Mullvad VPN vs NordVPN

Mullvad VPN

此紀錄目前仍未解決的事項。

稽核週期。 Mullvad 在應用程式儲存庫中公開稽核索引，而該索引如實說明了週期：索引明確表示主要應用程式稽核每兩年進行一次，其間另有額外稽核；因此，規律性被紀錄為重複但沒有固定間隔，而不是年度系列——沒有人自稱有年度週期。

兩份報告，同一日期。 兩項個別委託共用 2026-02-17，紀錄也列出兩者：Assured 對 GotaTun（使用者空間的 WireGuard 實作）進行的程式碼審查（無嚴重、高或中等問題；兩個低嚴重性問題及九項備註），以及 Leviathan 對 Android 應用程式進行的 Mobile App Profile 評估，其合規報告將 February 17, 2026 列為評估日期，並將 AL2 列為保證等級。同一日期、兩份報告，沒有矛盾。

為何數量是八。 稽核數量為八，是因為 GotaTun 審查不在應用程式儲存庫自己的清單中。在這些之前，一項歷時 30 人日、涵蓋全部五個平台的 X41 D-Sec 審查發現六個漏洞——三個高、兩個中等、一個低，沒有嚴重漏洞。

沒有任何委託涵蓋的內容。 這些委託沒有任何一項涵蓋伺服器群：每一項檢查的都是應用程式或通道通訊協定，因此伺服器群涵蓋範圍被紀錄為不適用，而不是樣本。基礎架構方面的無日誌聲明因此僅以 2023 年 4 月的搜查令為依據——瑞典警方為取得客戶資料而來，卻未帶走任何資料——而不是依據任何稽核。

可重現建置，僅限 Android。 可重現建置僅限 Android，自版本 2025.2 起提供，因此該欄位維持部分狀態；桌面版與 iOS 建置無法逐位元驗證。Turkey 是提供清單中唯一的義務國家，而其背後的主機代管尚未確認。

沒有任何關於要求的公開資料。 紀錄中的任何內容都不是依據業者公開的、關於其收到的要求的資料：沒有透明度報告，也沒有金絲雀通知，因此 2023 年 4 月的查扣是該項唯一依據。Kill-switch 涵蓋範圍與 P2P 政策尚未確認；最新稽核是通訊協定程式碼審查，而不是無日誌委託，因此 V11 未作說明，留存主要依據聲明。

NordVPN

此紀錄目前仍未解決的事項。

兩個價格。 U04b_price_yearly=139.08 與 U04_price_monthly=14.99 是以 USD 計價的 Basic 層級續約價格，從美國 IP 讀取 nordvpn.com/pricing 得出（該頁面依地理位置鎖定貨幣；一年期方案標示前 12 個月每月 $5.49，之後為每年 $139.08）。

透明度頁面，重新讀取。 重新對照 NordVPN 的透明度頁面（nordvpn.com/blog/nordvpn-introduces-transparency-reports/，每日更新）檢視 P 區塊：2024 年 10 月，巴拿馬檢察官辦公室發出的具約束力令狀迫使 NordVPN 交出付款資料，以及確認某個電子郵件所對應的帳號存在——這是紀錄中唯一的全期間揭露（P02/P03/P12）。

金絲雀，以及取代它的季度。 同一頁面撤下令狀金絲雀（P07=removed），改為季度透明度報告；最近一個完整季度（2026 年 4 月至 6 月）顯示有 85 件政府查詢、0 件揭露，因此 P08/P09 對應的是該期間，而非全期間數字。

印度，以及秘密命令制度。 P04=withdrew_physical 是 2022 年 6 月退出印度。P11=none_known 的依據，是該頁面聲明 NordVPN 從未收到具約束力的國家安全函或秘密命令，以及巴拿馬不存在這類制度。

Mullvad VPN

針對整筆紀錄。

2023 年 4 月的搜索票是這份紀錄中最有力的單一項目：警方到場辦公室，最後一無所獲，這是實務證據而非紙面資料，其老化速度遠比稽核慢。所有方案的定價都是每月固定 5 EUR；U04_price_monthly 的數值為 5.80（Mullvad 在其自有頁面上列出的 USD 等值）；U04b_price_yearly 為 69.60，即按該費率計算的全年價格。

NordVPN

針對整筆紀錄。

nordvpn.com 本身會對本次稽核中使用的每一次非瀏覽器擷取（包括無頭擷取工具）回傳 Cloudflare 機器人挑戰（403）；本紀錄中對 nordvpn.com 頁面的每一個出處，都是透過第三方讀取代理（r.jina.ai）取得，由伺服器端呈現頁面，而不是直接向該網域發出請求。

法律文件（隱私政策、條款）位於獨立網域 my.nordaccount.com，無法從 nordvpn.com 自身的網站地圖中找到——只能透過呈現頁面上的頁尾連結進入。第六份 Deloitte 無日誌稽核保證報告（發布於 2025年12月12日）依 NordVPN 自身的部落格文章明確受到登入限制（「we don't publish excerpts publicly... log in to your Nord Account」），因此依 R23，V11_audit_findings 記錄為 not_stated，而不是根據公告摘要推論留存判定。

2018 年 Finland 資料中心遭入侵是第三方入侵，而不是執法機關查扣——在 P12_case_history 下記錄為 kind=breach，而不是 P01_seizure_event。NordVPN 自身的說明（nordvpn.com/blog/official-response-datacenter-breach/）與 Bloomberg 當時的報導一致指出，揭露是在外部研究人員於 Twitter 提出指控後發生，而不是由 NordVPN 主動發起——因此採用 third_party_disclosed，而不是 self_disclosed_late。

NordVPN 與 Surfshark 共有同一母公司（Nord Security），但兩家公司的合併公告都指出基礎架構與產品路線圖各自獨立；基於此，M18 設為分開。