Mullvad VPN
Ainda em aberto nesta ficha.
A periodicidade das auditorias. A Mullvad publica um índice de auditorias no repositório da aplicação e é explícita quanto à periodicidade: o índice afirma claramente que as auditorias principais da aplicação ocorrem de dois em dois anos, com auditorias adicionais entre elas, razão pela qual a regularidade é registada como repetida a nenhum intervalo fixo, e não como uma série anual — ninguém alega uma periodicidade anual.
Dois relatórios, uma data. Dois trabalhos distintos partilham a data de 2026-02-17 e a ficha identifica ambos: a revisão de código da Assured ao GotaTun, a implementação WireGuard em espaço de utilizador (sem questões críticas, altas ou médias; duas baixas e nove notas), e a avaliação Mobile App Profile da Leviathan à aplicação Android, cujo relatório de conformidade indica 17 de fevereiro de 2026 como data da avaliação e AL2 como nível de garantia. Uma data, dois relatórios, nenhuma contradição.
o resto do que está em aberto — mais 276 palavras
Porque é que a contagem é oito. A contagem de auditorias é oito porque a análise ao GotaTun fica fora da própria lista do repositório da aplicação. Antes disso, uma análise X41 D-Sec de 30 dias-pessoa em todas as cinco plataformas encontrou seis vulnerabilidades — três elevadas, duas médias, uma baixa, nenhuma crítica.
O que nenhum trabalho cobre. O que nenhum destes trabalhos cobre é a frota de servidores: todos examinam a aplicação ou o protocolo do túnel, razão pela qual a cobertura da frota é registada como não aplicável, e não como uma amostra. A alegação de ausência de registos no lado da infraestrutura assenta, portanto, no mandado de busca de abril de 2023 — a polícia sueca foi buscar dados de clientes e saiu sem eles — e não em qualquer auditoria.
Compilações reproduzíveis, apenas no Android. As compilações reproduzíveis existem apenas no Android, a partir da versão 2025.2, pelo que o campo permanece parcial; as compilações para computador e iOS não são verificáveis bit a bit. A Turquia é o único país sujeito a mandato na lista disponibilizada e o alojamento associado não está comprovado.
Nada publicado sobre pedidos. Nada no registo assenta em algo que o fornecedor publique sobre os pedidos que recebe: não existe um relatório de transparência nem um canário de mandado, pelo que a apreensão de abril de 2023 constitui a única base para esse fundamento. A cobertura do interruptor de emergência e a política de P2P não estão comprovadas; a auditoria mais recente é uma revisão de código do protocolo, não um trabalho sobre ausência de registos, pelo que V11 permanece silencioso e a retenção assenta na declaração.
Proton VPN
Ainda em aberto nesta ficha.
O que a auditoria verificou efetivamente. A conclusão de ausência de registos é simultaneamente forte e limitada. A Securitum inspecionou presencialmente os servidores de produção em agosto de 2025 e faz isso anualmente desde 2022.
Os limites indicados pelo próprio relatório. Trata-se de uma verificação num momento específico, de uma análise orientada dos sistemas demonstrados pelos engenheiros da Proton, e não de um exame forense não supervisionado, e de uma amostra representativa, e não de toda a frota. CI/CD, o código-fonte e os sistemas de gestão de contas ficaram explicitamente fora do âmbito, pelo que nada aqui diz respeito ao que o lado da faturação conserva.
o resto do que está em aberto — mais 208 palavras
O recurso e o que não resolve. O recurso de 22 de outubro de 2021 é citado aqui com uma ressalva que vale a pena declarar claramente: o Federal Administrative Court decidiu que os serviços de email não são fornecedores de telecomunicações, e nem a cobertura da decisão nem o próprio relato da Proton mencionam a VPN.
O que efetivamente decide os dois campos. O que decide C10 e C11 é o facto de a Suíça não ter uma base de mandato na própria lista de países do catálogo; o recurso corrobora a forma como as autoridades suíças tratam a Proton e não constitui, por si só, uma conclusão sobre a Proton VPN. Uma decisão sobre um serviço irmão é uma base mais frágil do que a citação faz parecer.
O maior item em aberto. A Proton oferece localizações de saída em oito países que impõem um mandato de retenção. Não está comprovado que exista hardware efetivamente em algum deles: a Proton retirou os servidores físicos da Índia em 2022 e documenta o Smart Routing para localizações que serve a partir de outro lugar, o que aponta para localizações virtuais, mas isso só foi verificado para a Índia. Estabelecer C09b_mandate_hosting é o maior item em aberto neste registo.
