NordVPN vs Windscribe

NordVPN

針對整筆紀錄。

nordvpn.com 本身會對本次稽核中使用的每一次非瀏覽器擷取（包括無頭擷取工具）回傳 Cloudflare 機器人挑戰（403）；本紀錄中對 nordvpn.com 頁面的每一個出處，都是透過第三方讀取代理（r.jina.ai）取得，由伺服器端呈現頁面，而不是直接向該網域發出請求。

法律文件（隱私政策、條款）位於獨立網域 my.nordaccount.com，無法從 nordvpn.com 自身的網站地圖中找到——只能透過呈現頁面上的頁尾連結進入。第六份 Deloitte 無日誌稽核保證報告（發布於 2025年12月12日）依 NordVPN 自身的部落格文章明確受到登入限制（「we don't publish excerpts publicly... log in to your Nord Account」），因此依 R23，V11_audit_findings 記錄為 not_stated，而不是根據公告摘要推論留存判定。

2018 年 Finland 資料中心遭入侵是第三方入侵，而不是執法機關查扣——在 P12_case_history 下記錄為 kind=breach，而不是 P01_seizure_event。NordVPN 自身的說明（nordvpn.com/blog/official-response-datacenter-breach/）與 Bloomberg 當時的報導一致指出，揭露是在外部研究人員於 Twitter 提出指控後發生，而不是由 NordVPN 主動發起——因此採用 third_party_disclosed，而不是 self_disclosed_late。

NordVPN 與 Surfshark 共有同一母公司（Nord Security），但兩家公司的合併公告都指出基礎架構與產品路線圖各自獨立；基於此，M18 設為分開。

Windscribe

針對整筆紀錄。

三個管轄地中的三項不同要求，沒有任何一項產生資料，而且三項都有日期。這就是建立實務路徑來定價的紀錄：它的權重高於稽核，因為後者是滲透測試，而不是無日誌稽核。

U08 在 Windscribe 自己的功能頁面上是 desktop_only：Firewall 隨附於 Windows、Mac 及 Linux 應用程式，而在 Android 和 iOS 上，該頁面改為引導使用者使用作業系統本身的 Always-On VPN。這是平台的功能，而不是業者提供的功能；欄位計算的正是這項區分。

U12b 基於相同依據仍屬部分確認——行銷頁面承諾可解除封鎖，但支援文章指出公司無法保證所有串流服務都能運作，另一篇文章則將 Netflix 僅顯示 Originals 歸因於 Netflix 自身的 VPN 偵測。

NordVPN

此紀錄目前仍未解決的事項。

兩個價格。 U04b_price_yearly=139.08 與 U04_price_monthly=14.99 是以 USD 計價的 Basic 層級續約價格，從美國 IP 讀取 nordvpn.com/pricing 得出（該頁面依地理位置鎖定貨幣；一年期方案標示前 12 個月每月 $5.49，之後為每年 $139.08）。

透明度頁面，重新讀取。 重新對照 NordVPN 的透明度頁面（nordvpn.com/blog/nordvpn-introduces-transparency-reports/，每日更新）檢視 P 區塊：2024 年 10 月，巴拿馬檢察官辦公室發出的具約束力令狀迫使 NordVPN 交出付款資料，以及確認某個電子郵件所對應的帳號存在——這是紀錄中唯一的全期間揭露（P02/P03/P12）。

金絲雀，以及取代它的季度。 同一頁面撤下令狀金絲雀（P07=removed），改為季度透明度報告；最近一個完整季度（2026 年 4 月至 6 月）顯示有 85 件政府查詢、0 件揭露，因此 P08/P09 對應的是該期間，而非全期間數字。

印度，以及秘密命令制度。 P04=withdrew_physical 是 2022 年 6 月退出印度。P11=none_known 的依據，是該頁面聲明 NordVPN 從未收到具約束力的國家安全函或秘密命令，以及巴拿馬不存在這類制度。

Windscribe

此紀錄目前仍未解決的事項。

滲透測試發現了什麼。 安全分數依據 2024 年 6 月的 Packetlabs 報告，並以負面方向解讀該報告。滲透測試發現，IKEv2 服務會將連線使用者的原始 IP 位址，以及工作階段開始與結束時間，儲存在揮發性記憶體中，也儲存在磁碟上；微服務紀錄則帶有 OpenVPN 憑證、WireGuard 預先共享金鑰及 IKEv2 使用者名稱。

重新測試，以及其自身的限制。 三週後的重新測試確認所有問題都已完成修補——但報告自身的結論指出，這「並未涵蓋該發現中記載的每一項發現」，並將該發現的一部分歸因於測試節點上部署不當的組態。

為何留存是依該發現定價。 因此，留存是依據稽核人員證明可連達的內容定價，而不是依據政策宣告的內容；完整性通道承載兩者之間的差距。應將其解讀為一個節點上兩年前的發現，而不是目前的測量結果：範圍僅有 ca-023.windscribe.com；要確認此事，需要涵蓋更多伺服器的新一輪稽核。

從未讀取的榜單。 所提供的國家榜單從未被讀取，因此既無法計算易用性國家分數，也無法計算義務交集——Windscribe 公開了實體／虛擬的區分，只要讀取該榜單，C09b 在此即可回答。使用者規模也尚未確認，這使暴露區間所依據的內容少於應有程度。

現在三起事件引用的出處。 AIN.UA 仍載有 2021 年 6 月 24 日被扣押的烏克蘭伺服器，而 Windscribe 自己的部落格則載有於 2025 年 4 月 11 日駁回的希臘案件。荷蘭扣押事件及扣押欄位本身現在引用 Windscribe 自己的無日誌頁面，而不是最初報導此事、由聯盟付費的媒體：公司對自身扣押事件的說明是第一手資料，而不是他人對該事件的說明。烏克蘭事件的日期以扣押本身為準，而不是以報導日期為準。