向で読み取っている。ペネトレーションテストでは、IKEv2 サービスが接続ユーザーの送信元IPをセッションの開始時刻および終了時刻とともに、揮発性メモリとディスクの両方に保存していたこと、またマイクロサービスのログに OpenVPN の認証情報、WireGuard の事前共有鍵、IKEv2 のユーザー名が含まれていたことが判明した。

再テストと、その固有の但し書き。 3週間後の再テストでは、これらすべてが修正済みであることが確認された――しかし、レポート自身の結論は、これは「finding 内で記載されたすべての発見を対象とするものではない」と述べ、その finding の一部はテストノードに不適切に展開された設定に起因するとしている。

保持が finding に基づいて評価される理由。 したがって保持は、ポリシーが宣言する内容ではなく、監査人が到達可能であることを実証した内容に基づいて評価され、完全性チャンネルはその2つの間の隔たりを示す。これは現在の測定ではなく、1つのノードで確認された2年前の finding として読むべきである。対象範囲は ca-023.windscribe.com だけであり、フリートのより広い範囲を対象とする新しいエンゲージメントが、それを確定することになる。