CactusVPN vs IVPN

CactusVPN

針對整筆紀錄。

Securitum 委託案（2026 年 4 月 20 日至 5 月 7 日、9 人日、白箱）檢查了 CactusVPN 所列約 25 個伺服器國家中的 4 個國家之 4 台正式環境伺服器，以及 VPN 用戶端的連線行為（包括用於測試的 Linux 應用程式；目前下載頁面列出的平台不包括該應用程式——顯然是手動／舊版用戶端存取，而非列出的產品）。

該報告是 Securitum 客製化的安全性評估，不是 ISAE 3000 或 SOC 2 委託案，因此 V07／V15 紀錄這一點，而不是猜測確信等級。

價格包含續訂費率保證：年繳（$70/yr）與 2 年期（$95/2yr）方案都明載「終身」以相同的鎖定價格續訂，這在本名錄的業者中並不常見，且不是終身一次付費方案（X07=no）。

IVPN

針對整筆紀錄。

首次填寫日期為 2026 年 8 月 26 日。資料完全取自 ivpn.net 自身的頁面、Cure53 稽核 PDF 與 IVPN 的部落格——未引用任何聯盟行銷網站或評論彙整網站。

CactusVPN

此紀錄目前仍未解決的事項。

管轄地。 關於我們頁面稱 CactusVPN「起初是摩爾多瓦的一家小公司」，但那是公司敘事，不是註冊聲明；服務條款完全未載明準據法或公司註冊國家；Securitum 報告僅將客戶列為「Cactus VPN LLC」，未附上任何管轄地。M06 及由其衍生的欄位，在找到登記紀錄或明確的管轄地條款前，維持未知。

義務託管。 已公開的伺服器榜單中全部 25 個國家，在本名錄自身的表格中都帶有資料留存義務，因此 C09b 在此並非狹義問題；但伺服器位置頁面沒有針對任何位置區分實體出口點與虛擬出口點，而且本次工作階段未確認任何各國託管事實。

應用程式層級識別碼與商店聲明。 C07a、C12 與 X12 維持未知：本次工作階段未讀取 Play Store 資料安全性表單或 Apple 隱私標籤，而 Securitum 稽核的白箱範圍涵蓋伺服器端設定及 DNS／流量處理，不包括行動版或擴充功能用戶端自行傳送給應用程式商店或分析 SDK 的內容。

透明度與金絲雀。 網站上沒有任何 /transparency、/transparency-report、/warrant-canary 或 /canary 路徑可解析，網站地圖中也沒有出現這類頁面；這是透過查找發現的缺失，而不是有來源支持的「無」，因此兩個欄位維持未知，而非標記為無。

IVPN

此紀錄目前仍未解決的事項。

2019 年的一次無日誌稽核。 IVPN 對其不做的事情說明得異常明確：其自有文章表示，最後一次且唯一一次無日誌稽核是 Cure53 於 2019 年 3 月進行的稽核，並且它刻意未重複這種形式，因為這類認證描述的是某一天，而不是之後的日子。

目前這項聲明的依據。 此後的每次稽核都以應用程式和服務為目標，因此基礎架構上的無日誌聲明依據的是 2019 年 3 月的委託，以及 2023 年 2 月的閘道檢視，而不是任何近期資料。

尚未公開的稽核。 第八次年度 Cure53 稽核排定於 2026 年 7 月進行，目前尚未公開 2025 年或 2026 年的報告，這就是最新報告日期為 2024 年 4 月的原因。

2026 年 8 月的事件。 2026 年 8 月，一名攻擊者利用自行代管的 BTCPay Server 中、當時尚未公開的漏洞，取得 IVPN 自有的 Lightning 營運資金。IVPN 在四天後主動公開說明此事，並將範圍限於該機器：VPN 閘道未受影響，未取得任何客戶紀錄，也沒有客戶資金損失。

為何不計入分數。 這項內容不收取任何費用，重點就在於此——一個能迅速如此說明的營運者，其行為符合這個領域應獎勵的方式；保留此紀錄，是為了讓讀者知道事情曾經發生，而不是為了改變任何數字。

委託涵蓋的內容。 應用程式滲透測試（iOS、Android、Electron、daemon）來自 2022 年 3 月，閘道器／伺服器作業系統檢視來自 2023 年 2 月；兩者都未測試無日誌聲明本身，2023 年的報告也明確如此說明，因此留存僅依據隱私政策中的聲明。