CactusVPN vs RiseupVPN

CactusVPN

Sobre a ficha como um todo.

O trabalho da Securitum (20 abr.–7 mai. 2026, nove dias-pessoa, whitebox) examinou quatro servidores de produção em quatro dos cerca de 25 países de servidores listados da CactusVPN e o comportamento de ligação do cliente VPN (incluindo uma app Linux usada para testes, que não está entre as plataformas atualmente listadas pela página de transferências — aparentemente acesso manual/legado ao cliente, e não um produto listado).

O trabalho foi uma avaliação de segurança específica da Securitum, não um trabalho ISAE 3000 ou SOC 2, pelo que V07/V15 registam isso em vez de presumirem um nível de garantia.

Os preços incluem uma garantia da taxa de renovação: os planos anual ($70/ano) e de 2 anos ($95/2 anos) indicam ambos que serão renovados ao mesmo preço fixado "para toda a vida", o que é invulgar entre os fornecedores deste catálogo e não corresponde a um esquema de pagamento único vitalício (X07=não).

RiseupVPN

Sobre a ficha como um todo.

RiseupVPN é um cliente gratuito da Riseup Networks, um coletivo sem fins lucrativos 501(c)(4) dos EUA (riseup.net) em funcionamento desde 1999; a VPN não tem um preço próprio e é sustentada inteiramente por donativos, razão pela qual U04/U04b são not_applicable. RiseupVPN é uma reformulação do antigo cliente Bitmask/Riseup-Black, construído na plataforma LEAP; os seus quatro gateways (Seattle, Montreal, Paris, Amsterdam) estão todos situados em países que têm um mandato de registo segundo countries.csv, e o alojamento nesses locais é físico, não virtual.

CactusVPN

Ainda em aberto nesta ficha.

Jurisdição. A página sobre nós diz que a CactusVPN "começou como uma pequena empresa na Moldova", mas isso é uma narrativa da empresa, não uma declaração de registo, e os Termos de Serviço não estabelecem qualquer lei aplicável ou país de constituição; o relatório da Securitum identifica o cliente apenas como "Cactus VPN LLC", sem qualquer jurisdição associada. M06 e os campos dele derivados permanecem desconhecidos até ser encontrado um registo de entidade ou uma cláusula explícita de jurisdição.

Alojamento sujeito a mandato. Todos os 25 países da lista de servidores publicada têm um mandato de retenção de dados na tabela própria deste catálogo, pelo que C09b não é uma questão limitada neste caso, mas a página de localizações dos servidores não distingue pontos de saída físicos de virtuais em nenhuma localização, e não foi comprovado nesta sessão qualquer facto de alojamento por país.

RiseupVPN

Ainda em aberto nesta ficha.

A propriedade do hardware não é indicada. A própria FAQ governamental da Riseup descreve o controlo físico da sua infraestrutura central em Seattle ("não alojada na nuvem"), mas nada diz sobre as máquinas de gateway VPN em Montreal, Paris e Amesterdão, que estão em intervalos de IP típicos de fornecedores comerciais. C08_servers_ownership permanece desconhecido, em vez de ser presumido a partir da declaração sobre Seattle.

O registo VPN mínimo é descrito apenas por exclusão. A página de segurança lista tudo o que o registo rotativo de 5 dias não contém (sem IP, sem impressão digital, sem pedidos DNS, sem metadados), mas nunca indica o que contém. C01 é preenchido como none_linkable com base nessa lista de exclusões, mas um leitor que queira saber o que os bytes realmente são não encontrará a resposta aqui.