CactusVPN vs RiseupVPN

CactusVPN

針對整筆紀錄。

Securitum 委託案（2026 年 4 月 20 日至 5 月 7 日、9 人日、白箱）檢查了 CactusVPN 所列約 25 個伺服器國家中的 4 個國家之 4 台正式環境伺服器，以及 VPN 用戶端的連線行為（包括用於測試的 Linux 應用程式；目前下載頁面列出的平台不包括該應用程式——顯然是手動／舊版用戶端存取，而非列出的產品）。

該報告是 Securitum 客製化的安全性評估，不是 ISAE 3000 或 SOC 2 委託案，因此 V07／V15 紀錄這一點，而不是猜測確信等級。

價格包含續訂費率保證：年繳（$70/yr）與 2 年期（$95/2yr）方案都明載「終身」以相同的鎖定價格續訂，這在本名錄的業者中並不常見，且不是終身一次付費方案（X07=no）。

RiseupVPN

針對整筆紀錄。

RiseupVPN 是 Riseup Networks 的免費用戶端；Riseup Networks 是一家自 1999 年起營運的美國 501(c)(4) 非營利集體（riseup.net）。該 VPN 本身不收取費用，完全靠捐款維持，因此 U04/U04b 為 not_applicable。RiseupVPN 是較早的 Bitmask/Riseup-Black 用戶端的重新品牌版本，建置於 LEAP 平台；其四個閘道（Seattle、Montreal、Paris、Amsterdam）全都位於依 countries.csv 負有留存義務的國家，且當地的託管採用實體而非虛擬形式。

CactusVPN

此紀錄目前仍未解決的事項。

管轄地。 關於我們頁面稱 CactusVPN「起初是摩爾多瓦的一家小公司」，但那是公司敘事，不是註冊聲明；服務條款完全未載明準據法或公司註冊國家；Securitum 報告僅將客戶列為「Cactus VPN LLC」，未附上任何管轄地。M06 及由其衍生的欄位，在找到登記紀錄或明確的管轄地條款前，維持未知。

義務託管。 已公開的伺服器榜單中全部 25 個國家，在本名錄自身的表格中都帶有資料留存義務，因此 C09b 在此並非狹義問題；但伺服器位置頁面沒有針對任何位置區分實體出口點與虛擬出口點，而且本次工作階段未確認任何各國託管事實。

應用程式層級識別碼與商店聲明。 C07a、C12 與 X12 維持未知：本次工作階段未讀取 Play Store 資料安全性表單或 Apple 隱私標籤，而 Securitum 稽核的白箱範圍涵蓋伺服器端設定及 DNS／流量處理，不包括行動版或擴充功能用戶端自行傳送給應用程式商店或分析 SDK 的內容。

透明度與金絲雀。 網站上沒有任何 /transparency、/transparency-report、/warrant-canary 或 /canary 路徑可解析，網站地圖中也沒有出現這類頁面；這是透過查找發現的缺失，而不是有來源支持的「無」，因此兩個欄位維持未知，而非標記為無。

RiseupVPN

此紀錄目前仍未解決的事項。

未陳述硬體所有權。 Riseup 自己的政府常見問題說明其核心 Seattle 基礎設施由其實際控制（「並非託管於雲端」），但沒有提到位於 Montreal、Paris 和 Amsterdam 的 VPN 閘道機器；這些機器位於典型的商業主機 IP 範圍內。C08_servers_ownership 維持未知，而不是根據 Seattle 的說明自行推定。

最低限度的 VPN 紀錄僅透過排除方式加以描述。 安全頁面列出 5 天輪替紀錄不包含的所有內容（沒有 IP、沒有指紋、沒有 DNS 請求、沒有中繼資料），但從未說明它包含什麼。C01 根據該排除清單填入 none_linkable，但想知道這些位元組實際是什麼的讀者，無法在此找到答案。

幾個易用性欄位完全沒有文件可供查閱。 在本次工作階段找到的任何 RiseupVPN 頁面中，都沒有提到分割通道、同時裝置上限、P2P 政策和串流存取；終止開關也僅確認適用於桌面系統匣用戶端，未確認適用於 Android。

唯一的獨立稽核是用戶端／基礎設施滲透測試，而不是紀錄稽核。 2025 年 SRLabs 報告檢查了 Bitmask 和 Menshen bridge registrar 的攔截及 DPI 風險；報告從未詢問 VPN 伺服器留存什麼，因此 V11_audit_findings 為 not_stated，而 C01 中的留存聲明僅建立在 Riseup 自己的說法上。

經常被用來指責 Riseup 的 2012 年扣押事件並未涉及 Riseup 自己的資料。 美國聯邦探員從 Riseup 與 May First/People Link 共用的共置設施帶走一台伺服器，但該機器及其資料屬於第三方租戶 European Counter Network；其中沒有任何 Riseup 帳號或使用者資料，這就是為什麼 P01_seizure_event 顯示 none_known，而不是將一項從未屬於 Riseup、也無從由 Riseup 抵抗的事件歸於它。