NordVPN vs Proton VPN

NordVPN

针对整条记录。

nordvpn.com 本身会向本次审计所使用的每一次非浏览器抓取（包括无头抓取工具）返回 Cloudflare 机器人挑战（403）；本记录中对 nordvpn.com 页面所作的每一处出处，均通过第三方阅读器代理（r.jina.ai）获取，该代理在服务器端渲染页面，而不是直接向该域名发出请求。

法律文件（隐私政策、条款）位于单独的域名 my.nordaccount.com 上，无法从 nordvpn.com 自己的站点地图中发现——只能通过渲染页面上的页脚链接进入。第六份 Deloitte 无日志保证报告（签发于 2025-12-12）根据 NordVPN 自己的博客文章明确要求登录（“我们不会公开发布摘录……请登录您的 Nord Account”），因此 V11_audit_findings 记录为 not_stated，而不是根据公告摘要推断留存结论，依照 R23。

2018 年芬兰数据中心遭到的入侵是第三方入侵，而不是执法机关扣押——在 P12_case_history 下记录为 kind=breach，而不是 P01_seizure_event。NordVPN 自己的说明（nordvpn.com/blog/official-response-datacenter-breach/）和 Bloomberg 当时的报道一致表明，该披露是在外部研究人员于 Twitter 上提出指控后进行的，而不是 NordVPN 主动发起——因此使用 third_party_disclosed，而不是 self_disclosed_late。

NordVPN 和 Surfshark 共有一个母公司（Nord Security），但两家公司的合并公告均称基础设施和产品路线图彼此独立；基于此，M18 设为分开。

Proton VPN

针对整条记录。

2021 年迫使其进行前瞻性日志留存的瑞士命令针对的是 Proton Mail，而不是 VPN，因此有意不计入 P12：将同集团另一项产品所受命令的影响计入 VPN，说明的是 Proton AG 的事实，而不是这项服务的事实。

U08 为 all_platforms，因为支持文档提供了 Windows、macOS、Linux（GUI 和 CLI）、Android 以及 iOS/iPadOS 的启用步骤——也就是每个有应用的通道。该文档还说明了两个该值无法承载、而本说明可以记录的限制：在 macOS 上切换服务器期间，真实 IP 可能会短暂暴露；在 iOS 上，即使终止开关已开启，某些 Apple 服务的 DNS 请求仍可能绕过隧道。

U04b_price_yearly 记录的是 1-year VPN Plus 计划的首期费用：前 12 个月为 $53.88（$4.49/月）。定价页面在该费用旁边列出了自己的续费说明——"then renews at $83.88 every 12 months"（$6.99/月）——但这不是该字段的值。

NordVPN

此记录目前仍未解决的事项。

两项价格。 U04b_price_yearly=139.08 和 U04_price_monthly=14.99 是以 USD 计的 Basic 层续订价格，依据美国 IP 访问 nordvpn.com/pricing 读取（该页面按地理位置锁定货币；一年期套餐宣传前 12 个月为 $5.49/月，之后为 $139.08/年）。

透明度页面，重新核读。 P-block 已根据 NordVPN 的透明度页面（nordvpn.com/blog/nordvpn-introduces-transparency-reports/，每日更新）重新核读：2024 年 10 月，巴拿马检察机关的一份具有约束力的令状迫使 NordVPN 交出付款数据，以及确认某个给定电子邮件对应的账户存在——这是记录中唯一一次终身披露（P02/P03/P12）。

金丝雀，以及取代它的季度。 同一页面停用令状金丝雀（P07=removed），改为季度透明度报告；最近一个完整季度（2026 年 4 月至 6 月）显示有 85 次政府查询和 0 次披露，因此 P08/P09 针对的是该期间，而不是终身数据。

印度，以及秘密命令制度。 P04=withdrew_physical 指的是 2022 年 6 月退出印度。P11=none_known 依据该页面关于 NordVPN 未收到具有约束力的 National Security 信函或秘密命令的说明，以及巴拿马不存在此类制度这一事实。

Proton VPN

此记录目前仍未解决的事项。

审计实际检查的内容。 无日志判定同时具有较强的结论性和狭窄的适用范围。Securitum 于 2025 年 8 月亲自检查了生产服务器，并且自 2022 年起每年都这样做。

报告自身说明的限制。 这是一次特定时点的检查，是由 Proton 工程师演示系统、而非在无人指导下进行的取证检查，也是代表性抽样、而非对整个服务器群的检查。CI/CD、源代码和账户管理系统被明确排除在范围之外，因此这里没有任何内容说明计费侧保存了什么。

上诉，以及它未能确定的内容。 这里引用了 2021 年 10 月 22 日的上诉，同时有一项值得明确说明的限定：Federal Administrative Court 裁定，email 服务不是电信服务商；无论判决报道还是 Proton 自己对此事的说明，都没有提到 VPN。

真正确定这两个字段的依据。 确定 C10 和 C11 的依据是，瑞士在名录自己的国家列表中没有义务依据；这份申诉印证了瑞士主管部门如何对待 Proton，但其本身并不是关于 Proton VPN 的判定。对同集团另一项服务作出的裁定，其依据没有出处所呈现的那么充分。

最大的单项空白。 Proton 在八个实行日志留存义务的国家设有出口位置。这些国家中是否确实有硬件位于其中任何一个，尚未确认：Proton 于 2022 年撤出了印度的实体服务器，并记录了从其他地点为其提供服务的位置所使用的 Smart Routing，这指向虚拟位置，但这仅针对印度得到验证。在这份记录中，确认 C09b_mandate_hosting 是最大的单项空白。