Proton VPN vs Surfshark

Proton VPN

此紀錄目前仍未解決的事項。

稽核實際檢查的內容。 無日誌判定同時強而狹窄。Securitum 於 2025 年 8 月親自檢查正式環境伺服器，且自 2022 年起每年均如此進行。

報告自行陳述的限制。 這是特定時間點的檢查，是由 Proton 工程師展示系統、而非無人監督的鑑識檢查，也是代表性樣本、而非整個伺服器群。CI/CD、原始碼與帳號管理系統明確不在範圍內，因此這裡沒有任何內容能說明計費端保存了什麼。

上訴，以及它未能確定的事項。 這裡引用 2021 年 10 月 22 日的上訴，同時有一項值得明白說出的保留：Federal Administrative Court 判定 電子郵件 服務不是電信業者，而判決相關報導與 Proton 自己對此事的說明都未提及 VPN。

實際決定這兩個欄位的事項。 決定 C10 和 C11 的依據是，瑞士在名錄自身的國家清單中沒有義務依據；該上訴佐證瑞士當局如何對待 Proton，但其本身並不是對 Proton VPN 的判定。對同集團服務的裁決，比出處呈現的依據更薄弱。

最大的單一未解事項。 Proton 在八個施加留存義務的國家提供出口位置。硬體實際是否位於其中任何一個國家，尚未確認：Proton 於 2022 年從印度撤出實體伺服器，並記載其為從其他地點提供服務的位置使用 Smart Routing，這指向虛擬位置，但這僅針對印度獲得驗證。在這份紀錄中，確認 C09b_mandate_hosting 是最大的單一未解事項。

Surfshark

此紀錄目前仍未解決的事項。

兩個價格。 U04_price_monthly=16.45 和 U04b_price_yearly=79.00 是 Surfshark Starter（VPN + Alternative ID）以 USD 計價的續訂金額。定價頁面本身只顯示促銷首期費率，但 ToS 連結到一個目前的定期收費金額頁面（surfshark.com/terms-of-service/pricing），其中依期間列出續訂價格——請在美國 IP 上查看，因為貨幣受地理位置鎖定。Starter 以下沒有僅含 VPN 的方案。

沒有任何主要文件確認的內容。 C00_architecture、C08_servers_ownership、U09、U11、V12/V13、X04、X06-X08、X10、X11 在可用時間內未能以主要文件確認，因此維持未知。M11_owner_jurisdiction 和 X04_owner_group_history 帶有與 nordvpn.json 相同的空白紀錄：兩個品牌的網站均未說明 Nord Security 自身的管轄地與紀錄。

印度與秘密命令制度。 P04_mandate_response=withdrew_physical 是 2022 年 6 月退出印度的紀錄；在較早的檢查發現 /trust-center 頁面不再載有此內容後，從 Surfshark 自有部落格（surfshark.com/blog/surfshark-servers-certin-india）恢復確認。P11=judicial_only 的依據是透明度報告，其中顯示 2026 年 4 月 Amsterdam District Court 的令狀，以及 National-Security-letter 和秘密命令計數均為零。

找到兩份報告，可能不是全部。 目前只找到已公開的兩份 Deloitte 無日誌報告（2022 年 12 月、2025 年 6 月）；可能還有其他未由 robots.txt 連結的報告，本次稽核未以其他方式搜尋。

Proton VPN

針對整筆紀錄。

2021 年迫使其進行前瞻性留存的瑞士命令，針對的是 Proton Mail，而不是 VPN，因此刻意未列入 P12：將同集團產品的命令歸責於 VPN，會是關於 Proton AG 的事實，而不是關於這項服務的事實。

U08 是 all_platforms，因為支援文件為 Windows、macOS、Linux（GUI 和 CLI）、Android 以及 iOS/iPadOS 提供啟用步驟——每個有應用程式的平台。相同文件記載了兩項該值無法承載、但本註記可以承載的限制：在 macOS 上，切換伺服器時真實 IP 位址可能會短暫暴露；在 iOS 上，即使已開啟終止開關，某些 Apple 服務的 DNS 請求仍可能繞過通道。

U04b_price_yearly 記錄 1 年 VPN Plus 方案的首期費用：前 12 個月為 $53.88（每月 $4.49）。定價頁面在該費用旁列出其自身的續訂說明——「之後每 12 個月以 $83.88 續訂」（每月 $6.99）——後者不是此欄位的值。

Surfshark

針對整筆紀錄。

surfshark.com 並不像 nordvpn.com 那樣受到 Cloudflare 牆的阻擋：robots.txt、靜態頁面，甚至兩份 ISAE 3000 無日誌保證報告 PDF 與 2025 年 12 月的 SecuRing 基礎設施滲透測試報告，都可以直接擷取，而 robots.txt 自身的 Disallow 清單列出了確切的 PDF 路徑（顯然是要讓它們不出現在搜尋結果中，而不是要透過直接連結隱藏它們）。

兩份稽核 PDF 都已完整開啟並閱讀（等級 A）。2025 年報告的附錄與隱私政策以相同措辭描述相同紀錄：「使用者 ID 及／或您的 IP 位址，以及連線至 VPN 伺服器的時間戳記」，會在工作階段結束後 15 分鐘內自動刪除。

這份紀錄先前曾被閱讀兩次——依稽核措辭將 connection_timestamps 記入 V11，依政策措辭將 source_ip 記入 C01——並按兩者較差者評分，因此 15 分鐘的緩衝期造成的扣分，比完全不作說明更高：C01 留白時市場先驗為 0.550，而 source_ip 為 0.750。

R29 現在劃定界線：在與工作階段結束相繫的已宣告時間範圍內刪除的狀態是連線本身，而不是連線的紀錄，因此兩個欄位在同一句中都記為 connection_timestamps。仍會被計入的是超出工作階段存續的內容——政策第 2.3.1 節中的最後登入日期，以及稽核員列出的連線時間戳記。