ExpressVPN vs Proton VPN

ExpressVPN

针对整条记录。

Express Technologies Ltd.自2009年起在英属维尔京群岛注册成立，自2021年9月收购（936M美元，Kape自有about-us页面）以来由Kape Technologies plc所有。TrustedServer仅使用RAM的架构自2022年以来每年均由KPMG审计（ISAE (UK) 3000 Type I，最近一次为2025年2月28日），以审查其是否符合隐私政策；此外还有PwC Switzerland（2019年，TrustedServer）和Cure53（2019年浏览器扩展；2021年Lightway协议，已开源）的审计。

2025年KPMG报告已直接阅读（可信度A）：服务器为每次连接写入一条伪名事件记录（不含时间的日期、加盐/哈希用户名、国家+ISP GeoIP、数据量、位置组、协议），但从不记录IP地址或精确时间戳；报告称构建过程可在两个独立运营的构建系统之间复现。

2017年，土耳其当局在调查俄罗斯大使Andrei Karlov遇刺案时扣押了一台ExpressVPN服务器，并未发现可用日志（TorrentFreak带有ExpressVPN的赞助声明——已记录但未排除，因为相关事实可由外部核查，且ExpressVPN自有声明页面此后已返回HTTP 410，Wayback Machine也没有快照）。

2021年9月，DOJ与ExpressVPN首席信息官Daniel Gericke就其此前于2016年至2018年参与阿联酋“Project Raven”黑客行动达成的Deferred Prosecution Agreement公开；主要DPA文件本身从未点名ExpressVPN（该文件仅涉及他此前在阿联酋的任职）——ExpressVPN与该事件的关联来自ExpressVPN自有声明和媒体声明。ExpressVPN继续雇用Gericke，并公开发表了为这一决定辩护的声明。

Proton VPN

针对整条记录。

2021 年迫使其进行前瞻性日志留存的瑞士命令针对的是 Proton Mail，而不是 VPN，因此有意不计入 P12：将同集团另一项产品所受命令的影响计入 VPN，说明的是 Proton AG 的事实，而不是这项服务的事实。

U08 为 all_platforms，因为支持文档提供了 Windows、macOS、Linux（GUI 和 CLI）、Android 以及 iOS/iPadOS 的启用步骤——也就是每个有应用的通道。该文档还说明了两个该值无法承载、而本说明可以记录的限制：在 macOS 上切换服务器期间，真实 IP 可能会短暂暴露；在 iOS 上，即使终止开关已开启，某些 Apple 服务的 DNS 请求仍可能绕过隧道。

U04b_price_yearly 记录的是 1-year VPN Plus 计划的首期费用：前 12 个月为 $53.88（$4.49/月）。定价页面在该费用旁边列出了自己的续费说明——"then renews at $83.88 every 12 months"（$6.99/月）——但这不是该字段的值。

ExpressVPN

此记录目前仍未解决的事项。

渗透测试，以及未进行的那项。 渗透测试字段有 Cure53 于 2024年10月至11月 对 Lightway 协议进行审查的支持；审查发现一项被评为高的未经身份验证数据片段拒绝服务问题，另有四项较轻的问题。ExpressVPN 的信任中心列出了很长一系列此类工作，因此其频率确实存在；但其中没有与 KPMG 无日志工作分开的服务器群基础设施渗透测试。

两项价格，更正。 定价页面现在销售三种不同的计划期限——1个月、12个月和2年——而不是 2026年8月29日 所读到的仅有 24至28个月期限的结构。U04_price_monthly=14.99 是 Basic 1个月计划的价格，并以相同的 $14.99 自动续订。U04b_price_yearly=59.85 是 Basic 12个月计划首期实际收取的金额（按 12个月加 3个月赠期计费）；之后按 $99.95/年自动续订，这正是之前的记录误存为年度字段本身的数值。

透明度报告。 P05/P06/P08/P09 现在以通过信任中心获取的 ExpressVPN 半年度透明度报告为依据（2025年7月至12月：155项政府/执法请求、0次披露，另列出3份令状）；此前的记录遗漏了这两项。

金丝雀，以及该区块的其余部分。 未找到 ExpressVPN 的令状金丝雀，也没有主要声明否认其存在，因此 P07 保持未知。P02/P03=none_known 依据透明度报告系列和隐私政策对诉讼的立场；P11=none_known 依据该政策关于所有要求均通过 BVI 法院处理的声明。P04=withdrew_physical 是 2022年6月退出印度。

Proton VPN

此记录目前仍未解决的事项。

审计实际检查的内容。 无日志判定同时具有较强的结论性和狭窄的适用范围。Securitum 于 2025 年 8 月亲自检查了生产服务器，并且自 2022 年起每年都这样做。

报告自身说明的限制。 这是一次特定时点的检查，是由 Proton 工程师演示系统、而非在无人指导下进行的取证检查，也是代表性抽样、而非对整个服务器群的检查。CI/CD、源代码和账户管理系统被明确排除在范围之外，因此这里没有任何内容说明计费侧保存了什么。

上诉，以及它未能确定的内容。 这里引用了 2021 年 10 月 22 日的上诉，同时有一项值得明确说明的限定：Federal Administrative Court 裁定，email 服务不是电信服务商；无论判决报道还是 Proton 自己对此事的说明，都没有提到 VPN。

真正确定这两个字段的依据。 确定 C10 和 C11 的依据是，瑞士在名录自己的国家列表中没有义务依据；这份申诉印证了瑞士主管部门如何对待 Proton，但其本身并不是关于 Proton VPN 的判定。对同集团另一项服务作出的裁定，其依据没有出处所呈现的那么充分。

最大的单项空白。 Proton 在八个实行日志留存义务的国家设有出口位置。这些国家中是否确实有硬件位于其中任何一个，尚未确认：Proton 于 2022 年撤出了印度的实体服务器，并记录了从其他地点为其提供服务的位置所使用的 Smart Routing，这指向虚拟位置，但这仅针对印度得到验证。在这份记录中，确认 C09b_mandate_hosting 是最大的单项空白。