CactusVPN vs RiseupVPN

CactusVPN

此记录目前仍未解决的事项。

管辖地。关于我们页面称 CactusVPN“始于摩尔多瓦的一家小公司”，但这是公司叙述，而非注册声明；《服务条款》完全没有规定适用法律或注册国家；Securitum 报告仅将客户列为“Cactus VPN LLC”，未附带任何管辖地。在找到注册记录或明确的管辖地条款之前，M06及由其派生的字段仍为未知。

义务托管。已公开的服务器列表中的全部25个国家，在本名录自身的表格中都带有数据留存义务，因此 C09b 在这里并不是一个狭义问题；但服务器位置页面没有区分任何位置的实体出口点与虚拟出口点，本次也未确认任何按国家划分的托管事实。

应用级标识符和商店声明。C07a、C12和X12仍为未知：本次未查阅 Play Store 数据安全表单或 Apple 隐私标签；Securitum 审计的白盒范围涵盖服务器端配置和 DNS/流量处理，但不涵盖移动客户端或扩展客户端自身向应用商店或分析 SDK 传输的内容。

透明度和金丝雀。网站上没有/transparency、/transparency-report、/warrant-canary或/canary路径可访问，网站地图中也没有出现此类页面；这是通过查找发现的缺失，而不是有出处支持的“无”，因此两个字段都仍为未知，而不是标记为无。

RiseupVPN

此记录目前仍未解决的事项。

未说明硬件所有权。 Riseup 自己的政府常见问题页面描述了其西雅图核心基础设施的实际控制权（“不托管在云中”），但没有说明位于蒙特利尔、巴黎和阿姆斯特丹的 VPN 网关机器；这些机器使用的 IP 地址段通常属于商业主机。C08_servers_ownership 仍为未知，而不是根据西雅图的说明作出假定。

最低限度的 VPN 日志仅通过排除来描述。 安全页面列出了 5 天轮换日志不包含的所有内容（没有 IP、没有指纹、没有 DNS 请求、没有元数据），但从未说明它实际包含什么。C01 根据这份排除清单填为 none_linkable，但想知道这些字节实际上是什么的读者在这里找不到答案。

有几个易用性字段完全没有可供查阅的文档。 在本次查找中发现的任何 RiseupVPN 页面上，都没有提及分流、同时使用的设备数量限制、P2P 政策或流媒体访问；而终止开关仅在桌面托盘客户端上得到确认，Android 上则未得到确认。

唯一的独立审计是客户端/基础设施渗透测试，而不是日志审计。2025 年的 SRLabs 报告检查了 Bitmask 和 Menshen bridge registrar 的拦截与 DPI 风险；报告从未询问 VPN 服务器留存什么，因此 V11_audit_findings 为 not_stated，而 C01 中的留存声明仅凭 Riseup 自身的说法。

经常被用来指责 Riseup 的 2012 年扣押事件并未涉及 Riseup 自己的数据。 美国联邦人员从 Riseup 与 May First/People Link 共用的一处托管设施中带走了一台服务器，但该机器及其数据属于第三个租户 European Counter Network；其中没有 Riseup 账户或用户数据，这就是为何 P01_seizure_event 记为 none_known，而不是将一个从来不是 Riseup 需要应对的事件计入其中。

CactusVPN

针对整条记录。

Securitum 项目于2026年4月20日至5月7日进行，共九人日，采用白盒方式，检查了 CactusVPN 所列约25个服务器国家中的四个国家的四台生产服务器，以及VPN客户端的连接行为（包括用于测试的 Linux 应用；该应用不在下载页面当前列出的平台之中——显然是手动/旧版客户端访问，而不是已列出的产品）。

该报告是 Securitum 定制的安全评估，而不是 ISAE 3000 或 SOC 2 项目，因此 V07/V15 记录的是这一事实，而不是猜测某个鉴证等级。

价格包含续费费率保证：年付（$70/年）和 2 年付（$95/2年）套餐均声明将“终身”按相同的锁定价格续费；这在本名录的服务商中并不常见，并且不属于一次性终身付费方案（X07=no）。

RiseupVPN

针对整条记录。

RiseupVPN 是 Riseup Networks 的免费客户端。Riseup Networks 是一家自 1999 年起运营的美国 501(c)(4) 非营利集体（riseup.net）；该 VPN 本身不收取费用，完全依靠捐赠维持，因此 U04/U04b 为 not_applicable。RiseupVPN 是较早的 Bitmask/Riseup-Black 客户端的重新品牌版本，构建于 LEAP 平台之上；其四个网关（西雅图、蒙特利尔、巴黎、阿姆斯特丹）均位于根据 countries.csv 承担日志记录义务的国家，且当地托管采用物理方式而非虚拟方式。