Proton VPN vs Surfshark

Proton VPN

このレコードでまだ未解決の点。

監査で実際に確認されたこと。 ノーログの判定は、強力であると同時に範囲が狭い。Securitumは2025年8月に本番サーバーを現地で検査しており、2022年以降、毎年実施している。

レポート自身が示す限界。 これは特定時点での確認であり、監督なしのフォレンジック調査ではなく、Protonのエンジニアが実演したシステムを対象とする案内付きレビューであり、全フリートではなく代表サンプルを対象としている。CI/CD、ソースコード、アカウント管理システムは明示的に対象外であるため、ここから請求側が保持するものについては何も分からない。

申し立てと、そこから確定しないこと。 2021年10月22日の申し立ては、明確に述べておく価値のある但し書き付きでここに出典として示されている。Federal Administrative Courtは、メールサービスは電気通信プロバイダーではないと判断しており、判決に関する報道にもProton自身の説明にも、VPNへの言及はない。

実際に2つのフィールドを確定させるもの。 C10とC11を確定させるのは、カタログ独自の国リストでスイスに義務の根拠がないことである。上訴はスイス当局がProtonをどのように扱うかを裏付けるが、それだけでProton VPNについての判定になるわけではない。姉妹サービスに関する判決は、出典が示すほど強い根拠ではない。

最大の未解決項目。 Protonは、ログ保持義務を課す8か国に出口ロケーションを提供している。実際にハードウェアがそのいずれかに設置されているかは確認されていない。Protonは2022年にインドから物理サーバーを撤去し、別の場所から提供するロケーションについてSmart Routingを文書化しているため、仮想であることが示唆されるが、これはインドについてのみ検証された。C09b_mandate_hostingの確認が、このレコードにおける最大の未解決項目である。

Surfshark

このレコードでまだ未解決の点。

2つの価格。 U04_price_monthly=16.45およびU04b_price_yearly=79.00は、Surfshark Starter（VPN + Alternative ID）の米ドル建て更新価格である。料金ページ自体にはプロモーションの初回期間料金しか表示されないが、利用規約から、期間別の更新価格を掲載した現在の継続課金額ページ（surfshark.com/terms-of-service/pricing）にリンクしている。通貨は地域制限されているため、米国のIPで同ページを確認した。Starterより下位のVPN専用プランはない。

一次文書で確認できなかった事項。 C00_architecture、C08_servers_ownership、U09、U11、V12/V13、X04、X06-X08、X10、X11は、利用可能な時間内に一次文書との照合で確認できず、不明のままとした。M11_owner_jurisdictionおよびX04_owner_group_historyには、nordvpn.jsonに記録されたものと同じ空白がある。Nord Security自身の法域およびレコードは、いずれのブランドのサイトにも記載されていない。

インドと秘密命令の制度。 P04_mandate_response=withdrew_physicalは、2022年6月のインドからの撤退を示すもので、以前の調査で/trust-centerページにその記載がなくなっていることが判明した後、Surfshark自身のブログ（surfshark.com/blog/surfshark-servers-certin-india）から復元した。P11=judicial_onlyは、透明性レポートに、2026年4月のAmsterdam District Courtの令状、およびNational-Security-letterと秘密命令のカウンターがゼロであることが示されていることに基づく。

Proton VPN

レコード全体について。

2021年の、将来に向けたログ保持を強制したスイスの命令は、VPNではなくProton Mailを対象としたものであり、意図的にP12から除外している。姉妹製品に対する命令についてVPNに責任を負わせることは、Proton AGについての事実であって、このサービスについての事実ではない。

U08がall_platformsなのは、サポート文書がWindows、macOS、Linux（GUIおよびCLI）、Android、iOSの有効化手順を示しており、アプリのあるすべてのプラットフォームを網羅しているためである。同じ文書は、値には含められずこの注記には含められる2つの制限も記載している。macOSではサーバー切り替え中に実IPアドレスが短時間露出する可能性があり、iOSではキルスイッチがオンの場合でも一部のAppleサービスのDNSリクエストがトンネルを迂回する可能性がある。

U04b_price_yearlyは、1年のVPN Plusプランにおける初回期間の料金を記録する。初回12か月は$53.88（$4.49/月）で、料金ページ上の独自の更新行「その後は12か月ごとに$83.88で更新」（$6.99/月）の横に記載されている。この更新料金はこのフィールドの値ではない。

Surfshark

レコード全体について。

surfshark.comはnordvpn.comのようにCloudflareで遮断されてはいない。robots.txt、静的ページ、さらには2件のISAE 3000ノーログ保証レポートPDFと2025年12月のSecuRingインフラストラクチャ・ペネトレーションテストレポートまで、すべて直接取得できる。また、robots.txt自身のDisallowリストには正確なPDFパスが記載されていた（明らかに、直接リンクから隠すためではなく、検索結果から除外するためのものだった）。

両方の監査PDFを開いて全文を読み取った（レベルA）。2025年のレポートの付録とプライバシーポリシーは、同じレコードを同じ表現で説明している：「user ID and/or your IP address and connection to VPN server time stamps」。これはセッション終了後15分以内に自動的に削除される。

このレコードは以前に2回読み取られていた。監査の表現からV11のconnection_timestampsを、ポリシーの表現からC01のsource_ipを読み取り、2つのうち悪い方で評価していた。そのため、何も記載しない場合よりも15分のバッファの方が大きなコストとなった。C01を空欄にした場合の市場事前確率は0.550、source_ipは0.750である。

R29は線引きを明確にした。セッション終了に結び付いた宣言済みの期間内に削除された状態は接続そのものであり、その記録ではないため、両方のフィールドは同じ文でconnection_timestampsと読む。なお、セッションを超えて残るもの、すなわちポリシーのセクション2.3.1にある最後のログイン日と、監査人が挙げる接続タイムスタンプは、引き続き対象となる。