ExpressVPN vs Surfshark

ExpressVPN

此紀錄目前仍未解決的事項。

已完成的滲透測試，以及未完成的那項。 滲透測試欄位由 Cure53 在 2024 年 10 月至 11 月對 Lightway 通訊協定進行的審查作為證據，該審查發現一項未經驗證資料片段的阻斷服務，評級為高，另有四項較輕微的問題。ExpressVPN 的信任中心列出一長串此類委託，因此其頻率確實存在；但其中沒有的是，與 KPMG 無日誌委託分開、針對伺服器群組的基礎架構滲透測試。

兩個價格，更正後。 定價頁面目前販售三種不同的方案期限——1 個月、12 個月和 2 年——而不是 2026 年 8 月 29 日讀取到的僅有 24 至 28 個月結構。U04_price_monthly=14.99 是 Basic 1 個月方案的價格，並以相同的 $14.99 自動續訂。U04b_price_yearly=59.85 是 Basic 12 個月方案首期實際收取的金額（計費方式為 12 個月加贈 3 個月）；之後以 $99.95/年自動續訂，這才是先前紀錄誤存為年度欄位本身的數字。

透明度報告。 P05/P06/P08/P09 現在以透過 Trust Center 找到的 ExpressVPN 半年一次透明度報告為依據（2025 年 7 月至 12 月：155 件政府／執法機關請求、0 次披露，另列出 3 份令狀）——先前的查找兩者都漏掉了。

金絲雀，以及該區塊的其餘部分。 找不到 ExpressVPN 的令狀金絲雀，也沒有任何主要聲明否認其存在，因此 P07 維持未知。P02/P03=none_known 以透明度報告系列和隱私政策對訴訟的立場為依據；P11=none_known 以該政策所述所有要求均須經由 BVI 法院處理為依據。P04=withdrew_physical 是 2022 年 6 月退出印度。

Surfshark

此紀錄目前仍未解決的事項。

兩個價格。 U04_price_monthly=16.45 和 U04b_price_yearly=79.00 是 Surfshark Starter（VPN + Alternative ID）以 USD 計價的續訂金額。定價頁面本身只顯示促銷首期費率，但 ToS 連結到一個目前的定期收費金額頁面（surfshark.com/terms-of-service/pricing），其中依期間列出續訂價格——請在美國 IP 上查看，因為貨幣受地理位置鎖定。Starter 以下沒有僅含 VPN 的方案。

沒有任何主要文件確認的內容。 C00_architecture、C08_servers_ownership、U09、U11、V12/V13、X04、X06-X08、X10、X11 在可用時間內未能以主要文件確認，因此維持未知。M11_owner_jurisdiction 和 X04_owner_group_history 帶有與 nordvpn.json 相同的空白紀錄：兩個品牌的網站均未說明 Nord Security 自身的管轄地與紀錄。

印度與秘密命令制度。 P04_mandate_response=withdrew_physical 是 2022 年 6 月退出印度的紀錄；在較早的檢查發現 /trust-center 頁面不再載有此內容後，從 Surfshark 自有部落格（surfshark.com/blog/surfshark-servers-certin-india）恢復確認。P11=judicial_only 的依據是透明度報告，其中顯示 2026 年 4 月 Amsterdam District Court 的令狀，以及 National-Security-letter 和秘密命令計數均為零。

找到兩份報告，可能不是全部。 目前只找到已公開的兩份 Deloitte 無日誌報告（2022 年 12 月、2025 年 6 月）；可能還有其他未由 robots.txt 連結的報告，本次稽核未以其他方式搜尋。

ExpressVPN

針對整筆紀錄。

Express Technologies Ltd. 自 2009 年起在英屬維京群島註冊成立，自 2021 年 9 月收購（$936M，Kape 自身的 about-us 頁面）起由 Kape Technologies plc 所有。TrustedServer 僅使用 RAM 的架構自 2022 年起每年由 KPMG 稽核（ISAE (UK) 3000 Type I，最近一次為 2025 年 2 月 28 日），以確認符合隱私政策，另有 PwC Switzerland（2019 年，TrustedServer）及 Cure53（2019 年瀏覽器擴充功能；2021 年 Lightway 通訊協定，已開放原始碼）進行稽核。

2025 年 KPMG 報告已直接閱讀（可信度 A）：伺服器會為每次連線寫入一筆假名事件（不含時間的日期、加鹽／雜湊的使用者名稱、國家＋ISP GeoIP、資料量、位置群組、通訊協定），但從不記錄 IP 位址或精確時間戳記；報告描述建置可在兩個獨立運作的建置系統間重現。

2017 年，土耳其當局在調查俄羅斯大使 Andrei Karlov 遇刺案時扣押了一台 ExpressVPN 伺服器，並未找到可用的紀錄（TorrentFreak 刊有 ExpressVPN 的贊助告知——已予註記但未排除，因為相關事實可由外部查核，而 ExpressVPN 自身的聲明頁面此後已回傳 HTTP 410，且 Wayback Machine 沒有快照）。

Surfshark

針對整筆紀錄。

surfshark.com 並不像 nordvpn.com 那樣受到 Cloudflare 牆的阻擋：robots.txt、靜態頁面，甚至兩份 ISAE 3000 無日誌保證報告 PDF 與 2025 年 12 月的 SecuRing 基礎設施滲透測試報告，都可以直接擷取，而 robots.txt 自身的 Disallow 清單列出了確切的 PDF 路徑（顯然是要讓它們不出現在搜尋結果中，而不是要透過直接連結隱藏它們）。

兩份稽核 PDF 都已完整開啟並閱讀（等級 A）。2025 年報告的附錄與隱私政策以相同措辭描述相同紀錄：「使用者 ID 及／或您的 IP 位址，以及連線至 VPN 伺服器的時間戳記」，會在工作階段結束後 15 分鐘內自動刪除。

這份紀錄先前曾被閱讀兩次——依稽核措辭將 connection_timestamps 記入 V11，依政策措辭將 source_ip 記入 C01——並按兩者較差者評分，因此 15 分鐘的緩衝期造成的扣分，比完全不作說明更高：C01 留白時市場先驗為 0.550，而 source_ip 為 0.750。

R29 現在劃定界線：在與工作階段結束相繫的已宣告時間範圍內刪除的狀態是連線本身，而不是連線的紀錄，因此兩個欄位在同一句中都記為 connection_timestamps。仍會被計入的是超出工作階段存續的內容——政策第 2.3.1 節中的最後登入日期，以及稽核員列出的連線時間戳記。