ExpressVPN
此记录目前仍未解决的事项。
渗透测试，以及未进行的那项。 渗透测试字段有 Cure53 于 2024年10月至11月 对 Lightway 协议进行审查的支持；审查发现一项被评为高的未经身份验证数据片段拒绝服务问题，另有四项较轻的问题。ExpressVPN 的信任中心列出了很长一系列此类工作，因此其频率确实存在；但其中没有与 KPMG 无日志工作分开的服务器群基础设施渗透测试。
两项价格，更正。 定价页面现在销售三种不同的计划期限——1个月、12个月和2年——而不是 2026年8月29日 所读到的仅有 24至28个月期限的结构。U04_price_monthly=14.99 是 Basic 1个月计划的价格，并以相同的 $14.99 自动续订。U04b_price_yearly=59.85 是 Basic 12个月计划首期实际收取的金额（按 12个月加 3个月赠期计费）；之后按 $99.95/年自动续订，这正是之前的记录误存为年度字段本身的数值。
透明度报告。 P05/P06/P08/P09 现在以通过信任中心获取的 ExpressVPN 半年度透明度报告为依据（2025年7月至12月：155项政府/执法请求、0次披露，另列出3份令状）；此前的记录遗漏了这两项。
金丝雀，以及该区块的其余部分。 未找到 ExpressVPN 的令状金丝雀，也没有主要声明否认其存在，因此 P07 保持未知。P02/P03=none_known 依据透明度报告系列和隐私政策对诉讼的立场；P11=none_known 依据该政策关于所有要求均通过 BVI 法院处理的声明。P04=withdrew_physical 是 2022年6月退出印度。
其余未解决事项 — 还有14字
从未公开的内容。 订阅者数量（M08）和服务器总数（U03）未公开。无法从检查过的任何页面确认服务器硬件所有权（C08：自有还是租用）以及应用层设备标识符（C12）。
106个国家，而自称为113个。 U02_server_countries反映了ExpressVPN自有站点地图中的105个国家落地页，另加中国（在线/vpn-server页面上已确认“Available - Virtual Locations”，但没有专属落地页）——共106个代码，而该网站自有营销宣传自称“113 Countries”；在线服务器位置页面是一个非常大的按协议划分的表格，未进行穷尽解析，因此106与113之间的空白被报告出来，但未得到解决。
介于两个类别之间的审计发现。 V11_audit_findings记录为session_metadata，而不是none_linkable或aggregates_only：2025年KPMG报告描述了每次连接的结构化记录（国家、ISP、日期、协议、数据量、稳定的加盐哈希伪名），这超过了纯汇总数据，但缺少IP和精确时间——对于该字段的四个中间类别而言，这是一个确实模糊的案例。
本轮未检查。 ExpressVPN的覆盖范围是否存在于联盟网站之外（X08）、其联盟付款档位（X10），以及由所有者运营的评测媒体是否标示出所有权关联（X11），均未在本轮检查。
P2P，已查找但不存在。 U12a_p2p_allowed因不同于其余字段的原因保持未知：已进行查找，但未公开。无论是站点地图（578个页面和支持URL）还是服务条款，均未在任何地方提及P2P、BitTorrent或文件共享，而每个其他已编目的服务商都在其自有文档中说明了自己的立场。支持文章或条款中的一项条款可以消除这一未知状态；评测网站称其可用则不能。
NordVPN
此记录目前仍未解决的事项。
两项价格。 U04b_price_yearly=139.08 和 U04_price_monthly=14.99 是以 USD 计的 Basic 层续订价格，依据美国 IP 访问 nordvpn.com/pricing 读取（该页面按地理位置锁定货币；一年期套餐宣传前 12 个月为 $5.49/月，之后为 $139.08/年）。
透明度页面，重新核读。 P-block 已根据 NordVPN 的透明度页面（nordvpn.com/blog/nordvpn-introduces-transparency-reports/，每日更新）重新核读：2024 年 10 月，巴拿马检察机关的一份具有约束力的令状迫使 NordVPN 交出付款数据，以及确认某个给定电子邮件对应的账户存在——这是记录中唯一一次终身披露（P02/P03/P12）。
金丝雀，以及取代它的季度。 同一页面停用令状金丝雀（P07=removed），改为季度透明度报告；最近一个完整季度（2026 年 4 月至 6 月）显示有 85 次政府查询和 0 次披露，因此 P08/P09 针对的是该期间，而不是终身数据。
印度，以及秘密命令制度。 P04=withdrew_physical 指的是 2022 年 6 月退出印度。P11=none_known 依据该页面关于 NordVPN 未收到具有约束力的 National Security 信函或秘密命令的说明，以及巴拿马不存在此类制度这一事实。
其余未解决事项 — 还有85字
无人能够核查的保证级别。 NordVPN 将 Deloitte Lithuania 的工作描述为根据 ISAE 3000 (Revised) 开展的合理保证业务，这本应是更强的形式；可供查阅的 PIA 报告则载明了有限保证结论。
为何不计入更高等级。 该模型现在会对这一差异定价，而本记录不因其受益：V15_assurance_strength 为未知，因为对等级的唯一说明来自 NordVPN，所述报告在 Nord Account 之外无人可以打开。在这里，登录后才能查看的文档在任何等级上都不算证据，因此该项按市场标准而非据称已达到的等级计入。
登录后才能查看的报告。 该报告本身只有登录 Nord Account 后才能阅读，因此该关系之外无人核查过其范围，这里的每个审计字段所依据的都是 NordVPN 对它的自有摘要，而不是该文档本身。这一点，而不是针对该服务的判定，是本记录在名录中最薄弱的原因。
所有者字段。 M11_owner_jurisdiction 和 X04_owner_group_history 为未知：nordvpn.com 和 nordsecurity.com 将 Nord Security 列为所有者，但两者都没有说明 Nord Security 自身的注册管辖地，也没有说明该集团以往的记录；二手媒体报道将一家名为“Cyberspace”的控股实体与荷兰联系起来，依据是 2022 年的合并，但在可用时间内未能对照 Nord Security 或 NordVPN 的主要页面予以确认。
完全无法阅读的内容。 2025 年 Deloitte 报告的全文完全无法阅读（登录限制），因此除政策自身在 C01_linkable_retention 中的自称外，没有记录任何留存判定。
无法打开的服务器表。 C09b_mandate_hosting 为未知：在本次审计能够呈现的折叠面板状态下，实时的逐国服务器表仅显示美洲地区的物理/虚拟状态；欧洲、亚太和非洲/中东部分（其中包括该服务网络覆盖的几个有相关义务的国家，例如服务器 API 中的 AE、IN、TR、VN、IQ、KZ）在点击后通过客户端加载，未能展开。
保留为未知，而非据此断言。 C04-C07、U06（审查证明）、U11、V12-V14、X06、X07、X10 和 X11 未能根据主要文档独立确认，因此保留为未知，而非依据二手报道作出断言。
留下一个疑问，但不计入扣分。 X12 仍有一个未决疑问，但不因此计入扣分：com.nordvpn.android 的 Play 数据安全表在 Android 上将“已安装的应用”列在分析之下，而 NordVPN 隐私声明仅在一处提到已安装的应用——反恶意软件漏洞扫描——并将对应用名称和版本的处理范围限定为 Windows。
为何仍显示为匹配。 该类别已公开说明，而 R28 不会因平台范围差异作出判定，因此该值显示为 matches_policy；但 Android 的用途并不是声明所描述的用途，只有 NordVPN 能说明两者中哪一个写错了。
