Mullvad VPN và RiseupVPN

Vì sao số lượng là tám. Số lượng kiểm toán là tám vì đợt rà soát GotaTun nằm ngoài danh sách riêng của kho ứng dụng. Trước các đợt này, một cuộc rà soát X41 D-Sec kéo dài 30 ngày công trên cả năm nền tảng đã phát hiện sáu lỗ hổng — ba lỗ hổng cao, hai lỗ hổng trung bình, một lỗ hổng thấp, không có lỗ hổng nghiêm trọng.

Không đợt đánh giá nào bao quát. Điều không đợt đánh giá nào trong số này bao quát là đội máy chủ: từng đợt đều kiểm tra ứng dụng hoặc giao thức đường hầm, vì vậy phạm vi bao quát đội máy chủ được ghi nhận là không áp dụng chứ không phải là một mẫu. Do đó, tuyên bố không lưu nhật ký ở phía hạ tầng dựa trên lệnh khám xét tháng 4 năm 2023 — cảnh sát Thụy Điển đến tìm dữ liệu khách hàng nhưng rời đi mà không có dữ liệu đó — chứ không dựa trên bất kỳ cuộc kiểm toán nào.

Bản dựng có thể tái lập, chỉ Android. Bản dựng có thể tái lập chỉ áp dụng cho Android, từ phiên bản 2025.2 trở đi, nên trường vẫn ở trạng thái một phần; các bản dựng cho máy tính để bàn và iOS không thể được xác minh từng bit một. Thổ Nhĩ Kỳ là quốc gia duy nhất có nghĩa vụ pháp lý trong danh sách được cung cấp và dịch vụ hosting đứng sau đó chưa được xác lập.

Không có gì được công bố về các yêu cầu. Không điều gì trong hồ sơ dựa trên bất kỳ nội dung nào nhà cung cấp công bố về các yêu cầu mà họ nhận được: không có báo cáo minh bạch và không có warrant canary, vì vậy vụ thu giữ tháng 4 năm 2023 là cơ sở duy nhất đó. Phạm vi công tắc ngắt kết nối và chính sách P2P chưa được xác lập; cuộc kiểm toán mới nhất là một đợt rà soát mã giao thức, không phải một đợt đánh giá về việc không lưu nhật ký, nên V11 không có kết luận và việc lưu giữ dữ liệu dựa vào tuyên bố.

Một số trường về tính tiện dụng hoàn toàn không có tài liệu để đọc. Phân tách đường truyền, giới hạn thiết bị đồng thời, chính sách P2P và quyền truy cập nội dung phát trực tuyến không được đề cập trên bất kỳ trang RiseupVPN nào được tìm thấy trong phiên này, còn công tắc ngắt kết nối chỉ được xác nhận cho ứng dụng khách khay hệ thống trên máy tính, không phải Android.

Cuộc kiểm toán độc lập duy nhất là kiểm thử xâm nhập ứng dụng khách/hạ tầng, không phải kiểm toán nhật ký. Báo cáo SRLabs năm 2025 đã kiểm tra Bitmask và trình đăng ký cầu nối Menshen về các rủi ro chặn và DPI; báo cáo không hề xem xét các máy chủ VPN lưu giữ gì, vì vậy V11_audit_findings là not_stated và tuyên bố về lưu giữ dữ liệu trong C01 chỉ dựa vào lời của Riseup.

Vụ tịch thu năm 2012 thường được viện dẫn để chống lại Riseup không đụng đến dữ liệu của chính Riseup. Các đặc vụ liên bang Hoa Kỳ đã lấy một máy chủ từ một cơ sở đồng vị trí mà Riseup chia sẻ với May First/People Link, nhưng máy và dữ liệu trên đó thuộc về một bên thuê thứ ba (European Counter Network); không có tài khoản Riseup hay dữ liệu người dùng nào ở đó, đó là lý do P01_seizure_event ghi none_known thay vì ghi nhận một sự kiện vốn chưa bao giờ là sự kiện Riseup phải chống đỡ.