ExpressVPN vs Proton VPN

ExpressVPN

針對整筆紀錄。

Express Technologies Ltd. 自 2009 年起在英屬維京群島註冊成立，自 2021 年 9 月收購（$936M，Kape 自身的 about-us 頁面）起由 Kape Technologies plc 所有。TrustedServer 僅使用 RAM 的架構自 2022 年起每年由 KPMG 稽核（ISAE (UK) 3000 Type I，最近一次為 2025 年 2 月 28 日），以確認符合隱私政策，另有 PwC Switzerland（2019 年，TrustedServer）及 Cure53（2019 年瀏覽器擴充功能；2021 年 Lightway 通訊協定，已開放原始碼）進行稽核。

2025 年 KPMG 報告已直接閱讀（可信度 A）：伺服器會為每次連線寫入一筆假名事件（不含時間的日期、加鹽／雜湊的使用者名稱、國家＋ISP GeoIP、資料量、位置群組、通訊協定），但從不記錄 IP 位址或精確時間戳記；報告描述建置可在兩個獨立運作的建置系統間重現。

2017 年，土耳其當局在調查俄羅斯大使 Andrei Karlov 遇刺案時扣押了一台 ExpressVPN 伺服器，並未找到可用的紀錄（TorrentFreak 刊有 ExpressVPN 的贊助告知——已予註記但未排除，因為相關事實可由外部查核，而 ExpressVPN 自身的聲明頁面此後已回傳 HTTP 410，且 Wayback Machine 沒有快照）。

Proton VPN

針對整筆紀錄。

2021 年迫使其進行前瞻性留存的瑞士命令，針對的是 Proton Mail，而不是 VPN，因此刻意未列入 P12：將同集團產品的命令歸責於 VPN，會是關於 Proton AG 的事實，而不是關於這項服務的事實。

U08 是 all_platforms，因為支援文件為 Windows、macOS、Linux（GUI 和 CLI）、Android 以及 iOS/iPadOS 提供啟用步驟——每個有應用程式的平台。相同文件記載了兩項該值無法承載、但本註記可以承載的限制：在 macOS 上，切換伺服器時真實 IP 位址可能會短暫暴露；在 iOS 上，即使已開啟終止開關，某些 Apple 服務的 DNS 請求仍可能繞過通道。

U04b_price_yearly 記錄 1 年 VPN Plus 方案的首期費用：前 12 個月為 $53.88（每月 $4.49）。定價頁面在該費用旁列出其自身的續訂說明——「之後每 12 個月以 $83.88 續訂」（每月 $6.99）——後者不是此欄位的值。

ExpressVPN

此紀錄目前仍未解決的事項。

已完成的滲透測試，以及未完成的那項。 滲透測試欄位由 Cure53 在 2024 年 10 月至 11 月對 Lightway 通訊協定進行的審查作為證據，該審查發現一項未經驗證資料片段的阻斷服務，評級為高，另有四項較輕微的問題。ExpressVPN 的信任中心列出一長串此類委託，因此其頻率確實存在；但其中沒有的是，與 KPMG 無日誌委託分開、針對伺服器群組的基礎架構滲透測試。

兩個價格，更正後。 定價頁面目前販售三種不同的方案期限——1 個月、12 個月和 2 年——而不是 2026 年 8 月 29 日讀取到的僅有 24 至 28 個月結構。U04_price_monthly=14.99 是 Basic 1 個月方案的價格，並以相同的 $14.99 自動續訂。U04b_price_yearly=59.85 是 Basic 12 個月方案首期實際收取的金額（計費方式為 12 個月加贈 3 個月）；之後以 $99.95/年自動續訂，這才是先前紀錄誤存為年度欄位本身的數字。

透明度報告。 P05/P06/P08/P09 現在以透過 Trust Center 找到的 ExpressVPN 半年一次透明度報告為依據（2025 年 7 月至 12 月：155 件政府／執法機關請求、0 次披露，另列出 3 份令狀）——先前的查找兩者都漏掉了。

金絲雀，以及該區塊的其餘部分。 找不到 ExpressVPN 的令狀金絲雀，也沒有任何主要聲明否認其存在，因此 P07 維持未知。P02/P03=none_known 以透明度報告系列和隱私政策對訴訟的立場為依據；P11=none_known 以該政策所述所有要求均須經由 BVI 法院處理為依據。P04=withdrew_physical 是 2022 年 6 月退出印度。

Proton VPN

此紀錄目前仍未解決的事項。

稽核實際檢查的內容。 無日誌判定同時強而狹窄。Securitum 於 2025 年 8 月親自檢查正式環境伺服器，且自 2022 年起每年均如此進行。

報告自行陳述的限制。 這是特定時間點的檢查，是由 Proton 工程師展示系統、而非無人監督的鑑識檢查，也是代表性樣本、而非整個伺服器群。CI/CD、原始碼與帳號管理系統明確不在範圍內，因此這裡沒有任何內容能說明計費端保存了什麼。

上訴，以及它未能確定的事項。 這裡引用 2021 年 10 月 22 日的上訴，同時有一項值得明白說出的保留：Federal Administrative Court 判定 電子郵件 服務不是電信業者，而判決相關報導與 Proton 自己對此事的說明都未提及 VPN。

實際決定這兩個欄位的事項。 決定 C10 和 C11 的依據是，瑞士在名錄自身的國家清單中沒有義務依據；該上訴佐證瑞士當局如何對待 Proton，但其本身並不是對 Proton VPN 的判定。對同集團服務的裁決，比出處呈現的依據更薄弱。

最大的單一未解事項。 Proton 在八個施加留存義務的國家提供出口位置。硬體實際是否位於其中任何一個國家，尚未確認：Proton 於 2022 年從印度撤出實體伺服器，並記載其為從其他地點提供服務的位置使用 Smart Routing，這指向虛擬位置，但這僅針對印度獲得驗證。在這份紀錄中，確認 C09b_mandate_hosting 是最大的單一未解事項。