ExpressVPN vs Mullvad VPN

ExpressVPN

针对整条记录。

Express Technologies Ltd.自2009年起在英属维尔京群岛注册成立，自2021年9月收购（936M美元，Kape自有about-us页面）以来由Kape Technologies plc所有。TrustedServer仅使用RAM的架构自2022年以来每年均由KPMG审计（ISAE (UK) 3000 Type I，最近一次为2025年2月28日），以审查其是否符合隐私政策；此外还有PwC Switzerland（2019年，TrustedServer）和Cure53（2019年浏览器扩展；2021年Lightway协议，已开源）的审计。

2025年KPMG报告已直接阅读（可信度A）：服务器为每次连接写入一条伪名事件记录（不含时间的日期、加盐/哈希用户名、国家+ISP GeoIP、数据量、位置组、协议），但从不记录IP地址或精确时间戳；报告称构建过程可在两个独立运营的构建系统之间复现。

2017年，土耳其当局在调查俄罗斯大使Andrei Karlov遇刺案时扣押了一台ExpressVPN服务器，并未发现可用日志（TorrentFreak带有ExpressVPN的赞助声明——已记录但未排除，因为相关事实可由外部核查，且ExpressVPN自有声明页面此后已返回HTTP 410，Wayback Machine也没有快照）。

2021年9月，DOJ与ExpressVPN首席信息官Daniel Gericke就其此前于2016年至2018年参与阿联酋“Project Raven”黑客行动达成的Deferred Prosecution Agreement公开；主要DPA文件本身从未点名ExpressVPN（该文件仅涉及他此前在阿联酋的任职）——ExpressVPN与该事件的关联来自ExpressVPN自有声明和媒体声明。ExpressVPN继续雇用Gericke，并公开发表了为这一决定辩护的声明。

Mullvad VPN

针对整条记录。

2023年4月的搜查令是这份记录中最有力的单项证据：警方到过办公室，却什么也没带走，这是实务证据而非纸面证据，其老化速度远慢于审计。所有期限的价格均为每月固定 5 EUR；U04_price_monthly 为 5.80（Mullvad在其自有页面上注明的美元等值金额）；U04b_price_yearly 为 69.60，即按该价格计算的全年费用。

ExpressVPN

此记录目前仍未解决的事项。

渗透测试，以及未进行的那项。 渗透测试字段有 Cure53 于 2024年10月至11月 对 Lightway 协议进行审查的支持；审查发现一项被评为高的未经身份验证数据片段拒绝服务问题，另有四项较轻的问题。ExpressVPN 的信任中心列出了很长一系列此类工作，因此其频率确实存在；但其中没有与 KPMG 无日志工作分开的服务器群基础设施渗透测试。

两项价格，更正。 定价页面现在销售三种不同的计划期限——1个月、12个月和2年——而不是 2026年8月29日 所读到的仅有 24至28个月期限的结构。U04_price_monthly=14.99 是 Basic 1个月计划的价格，并以相同的 $14.99 自动续订。U04b_price_yearly=59.85 是 Basic 12个月计划首期实际收取的金额（按 12个月加 3个月赠期计费）；之后按 $99.95/年自动续订，这正是之前的记录误存为年度字段本身的数值。

透明度报告。 P05/P06/P08/P09 现在以通过信任中心获取的 ExpressVPN 半年度透明度报告为依据（2025年7月至12月：155项政府/执法请求、0次披露，另列出3份令状）；此前的记录遗漏了这两项。

金丝雀，以及该区块的其余部分。 未找到 ExpressVPN 的令状金丝雀，也没有主要声明否认其存在，因此 P07 保持未知。P02/P03=none_known 依据透明度报告系列和隐私政策对诉讼的立场；P11=none_known 依据该政策关于所有要求均通过 BVI 法院处理的声明。P04=withdrew_physical 是 2022年6月退出印度。

Mullvad VPN

此记录目前仍未解决的事项。

审计频率。 Mullvad 在应用仓库中发布了审计索引，而且该索引如实说明了频率：索引明确指出，主应用审计每两年进行一次，中间还会有额外审计；因此，规律性被记录为以无固定间隔重复，而不是年度系列——没有任何人声称存在年度频率。

两份报告，同一日期。 两个独立项目共用 2026-02-17，记录将两者都列出：Assured 对 GotaTun（用户空间 WireGuard 实现）的代码审查（无严重、高危或中危问题；有两个低危问题和九条备注），以及 Leviathan 对 Android 应用进行的 Mobile App Profile 评估，其合规报告给出的评估日期为 2026 年 2 月 17 日，保证级别为 AL2。同一日期，两份报告，没有矛盾。

为何数量为八。 审计数量为八，是因为 GotaTun 审查不在应用仓库自己的列表中。在此之前，一次覆盖全部五个平台、耗时 30 人日的 X41 D-Sec 审查发现了六个漏洞——三个高危、两个中危、一个低危，没有严重漏洞。

没有任何项目涵盖的内容。 这些项目没有一个涵盖服务器群组：它们每一个审查的都是应用或隧道协议，因此服务器群组覆盖范围被记录为不适用，而不是样本。基础设施方面的无日志声明因此依托于 2023 年 4 月的搜查令——瑞典警方为获取客户数据而来，却空手而归——而不是任何审计。

可复现构建，仅限 Android。 可复现构建仅适用于 Android，从版本 2025.2 起提供，因此该字段仍为部分覆盖；桌面版和 iOS 构建无法逐位验证。土耳其是所提供列表中唯一的义务国家，其背后的托管情况未确认。

没有发布任何关于要求的信息。 记录中的任何内容都不依赖于服务商发布的、关于其收到的要求的信息：没有透明度报告，也没有秘密命令金丝雀，因此 2023 年 4 月的扣押是唯一依据。终止开关覆盖范围和 P2P 政策均未确认；最新审计是协议代码审查，而不是无日志项目，因此 V11 未作说明，留存主要依赖该声明。