ExpressVPN vs Mullvad VPN

ExpressVPN

此紀錄目前仍未解決的事項。

已完成的滲透測試，以及未完成的那項。 滲透測試欄位由 Cure53 在 2024 年 10 月至 11 月對 Lightway 通訊協定進行的審查作為證據，該審查發現一項未經驗證資料片段的阻斷服務，評級為高，另有四項較輕微的問題。ExpressVPN 的信任中心列出一長串此類委託，因此其頻率確實存在；但其中沒有的是，與 KPMG 無日誌委託分開、針對伺服器群組的基礎架構滲透測試。

兩個價格，更正後。 定價頁面目前販售三種不同的方案期限——1 個月、12 個月和 2 年——而不是 2026 年 8 月 29 日讀取到的僅有 24 至 28 個月結構。U04_price_monthly=14.99 是 Basic 1 個月方案的價格，並以相同的 $14.99 自動續訂。U04b_price_yearly=59.85 是 Basic 12 個月方案首期實際收取的金額（計費方式為 12 個月加贈 3 個月）；之後以 $99.95/年自動續訂，這才是先前紀錄誤存為年度欄位本身的數字。

透明度報告。 P05/P06/P08/P09 現在以透過 Trust Center 找到的 ExpressVPN 半年一次透明度報告為依據（2025 年 7 月至 12 月：155 件政府／執法機關請求、0 次披露，另列出 3 份令狀）——先前的查找兩者都漏掉了。

金絲雀，以及該區塊的其餘部分。 找不到 ExpressVPN 的令狀金絲雀，也沒有任何主要聲明否認其存在，因此 P07 維持未知。P02/P03=none_known 以透明度報告系列和隱私政策對訴訟的立場為依據；P11=none_known 以該政策所述所有要求均須經由 BVI 法院處理為依據。P04=withdrew_physical 是 2022 年 6 月退出印度。

Mullvad VPN

此紀錄目前仍未解決的事項。

稽核週期。 Mullvad 在應用程式儲存庫中公開稽核索引，而該索引如實說明了週期：索引明確表示主要應用程式稽核每兩年進行一次，其間另有額外稽核；因此，規律性被紀錄為重複但沒有固定間隔，而不是年度系列——沒有人自稱有年度週期。

兩份報告，同一日期。 兩項個別委託共用 2026-02-17，紀錄也列出兩者：Assured 對 GotaTun（使用者空間的 WireGuard 實作）進行的程式碼審查（無嚴重、高或中等問題；兩個低嚴重性問題及九項備註），以及 Leviathan 對 Android 應用程式進行的 Mobile App Profile 評估，其合規報告將 February 17, 2026 列為評估日期，並將 AL2 列為保證等級。同一日期、兩份報告，沒有矛盾。

為何數量是八。 稽核數量為八，是因為 GotaTun 審查不在應用程式儲存庫自己的清單中。在這些之前，一項歷時 30 人日、涵蓋全部五個平台的 X41 D-Sec 審查發現六個漏洞——三個高、兩個中等、一個低，沒有嚴重漏洞。

沒有任何委託涵蓋的內容。 這些委託沒有任何一項涵蓋伺服器群：每一項檢查的都是應用程式或通道通訊協定，因此伺服器群涵蓋範圍被紀錄為不適用，而不是樣本。基礎架構方面的無日誌聲明因此僅以 2023 年 4 月的搜查令為依據——瑞典警方為取得客戶資料而來，卻未帶走任何資料——而不是依據任何稽核。

可重現建置，僅限 Android。 可重現建置僅限 Android，自版本 2025.2 起提供，因此該欄位維持部分狀態；桌面版與 iOS 建置無法逐位元驗證。Turkey 是提供清單中唯一的義務國家，而其背後的主機代管尚未確認。

沒有任何關於要求的公開資料。 紀錄中的任何內容都不是依據業者公開的、關於其收到的要求的資料：沒有透明度報告，也沒有金絲雀通知，因此 2023 年 4 月的查扣是該項唯一依據。Kill-switch 涵蓋範圍與 P2P 政策尚未確認；最新稽核是通訊協定程式碼審查，而不是無日誌委託，因此 V11 未作說明，留存主要依據聲明。

ExpressVPN

針對整筆紀錄。

Express Technologies Ltd. 自 2009 年起在英屬維京群島註冊成立，自 2021 年 9 月收購（$936M，Kape 自身的 about-us 頁面）起由 Kape Technologies plc 所有。TrustedServer 僅使用 RAM 的架構自 2022 年起每年由 KPMG 稽核（ISAE (UK) 3000 Type I，最近一次為 2025 年 2 月 28 日），以確認符合隱私政策，另有 PwC Switzerland（2019 年，TrustedServer）及 Cure53（2019 年瀏覽器擴充功能；2021 年 Lightway 通訊協定，已開放原始碼）進行稽核。

2025 年 KPMG 報告已直接閱讀（可信度 A）：伺服器會為每次連線寫入一筆假名事件（不含時間的日期、加鹽／雜湊的使用者名稱、國家＋ISP GeoIP、資料量、位置群組、通訊協定），但從不記錄 IP 位址或精確時間戳記；報告描述建置可在兩個獨立運作的建置系統間重現。

2017 年，土耳其當局在調查俄羅斯大使 Andrei Karlov 遇刺案時扣押了一台 ExpressVPN 伺服器，並未找到可用的紀錄（TorrentFreak 刊有 ExpressVPN 的贊助告知——已予註記但未排除，因為相關事實可由外部查核，而 ExpressVPN 自身的聲明頁面此後已回傳 HTTP 410，且 Wayback Machine 沒有快照）。

Mullvad VPN

針對整筆紀錄。

2023 年 4 月的搜索票是這份紀錄中最有力的單一項目：警方到場辦公室，最後一無所獲，這是實務證據而非紙面資料，其老化速度遠比稽核慢。所有方案的定價都是每月固定 5 EUR；U04_price_monthly 的數值為 5.80（Mullvad 在其自有頁面上列出的 USD 等值）；U04b_price_yearly 為 69.60，即按該費率計算的全年價格。