Mullvad VPN và NordVPN

Vì sao số lượng là tám. Số lượng kiểm toán là tám vì đợt rà soát GotaTun nằm ngoài danh sách riêng của kho ứng dụng. Trước các đợt này, một cuộc rà soát X41 D-Sec kéo dài 30 ngày công trên cả năm nền tảng đã phát hiện sáu lỗ hổng — ba lỗ hổng cao, hai lỗ hổng trung bình, một lỗ hổng thấp, không có lỗ hổng nghiêm trọng.

Không đợt đánh giá nào bao quát. Điều không đợt đánh giá nào trong số này bao quát là đội máy chủ: từng đợt đều kiểm tra ứng dụng hoặc giao thức đường hầm, vì vậy phạm vi bao quát đội máy chủ được ghi nhận là không áp dụng chứ không phải là một mẫu. Do đó, tuyên bố không lưu nhật ký ở phía hạ tầng dựa trên lệnh khám xét tháng 4 năm 2023 — cảnh sát Thụy Điển đến tìm dữ liệu khách hàng nhưng rời đi mà không có dữ liệu đó — chứ không dựa trên bất kỳ cuộc kiểm toán nào.

Bản dựng có thể tái lập, chỉ Android. Bản dựng có thể tái lập chỉ áp dụng cho Android, từ phiên bản 2025.2 trở đi, nên trường vẫn ở trạng thái một phần; các bản dựng cho máy tính để bàn và iOS không thể được xác minh từng bit một. Thổ Nhĩ Kỳ là quốc gia duy nhất có nghĩa vụ pháp lý trong danh sách được cung cấp và dịch vụ hosting đứng sau đó chưa được xác lập.

Không có gì được công bố về các yêu cầu. Không điều gì trong hồ sơ dựa trên bất kỳ nội dung nào nhà cung cấp công bố về các yêu cầu mà họ nhận được: không có báo cáo minh bạch và không có warrant canary, vì vậy vụ thu giữ tháng 4 năm 2023 là cơ sở duy nhất đó. Phạm vi công tắc ngắt kết nối và chính sách P2P chưa được xác lập; cuộc kiểm toán mới nhất là một đợt rà soát mã giao thức, không phải một đợt đánh giá về việc không lưu nhật ký, nên V11 không có kết luận và việc lưu giữ dữ liệu dựa vào tuyên bố.

Canary, và quý thay thế nó. Chính trang đó đã ngừng sử dụng warrant canary (P07=removed) để chuyển sang các báo cáo minh bạch theo quý; quý gần nhất đã hoàn tất (tháng 4–6 năm 2026) cho thấy 85 yêu cầu của chính phủ và 0 lần tiết lộ, vì vậy P08/P09 là của giai đoạn đó, không phải con số trong toàn bộ hồ sơ.

Ấn Độ, và chế độ lệnh bí mật. P04=withdrew_physical là việc rút khỏi Ấn Độ vào tháng 6 năm 2022. P11=none_known dựa trên tuyên bố trên trang rằng NordVPN chưa nhận được thư National Security hoặc lệnh bí mật nào có tính ràng buộc, cùng với việc Panama không có chế độ như vậy.

Một mức đảm bảo không ai có thể kiểm tra. NordVPN mô tả hợp đồng của Deloitte Lithuania là một hợp đồng đảm bảo hợp lý theo ISAE 3000 (Revised), vốn sẽ là hình thức mạnh hơn; báo cáo của PIA, có thể đọc được, nêu kết luận đảm bảo hạn chế.

Vì sao dạng mạnh hơn không được tính điểm. Mô hình hiện tính đến chênh lệch đó, còn hồ sơ này không được hưởng lợi từ điều đó: V15_assurance_strength không xác định vì tuyên bố duy nhất về cấp độ là tuyên bố của NordVPN, về một báo cáo mà không ai bên ngoài Nord Account có thể mở. Một tài liệu yêu cầu đăng nhập không được xem là bằng chứng ở bất kỳ cấp độ nào tại đây, nên cuộc kiểm toán được tính ở mức thông lệ thị trường thay vì ở cấp độ được cho là đã đạt được.

Một báo cáo yêu cầu đăng nhập. Bản thân báo cáo chỉ có thể đọc được sau khi đăng nhập vào Nord Account, nên không ai bên ngoài mối quan hệ đó đã kiểm tra phạm vi của báo cáo, và mọi trường kiểm toán ở đây đều dựa trên bản tóm tắt của chính NordVPN thay vì dựa trên tài liệu. Điều đó, chứ không phải một phát hiện bất lợi cho dịch vụ, là lý do hồ sơ này sơ sài nhất trong danh mục.

Các trường về chủ sở hữu.

Vụ xâm nhập trung tâm dữ liệu tại Phần Lan năm 2018 là một vụ xâm nhập do bên thứ ba thực hiện, không phải vụ cơ quan thực thi pháp luật thu giữ — được ghi dưới P12_case_history với kind=breach, không phải P01_seizure_event. Bản tường thuật của chính NordVPN (nordvpn.com/blog/official-response-datacenter-breach/) và bài đưa tin đương thời của Bloomberg thống nhất rằng việc công bố xảy ra sau các cáo buộc trên Twitter của các nhà nghiên cứu bên ngoài, không phải do NordVPN chủ động — do đó là third_party_disclosed thay vì self_disclosed_late.

NordVPN và Surfshark có cùng một chủ sở hữu cấp trên (Nord Security), nhưng thông báo sáp nhập của chính hai công ty nêu rõ cơ sở hạ tầng và lộ trình sản phẩm riêng biệt; trên cơ sở đó, M18 được đặt là tách biệt.