CactusVPN vs Mullvad VPN

CactusVPN

此记录目前仍未解决的事项。

管辖地。关于我们页面称 CactusVPN“始于摩尔多瓦的一家小公司”，但这是公司叙述，而非注册声明；《服务条款》完全没有规定适用法律或注册国家；Securitum 报告仅将客户列为“Cactus VPN LLC”，未附带任何管辖地。在找到注册记录或明确的管辖地条款之前，M06及由其派生的字段仍为未知。

义务托管。已公开的服务器列表中的全部25个国家，在本名录自身的表格中都带有数据留存义务，因此 C09b 在这里并不是一个狭义问题；但服务器位置页面没有区分任何位置的实体出口点与虚拟出口点，本次也未确认任何按国家划分的托管事实。

应用级标识符和商店声明。C07a、C12和X12仍为未知：本次未查阅 Play Store 数据安全表单或 Apple 隐私标签；Securitum 审计的白盒范围涵盖服务器端配置和 DNS/流量处理，但不涵盖移动客户端或扩展客户端自身向应用商店或分析 SDK 传输的内容。

透明度和金丝雀。网站上没有/transparency、/transparency-report、/warrant-canary或/canary路径可访问，网站地图中也没有出现此类页面；这是通过查找发现的缺失，而不是有出处支持的“无”，因此两个字段都仍为未知，而不是标记为无。

Mullvad VPN

此记录目前仍未解决的事项。

审计频率。 Mullvad 在应用仓库中发布了审计索引，而且该索引如实说明了频率：索引明确指出，主应用审计每两年进行一次，中间还会有额外审计；因此，规律性被记录为以无固定间隔重复，而不是年度系列——没有任何人声称存在年度频率。

两份报告，同一日期。 两个独立项目共用 2026-02-17，记录将两者都列出：Assured 对 GotaTun（用户空间 WireGuard 实现）的代码审查（无严重、高危或中危问题；有两个低危问题和九条备注），以及 Leviathan 对 Android 应用进行的 Mobile App Profile 评估，其合规报告给出的评估日期为 2026 年 2 月 17 日，保证级别为 AL2。同一日期，两份报告，没有矛盾。

为何数量为八。 审计数量为八，是因为 GotaTun 审查不在应用仓库自己的列表中。在此之前，一次覆盖全部五个平台、耗时 30 人日的 X41 D-Sec 审查发现了六个漏洞——三个高危、两个中危、一个低危，没有严重漏洞。

没有任何项目涵盖的内容。 这些项目没有一个涵盖服务器群组：它们每一个审查的都是应用或隧道协议，因此服务器群组覆盖范围被记录为不适用，而不是样本。基础设施方面的无日志声明因此依托于 2023 年 4 月的搜查令——瑞典警方为获取客户数据而来，却空手而归——而不是任何审计。

可复现构建，仅限 Android。 可复现构建仅适用于 Android，从版本 2025.2 起提供，因此该字段仍为部分覆盖；桌面版和 iOS 构建无法逐位验证。土耳其是所提供列表中唯一的义务国家，其背后的托管情况未确认。

没有发布任何关于要求的信息。 记录中的任何内容都不依赖于服务商发布的、关于其收到的要求的信息：没有透明度报告，也没有秘密命令金丝雀，因此 2023 年 4 月的扣押是唯一依据。终止开关覆盖范围和 P2P 政策均未确认；最新审计是协议代码审查，而不是无日志项目，因此 V11 未作说明，留存主要依赖该声明。

CactusVPN

针对整条记录。

Securitum 项目于2026年4月20日至5月7日进行，共九人日，采用白盒方式，检查了 CactusVPN 所列约25个服务器国家中的四个国家的四台生产服务器，以及VPN客户端的连接行为（包括用于测试的 Linux 应用；该应用不在下载页面当前列出的平台之中——显然是手动/旧版客户端访问，而不是已列出的产品）。

该报告是 Securitum 定制的安全评估，而不是 ISAE 3000 或 SOC 2 项目，因此 V07/V15 记录的是这一事实，而不是猜测某个鉴证等级。

价格包含续费费率保证：年付（$70/年）和 2 年付（$95/2年）套餐均声明将“终身”按相同的锁定价格续费；这在本名录的服务商中并不常见，并且不属于一次性终身付费方案（X07=no）。

Mullvad VPN

针对整条记录。

2023年4月的搜查令是这份记录中最有力的单项证据：警方到过办公室，却什么也没带走，这是实务证据而非纸面证据，其老化速度远慢于审计。所有期限的价格均为每月固定 5 EUR；U04_price_monthly 为 5.80（Mullvad在其自有页面上注明的美元等值金额）；U04b_price_yearly 为 69.60，即按该价格计算的全年费用。