Mullvad VPN — recenzja bezpieczeństwa od HushFleet

Mullvad VPN został oceniony przez zespół HushFleet i umieszczony w przedziale Akceptowalne, z wynikiem bezpieczeństwa 60/100 i wynikiem użyteczności 64/100. W ogólnym rankingu bezpieczeństwa dostawców VPN zajmuje 2 miejsce z 68. Komercyjna VPN, jurysdykcja firmy: Szwecja. Ma niezależny audyt bezpieczeństwa: opublikowano pełny raport, poziom dowodu B.

Metodologia: 3.7.0
Schemat: 3.7.0
Opublikowano: 8 września 2026
Zaktualizowano: 25 września 2026

Specyfikacja

Przenoszone, nigdy nie wyceniane

7 pól znajduje się w tym rekordzie bez wpływu na wynik, a kontrakt mówi o tym wprost w samym polu: scored: false. Są tutaj, bo czytelnik pytający, kto jest właścicielem tej firmy albo kto podpisał audyt, pyta o coś, na co rekord odpowiada — a wartość, która nigdy nie dotyka działania arytmetycznego, powinna być widocznie poza nim, a nie po cichu wmieszana.

Kraje z węzłem wyjściowym

Każdy kraj, w którym dostawca oferuje lokalizację wyjściową, policzony z jego własnej strony serwerów: 50. Nie ma tu liczby serwerów w rozbiciu na kraje ani sumy floty nigdzie na stronie — kontrakt nie zawiera żadnego z tych danych, a liczba, której nikt nie może potwierdzić źródłem, jest gorsza niż jej brak. Kraje 1 oznaczone jako obowiązek nakładają retencję danych; to oznaczenie pochodzi z własnej tabeli krajów metodologii, nie od dostawcy.

Klasa: Komercyjna VPN Przedział: Akceptowalne Jurysdykcja: Szwecja Retencja: Nic, co łączy ruch z osobą Protokół: WireGuard Grupa właścicielska: Niezależny

Autor: zespół HushFleet35 zmian zarejestrowanych w tym rekordzie

Co się zmieniło

Alternatywy

Jeśli ten nie jest odpowiedni

Skąd bierze się wynik bezpieczeństwa

Osiem kanałów, z których każdy zadaje opublikowanemu rekordowi jedno pytanie i odczytuje nazwany zestaw pól, by na nie odpowiedzieć. Mnożą się, a nie sumują — czynnik obok kanału to to, co zostało po napięciu, jakie ten kanał znalazł; otwórz kanał, by zobaczyć każde odczytane pole, dokładnie tak, jak jest zapisane. Jak działa model

Pola bezpieczeństwa

67 55 z nich zasila jakiś kanał

Potwierdzone

54 7 pozostawiono jako unknown, 6 nie dotyczy

Kompletność

87% udział, jaki model mógł uwzględnić

Cytowania

74 w 25 dokumentach

Każda wartość niesie ze sobą to, na czym się opiera, a model waży cztery poziomy różnie. Waga, a potem liczba cytowań tego rekordu na danym poziomie:

A waga 1,00 · 9 tutajB waga 0,85 · 61 tutajC waga 0,70 · 4 tutaj

Wagi pochodzą wprost z methodology.json; twierdzenie widoczne w samym artefakcie liczy się bardziej niż to samo twierdzenie zgłoszone z drugiej ręki. Data na końcu wiersza to dzień, w którym dana wartość została ostatnio odczytana.

Kanał nie wycenia każdego pola, które odczytuje. Te, które wycenił, są oznaczone wzdłuż krawędzi i niosą to, co dodały; wszystko inne zostało odczytane i nic nie kosztowało. Tylko kanał, który składa się pole po polu, może w ogóle oznaczyć pole — pozostałe wyceniają się same, na podstawie parametrów wydrukowanych nad ich wierszami.

Wciąż otwarte w tym rekordzie.

Częstotliwość audytów. Mullvad publikuje indeks audytów w repozytorium aplikacji i jest on uczciwy co do częstotliwości: indeks stwierdza wprost, że główne audyty aplikacji odbywają się co dwa lata, z dodatkowymi audytami pomiędzy nimi, dlatego regularność jest zapisana jako powtarzana bez stałego interwału, a nie jako seria roczna — nikt nie deklaruje corocznej częstotliwości.

Dwa raporty, jedna data. Dwa odrębne zlecenia mają datę 17.02.2026 i rekord wymienia oba: przegląd kodu GotaTun przeprowadzony przez Assured, dotyczący implementacji WireGuard w przestrzeni użytkownika (brak problemów krytycznych, o wysokiej lub średniej wadze; dwa problemy o niskiej wadze i dziewięć uwag), oraz ocenę Mobile App Profile aplikacji na Androida przeprowadzoną przez Leviathan, której raport zgodności podaje 17 lutego 2026 jako datę oceny i AL2 jako poziom zapewnienia. Jedna data, dwa raporty, brak sprzeczności.

reszta tego, co otwarte — jeszcze 226 słów

Dlaczego liczba wynosi osiem. Liczba audytów wynosi osiem, ponieważ przegląd GotaTun znajduje się poza własną listą repozytorium aplikacji. Wcześniej, podczas przeglądu X41 D-Sec trwającego łącznie 30 osobodni i obejmującego wszystkie pięć platform, znaleziono sześć luk — trzy o wysokiej wadze, dwie o średniej, jedną o niskiej, żadnej krytycznej.

Czego nie obejmuje żadne zlecenie. Żadne z tych zleceń nie obejmuje floty serwerów: każde z nich bada aplikację lub protokół tunelu, dlatego zakres floty jest zapisany jako nie mający zastosowania, a nie jako próbka. Deklaracja braku logów po stronie infrastruktury opiera się zatem na nakazie przeszukania z kwietnia 2023 r. — szwedzka policja przybyła po dane klientów i odjechała bez nich — a nie na żadnym audycie.

Kompilacje odtwarzalne, tylko Android. Kompilacje odtwarzalne dotyczą wyłącznie Androida, od wersji 2025.2 wzwyż, więc pole pozostaje częściowe; kompilacji desktopowych i iOS nie można zweryfikować bit po bicie. Turcja jest jedynym krajem z obowiązkiem retencyjnym na oferowanej liście, a hosting za nim nie jest potwierdzony.

Nic opublikowanego o nakazach. Nic w rekordzie nie opiera się na czymkolwiek, co dostawca publikuje o otrzymywanych nakazach: nie ma raportu przejrzystości ani kanarka nakazów, więc zajęcie z kwietnia 2023 r. stanowi jedyną podstawę w tym zakresie. Zakres wyłącznika awaryjnego i polityka P2P nie są potwierdzone; najnowszy audyt jest przeglądem kodu protokołu, a nie zleceniem dotyczącym braku logów, więc V11 milczy, a retencja opiera się na deklaracji.

O rekordzie jako całości.

Nakaz przeszukania z kwietnia 2023 r. jest najmocniejszym pojedynczym elementem tego rekordu: policja pojawiła się w biurze i wyszła z niczym, co stanowi dowód z praktyki, a nie dokument, i starzeje się znacznie wolniej niż audyt. Cena wynosi stałe 5 EUR/miesiąc dla każdego okresu; U04_price_monthly zawiera 5,80 (równowartość w USD podawana przez Mullvad na własnej stronie); U04b_price_yearly wynosi 69,60, czyli pełny rok w tej stawce.

RetencjaCzy istnieje rekord łączący ruch z osobą i kto to sprawdził?odczytano 13 pól · 2 nie dotyczy · 21,8 punktów nacisku×0,782

Złożone, a nie zsumowane: wartość wyjściowa 0.55 na gałęzi silent, przesunięta przez to, co mówi dokument (0.0687), i przez to, co pokazuje praktyka (0.608), przy wiarygodności 0.6389 z audytu i 0.855 z tego, jak zaangażował się dostawca, wobec dotkliwości 0.03 tego, co faktycznie jest zatrzymywane.

Retencja możliwa do powiązania z osobą, zgodnie z deklaracjąistotneC01_linkable_retention

none_linkable

Bmullvad.net13 sie 2026

Zgłoś problem z polem C01_linkable_retention

Trwały identyfikator urządzenia przechowywany przez dostawcęC12_device_identifier

none

Bplay.google.com15 sie 2026

Zgłoś problem z polem C12_device_identifier

Co najmniej jeden niezależny audytistotneV01_audit_exists

yes_verified

Bgithub.com17 lut 2026

Zgłoś

Obliczone

×0,601 czystego rekordu kompletność 87%

Skąd bierze się spadek: Retencja. To kanał, w którym koncentruje się ryzyko tego rekordu — sam w sobie sprowadza czysty rekord do ×0,782, a pasek powyżej jest wypełniony właśnie do tego poziomu.

Ekspozycja jest zapisana jako medium, a status integralności jako clean.

Ten rekord znajduje się powyżej średniej rejestru we wszystkich 8 kanałach. Najwęższy margines to Ujawnienie, ×1,000 wobec ×0,970.

Opublikowany wynik

Każdy wiersz powyżej to jedno pole opublikowanego rekordu, i każde z nich można zakwestionować: każdy wiersz niesie przycisk Zgłoś, albo zgłoś coś dotyczącego rekordu jako całości. Korekta poparta źródłem jest wprowadzana tego samego dnia, a jeśli zmienia wynik, zmienia też pozycję w rankingu.

Oferowane kraje objęte obowiązkiem retencyjnymC09_mandate_countries	Turcja
Kraj ostatecznego beneficjenta rzeczywistegoM11_owner_jurisdiction	SE
Klucz klastra grupy właścicielskiejM15_owner_group	Niezależny
Data przejęcia kontroli przez obecnego właścicielaM16_control_since	nie dotyczy
Rola tej marki w grupieM17_brand_role	principal
Infrastruktura współdzielona z innymi podmiotami klastraM18_shared_infrastructure	separate
Łączna liczba opublikowanych audytówV10_audit_count	8

Klasa usługi	Komercyjna VPN — prowadzi bezpieczeństwo
Wynik bezpieczeństwa	60 na 100 · Akceptowalne
Wynik użyteczności	64 na 100 · stan znane · potwierdzone: 75% · odczytano 79,4% wagi
Podmiot prawny	Mullvad VPN AB, Box 53049, 400 14 Gothenburg, Sweden
Jurysdykcja	Szwecja
Właściciel ostateczny	Amagicom AB, 100% owned by founders Fredrik Stromberg and Daniel Berntsson
Ekspozycja	Średni · kanał dominujący: retencja
Retencja	Nic, co łączy ruch z osobą
Najnowszy audyt	Assured Security Consultants (GotaTun code review) and Leviathan Security Group (Android Mobile App Profile assessment) — two engagements, both reports dated 2026-02-17 · 17 lut 2026 · Powtarzany, bez ustalonego odstępu · Tak, a raport przeczytano
Kraje z węzłami wyjściowymi	50
Protokoły	WireGuard
Działa pod aktywną cenzurą	Deklarowane jako działające
Najsłabszy wciąż oferowany protokół	nie dotyczy
Własny DNS wewnątrz tunelu	Tak, na słowo dostawcy
Platformy	Android iOS Linux macOS Windows
Jednoczesne urządzenia	5
Wyłącznik awaryjny	nieznane
Tunelowanie dzielone	Dostępne
Rejestracja	Konto nie jest potrzebne
Wersja darmowa	Brak bezpłatnego poziomu usługi
P2P dozwolone	nieznane
Dostęp do głównych serwisów streamingowych	nieznane
Cena, miesięcznie	$5.69 miesięcznie
Cena, rocznie	$69.60 rocznie przy odnowieniu, płatne jednorazowo

Specyfikacja

Przenoszone, nigdy nie wyceniane

Kraje z węzłem wyjściowym

Co się zmieniło

Jeśli ten nie jest odpowiedni

Porównanie z

Mullvad VPN

Skąd bierze się wynik bezpieczeństwa

Proton VPN

IVPN

AirVPN