Mullvad VPN
Ainda em aberto nesta ficha.
A periodicidade das auditorias. A Mullvad publica um índice de auditorias no repositório da aplicação e é explícita quanto à periodicidade: o índice afirma claramente que as auditorias principais da aplicação ocorrem de dois em dois anos, com auditorias adicionais entre elas, razão pela qual a regularidade é registada como repetida a nenhum intervalo fixo, e não como uma série anual — ninguém alega uma periodicidade anual.
Dois relatórios, uma data. Dois trabalhos distintos partilham a data de 2026-02-17 e a ficha identifica ambos: a revisão de código da Assured ao GotaTun, a implementação WireGuard em espaço de utilizador (sem questões críticas, altas ou médias; duas baixas e nove notas), e a avaliação Mobile App Profile da Leviathan à aplicação Android, cujo relatório de conformidade indica 17 de fevereiro de 2026 como data da avaliação e AL2 como nível de garantia. Uma data, dois relatórios, nenhuma contradição.
o resto do que está em aberto — mais 276 palavras
Porque é que a contagem é oito. A contagem de auditorias é oito porque a análise ao GotaTun fica fora da própria lista do repositório da aplicação. Antes disso, uma análise X41 D-Sec de 30 dias-pessoa em todas as cinco plataformas encontrou seis vulnerabilidades — três elevadas, duas médias, uma baixa, nenhuma crítica.
O que nenhum trabalho cobre. O que nenhum destes trabalhos cobre é a frota de servidores: todos examinam a aplicação ou o protocolo do túnel, razão pela qual a cobertura da frota é registada como não aplicável, e não como uma amostra. A alegação de ausência de registos no lado da infraestrutura assenta, portanto, no mandado de busca de abril de 2023 — a polícia sueca foi buscar dados de clientes e saiu sem eles — e não em qualquer auditoria.
Compilações reproduzíveis, apenas no Android. As compilações reproduzíveis existem apenas no Android, a partir da versão 2025.2, pelo que o campo permanece parcial; as compilações para computador e iOS não são verificáveis bit a bit. A Turquia é o único país sujeito a mandato na lista disponibilizada e o alojamento associado não está comprovado.
Nada publicado sobre pedidos. Nada no registo assenta em algo que o fornecedor publique sobre os pedidos que recebe: não existe um relatório de transparência nem um canário de mandado, pelo que a apreensão de abril de 2023 constitui a única base para esse fundamento. A cobertura do interruptor de emergência e a política de P2P não estão comprovadas; a auditoria mais recente é uma revisão de código do protocolo, não um trabalho sobre ausência de registos, pelo que V11 permanece silencioso e a retenção assenta na declaração.
RiseupVPN
Ainda em aberto nesta ficha.
A propriedade do hardware não é indicada. A própria FAQ governamental da Riseup descreve o controlo físico da sua infraestrutura central em Seattle ("não alojada na nuvem"), mas nada diz sobre as máquinas de gateway VPN em Montreal, Paris e Amesterdão, que estão em intervalos de IP típicos de fornecedores comerciais. C08_servers_ownership permanece desconhecido, em vez de ser presumido a partir da declaração sobre Seattle.
O registo VPN mínimo é descrito apenas por exclusão. A página de segurança lista tudo o que o registo rotativo de 5 dias não contém (sem IP, sem impressão digital, sem pedidos DNS, sem metadados), mas nunca indica o que contém. C01 é preenchido como none_linkable com base nessa lista de exclusões, mas um leitor que queira saber o que os bytes realmente são não encontrará a resposta aqui.
o resto do que está em aberto — mais 207 palavras
Vários campos de usabilidade não têm documentação para consultar. A divisão de túnel, os limites de dispositivos simultâneos, a política de P2P e o acesso a streaming não são abordados em nenhuma página da RiseupVPN encontrada nesta sessão, e o interruptor de emergência só é confirmado para o cliente de bandeja do ambiente de trabalho, não para Android.
A única auditoria independente é um teste de intrusão ao cliente/à infraestrutura, não uma auditoria aos registos. O relatório da SRLabs de 2025 examinou o Bitmask e o registador da ponte Menshen quanto a riscos de interceção e DPI; nunca procurou saber o que os servidores VPN retêm, pelo que V11_audit_findings é not_stated e a alegação de retenção em C01 baseia-se apenas na palavra da própria Riseup.
A apreensão de 2012 frequentemente citada contra a Riseup não envolveu dados próprios da Riseup. Agentes federais dos EUA apreenderam um servidor numa instalação de colocation que a Riseup partilhava com a May First/People Link, mas a máquina e os seus dados pertenciam a um terceiro inquilino (European Counter Network); não havia nela nenhuma conta ou dados de utilizadores da Riseup, razão pela qual P01_seizure_event aparece como none_known, em vez de atribuir à Riseup um evento que nunca foi seu para contestar.
