Mullvad VPN vs Surfshark

Mullvad VPN

此紀錄目前仍未解決的事項。

稽核週期。 Mullvad 在應用程式儲存庫中公開稽核索引，而該索引如實說明了週期：索引明確表示主要應用程式稽核每兩年進行一次，其間另有額外稽核；因此，規律性被紀錄為重複但沒有固定間隔，而不是年度系列——沒有人自稱有年度週期。

兩份報告，同一日期。 兩項個別委託共用 2026-02-17，紀錄也列出兩者：Assured 對 GotaTun（使用者空間的 WireGuard 實作）進行的程式碼審查（無嚴重、高或中等問題；兩個低嚴重性問題及九項備註），以及 Leviathan 對 Android 應用程式進行的 Mobile App Profile 評估，其合規報告將 February 17, 2026 列為評估日期，並將 AL2 列為保證等級。同一日期、兩份報告，沒有矛盾。

為何數量是八。 稽核數量為八，是因為 GotaTun 審查不在應用程式儲存庫自己的清單中。在這些之前，一項歷時 30 人日、涵蓋全部五個平台的 X41 D-Sec 審查發現六個漏洞——三個高、兩個中等、一個低，沒有嚴重漏洞。

沒有任何委託涵蓋的內容。 這些委託沒有任何一項涵蓋伺服器群：每一項檢查的都是應用程式或通道通訊協定，因此伺服器群涵蓋範圍被紀錄為不適用，而不是樣本。基礎架構方面的無日誌聲明因此僅以 2023 年 4 月的搜查令為依據——瑞典警方為取得客戶資料而來，卻未帶走任何資料——而不是依據任何稽核。

可重現建置，僅限 Android。 可重現建置僅限 Android，自版本 2025.2 起提供，因此該欄位維持部分狀態；桌面版與 iOS 建置無法逐位元驗證。Turkey 是提供清單中唯一的義務國家，而其背後的主機代管尚未確認。

沒有任何關於要求的公開資料。 紀錄中的任何內容都不是依據業者公開的、關於其收到的要求的資料：沒有透明度報告，也沒有金絲雀通知，因此 2023 年 4 月的查扣是該項唯一依據。Kill-switch 涵蓋範圍與 P2P 政策尚未確認；最新稽核是通訊協定程式碼審查，而不是無日誌委託，因此 V11 未作說明，留存主要依據聲明。

Surfshark

此紀錄目前仍未解決的事項。

兩個價格。 U04_price_monthly=16.45 和 U04b_price_yearly=79.00 是 Surfshark Starter（VPN + Alternative ID）以 USD 計價的續訂金額。定價頁面本身只顯示促銷首期費率，但 ToS 連結到一個目前的定期收費金額頁面（surfshark.com/terms-of-service/pricing），其中依期間列出續訂價格——請在美國 IP 上查看，因為貨幣受地理位置鎖定。Starter 以下沒有僅含 VPN 的方案。

沒有任何主要文件確認的內容。 C00_architecture、C08_servers_ownership、U09、U11、V12/V13、X04、X06-X08、X10、X11 在可用時間內未能以主要文件確認，因此維持未知。M11_owner_jurisdiction 和 X04_owner_group_history 帶有與 nordvpn.json 相同的空白紀錄：兩個品牌的網站均未說明 Nord Security 自身的管轄地與紀錄。

印度與秘密命令制度。 P04_mandate_response=withdrew_physical 是 2022 年 6 月退出印度的紀錄；在較早的檢查發現 /trust-center 頁面不再載有此內容後，從 Surfshark 自有部落格（surfshark.com/blog/surfshark-servers-certin-india）恢復確認。P11=judicial_only 的依據是透明度報告，其中顯示 2026 年 4 月 Amsterdam District Court 的令狀，以及 National-Security-letter 和秘密命令計數均為零。

找到兩份報告，可能不是全部。 目前只找到已公開的兩份 Deloitte 無日誌報告（2022 年 12 月、2025 年 6 月）；可能還有其他未由 robots.txt 連結的報告，本次稽核未以其他方式搜尋。

Mullvad VPN

針對整筆紀錄。

2023 年 4 月的搜索票是這份紀錄中最有力的單一項目：警方到場辦公室，最後一無所獲，這是實務證據而非紙面資料，其老化速度遠比稽核慢。所有方案的定價都是每月固定 5 EUR；U04_price_monthly 的數值為 5.80（Mullvad 在其自有頁面上列出的 USD 等值）；U04b_price_yearly 為 69.60，即按該費率計算的全年價格。

Surfshark

針對整筆紀錄。

surfshark.com 並不像 nordvpn.com 那樣受到 Cloudflare 牆的阻擋：robots.txt、靜態頁面，甚至兩份 ISAE 3000 無日誌保證報告 PDF 與 2025 年 12 月的 SecuRing 基礎設施滲透測試報告，都可以直接擷取，而 robots.txt 自身的 Disallow 清單列出了確切的 PDF 路徑（顯然是要讓它們不出現在搜尋結果中，而不是要透過直接連結隱藏它們）。

兩份稽核 PDF 都已完整開啟並閱讀（等級 A）。2025 年報告的附錄與隱私政策以相同措辭描述相同紀錄：「使用者 ID 及／或您的 IP 位址，以及連線至 VPN 伺服器的時間戳記」，會在工作階段結束後 15 分鐘內自動刪除。

這份紀錄先前曾被閱讀兩次——依稽核措辭將 connection_timestamps 記入 V11，依政策措辭將 source_ip 記入 C01——並按兩者較差者評分，因此 15 分鐘的緩衝期造成的扣分，比完全不作說明更高：C01 留白時市場先驗為 0.550，而 source_ip 為 0.750。

R29 現在劃定界線：在與工作階段結束相繫的已宣告時間範圍內刪除的狀態是連線本身，而不是連線的紀錄，因此兩個欄位在同一句中都記為 connection_timestamps。仍會被計入的是超出工作階段存續的內容——政策第 2.3.1 節中的最後登入日期，以及稽核員列出的連線時間戳記。