NordVPN vs Windscribe

NordVPN

此记录目前仍未解决的事项。

两项价格。 U04b_price_yearly=139.08 和 U04_price_monthly=14.99 是以 USD 计的 Basic 层续订价格，依据美国 IP 访问 nordvpn.com/pricing 读取（该页面按地理位置锁定货币；一年期套餐宣传前 12 个月为 $5.49/月，之后为 $139.08/年）。

透明度页面，重新核读。 P-block 已根据 NordVPN 的透明度页面（nordvpn.com/blog/nordvpn-introduces-transparency-reports/，每日更新）重新核读：2024 年 10 月，巴拿马检察机关的一份具有约束力的令状迫使 NordVPN 交出付款数据，以及确认某个给定电子邮件对应的账户存在——这是记录中唯一一次终身披露（P02/P03/P12）。

金丝雀，以及取代它的季度。 同一页面停用令状金丝雀（P07=removed），改为季度透明度报告；最近一个完整季度（2026 年 4 月至 6 月）显示有 85 次政府查询和 0 次披露，因此 P08/P09 针对的是该期间，而不是终身数据。

印度，以及秘密命令制度。 P04=withdrew_physical 指的是 2022 年 6 月退出印度。P11=none_known 依据该页面关于 NordVPN 未收到具有约束力的 National Security 信函或秘密命令的说明，以及巴拿马不存在此类制度这一事实。

Windscribe

此记录目前仍未解决的事项。

渗透测试发现的内容。 安全得分依据 2024 年 6 月的 Packetlabs 报告，并按不利方向解读该报告。渗透测试发现，IKEv2 服务将连接用户的源 IP 以及会话开始和结束时间存储在易失性内存中，也存储在磁盘上；微服务日志中还带有 OpenVPN 凭据、WireGuard 预共享密钥和 IKEv2 用户名。

复测及其自身的限定。 三周后的复测确认上述问题均已修复——但报告自身的结论称，这“并未涵盖所发现内容中记录的每一项”，并将该发现的一部分归因于测试节点上部署不当的配置。

为何依据该发现评估留存。 因此，留存依据审计员证明可访问的内容，而不是依据政策声明的内容进行评估，完整性通道则记录了两者之间的差距。应将其理解为一个节点上两年前的发现，而不是当前测量结果：范围仅包括 ca-023.windscribe.com；只有覆盖更多服务器的新一期评估才能对此作出定论。

从未读取的榜单。 提供的国家榜单从未被读取，因此既无法计算国家易用性得分，也无法计算义务交集——Windscribe 公开了物理/虚拟的区分，因此只要读取该榜单，C09b 在此即可作答。用户规模同样尚未确认，这使暴露区间所依据的信息少于应有水平。

如今三个事件各自引用的出处。 AIN.UA 仍保留 2021 年 6 月 24 日被扣押的乌克兰服务器，Windscribe 自己的博客则保留 2025 年 4 月 11 日被驳回的希腊案件。荷兰扣押事件以及扣押字段本身如今引用 Windscribe 自己的无日志页面，而不是最初报道此事的联盟付费媒体：公司对自身被扣押事件的说明属于第一手资料，而不是他人对该事件的说明。乌克兰事件的日期取扣押发生日，而不是文章发布日期。

NordVPN

针对整条记录。

nordvpn.com 本身会向本次审计所使用的每一次非浏览器抓取（包括无头抓取工具）返回 Cloudflare 机器人挑战（403）；本记录中对 nordvpn.com 页面所作的每一处出处，均通过第三方阅读器代理（r.jina.ai）获取，该代理在服务器端渲染页面，而不是直接向该域名发出请求。

法律文件（隐私政策、条款）位于单独的域名 my.nordaccount.com 上，无法从 nordvpn.com 自己的站点地图中发现——只能通过渲染页面上的页脚链接进入。第六份 Deloitte 无日志保证报告（签发于 2025-12-12）根据 NordVPN 自己的博客文章明确要求登录（“我们不会公开发布摘录……请登录您的 Nord Account”），因此 V11_audit_findings 记录为 not_stated，而不是根据公告摘要推断留存结论，依照 R23。

2018 年芬兰数据中心遭到的入侵是第三方入侵，而不是执法机关扣押——在 P12_case_history 下记录为 kind=breach，而不是 P01_seizure_event。NordVPN 自己的说明（nordvpn.com/blog/official-response-datacenter-breach/）和 Bloomberg 当时的报道一致表明，该披露是在外部研究人员于 Twitter 上提出指控后进行的，而不是 NordVPN 主动发起——因此使用 third_party_disclosed，而不是 self_disclosed_late。

NordVPN 和 Surfshark 共有一个母公司（Nord Security），但两家公司的合并公告均称基础设施和产品路线图彼此独立；基于此，M18 设为分开。

Windscribe

针对整条记录。

三个管辖地提出了三项独立要求，没有一项产生数据，而且三项都有日期。这就是为评估该做法而建立的记录路径：它的分量超过审计，因为后者是渗透测试，而不是无日志评估。

在 Windscribe 自己的功能页面上，U08 为 desktop_only：Firewall 随 Windows、Mac 和 Linux 应用提供，而在 Android 和 iOS 上，该页面转而引导用户使用操作系统自己的 Always-On VPN。这是平台提供的功能，而非服务商提供的功能；字段所计入的正是这一点区别。

U12b 同样仅部分确认，依据相同——营销页面承诺可解锁，而支持文章称公司无法保证所有流媒体服务都能运行，第二篇文章则将 Netflix 仅显示 Originals 归因于 Netflix 自己的 VPN 检测。