Proton VPN vs Surfshark

Proton VPN

此记录目前仍未解决的事项。

审计实际检查的内容。 无日志判定同时具有较强的结论性和狭窄的适用范围。Securitum 于 2025 年 8 月亲自检查了生产服务器，并且自 2022 年起每年都这样做。

报告自身说明的限制。 这是一次特定时点的检查，是由 Proton 工程师演示系统、而非在无人指导下进行的取证检查，也是代表性抽样、而非对整个服务器群的检查。CI/CD、源代码和账户管理系统被明确排除在范围之外，因此这里没有任何内容说明计费侧保存了什么。

上诉，以及它未能确定的内容。 这里引用了 2021 年 10 月 22 日的上诉，同时有一项值得明确说明的限定：Federal Administrative Court 裁定，email 服务不是电信服务商；无论判决报道还是 Proton 自己对此事的说明，都没有提到 VPN。

真正确定这两个字段的依据。 确定 C10 和 C11 的依据是，瑞士在名录自己的国家列表中没有义务依据；这份申诉印证了瑞士主管部门如何对待 Proton，但其本身并不是关于 Proton VPN 的判定。对同集团另一项服务作出的裁定，其依据没有出处所呈现的那么充分。

最大的单项空白。 Proton 在八个实行日志留存义务的国家设有出口位置。这些国家中是否确实有硬件位于其中任何一个，尚未确认：Proton 于 2022 年撤出了印度的实体服务器，并记录了从其他地点为其提供服务的位置所使用的 Smart Routing，这指向虚拟位置，但这仅针对印度得到验证。在这份记录中，确认 C09b_mandate_hosting 是最大的单项空白。

Surfshark

此记录目前仍未解决的事项。

两项价格。 U04_price_monthly=16.45 和 U04b_price_yearly=79.00 是 Surfshark Starter（VPN + Alternative ID）以 USD 计的续费金额。定价页面本身始终只显示促销首期费率，但《服务条款》链接到一个当前续费金额页面（surfshark.com/terms-of-service/pricing），其中按期限列出续费价格——应在美国 IP 下查看，因为货币按地理位置锁定。没有低于 Starter 的仅 VPN 级别。

没有任何主要文件确认的内容。 C00_architecture、C08_servers_ownership、U09、U11、V12/V13、X04、X06-X08、X10、X11 在可用时间内均未通过主要文件确认，因此留为未知。M11_owner_jurisdiction 和 X04_owner_group_history 带有与 nordvpn.json 中记录的相同空白：两个品牌的网站均未说明 Nord Security 自身的管辖地和记录。

印度与秘密命令制度。 P04_mandate_response=withdrew_physical 是 2022 年 6 月印度退出事件；在早先的检查发现 /trust-center 页面不再载有相关内容后，该信息根据 Surfshark 自己的博客（surfshark.com/blog/surfshark-servers-certin-india）恢复。P11=judicial_only 的依据是透明度报告，其中显示 2026 年 4 月 Amsterdam District Court 的搜查令，以及国家安全信函和秘密命令计数均为零。

找到两份报告，可能并非全部。 只找到两份已公开的 Deloitte 无日志报告（2022 年 12 月、2025 年 6 月）；可能还有其他未从 robots.txt 链接的报告，本次审计未通过其他方式搜索。

Proton VPN

针对整条记录。

2021 年迫使其进行前瞻性日志留存的瑞士命令针对的是 Proton Mail，而不是 VPN，因此有意不计入 P12：将同集团另一项产品所受命令的影响计入 VPN，说明的是 Proton AG 的事实，而不是这项服务的事实。

U08 为 all_platforms，因为支持文档提供了 Windows、macOS、Linux（GUI 和 CLI）、Android 以及 iOS/iPadOS 的启用步骤——也就是每个有应用的通道。该文档还说明了两个该值无法承载、而本说明可以记录的限制：在 macOS 上切换服务器期间，真实 IP 可能会短暂暴露；在 iOS 上，即使终止开关已开启，某些 Apple 服务的 DNS 请求仍可能绕过隧道。

U04b_price_yearly 记录的是 1-year VPN Plus 计划的首期费用：前 12 个月为 $53.88（$4.49/月）。定价页面在该费用旁边列出了自己的续费说明——"then renews at $83.88 every 12 months"（$6.99/月）——但这不是该字段的值。

Surfshark

针对整条记录。

surfshark.com 并不像 nordvpn.com 那样受到 Cloudflare 阻挡：robots.txt、静态页面，甚至两份 ISAE 3000 无日志鉴证报告 PDF 和 2025 年 12 月的 SecuRing 基础设施渗透测试报告，都可以直接获取；而 robots.txt 自己的 Disallow 列表列出了确切的 PDF 路径（显然是为了不让它们出现在搜索结果中，而不是为了阻止通过直接链接访问）。

两份审计 PDF 均已打开并完整阅读（级别 A）。2025 年报告的附录和隐私政策以相同措辞描述了同一记录：“用户 ID 和/或你的 IP 地址，以及连接 VPN 服务器的时间戳”，在会话结束后 15 分钟内自动删除。

此前已对这份记录阅读两次——根据审计措辞将 connection_timestamps 记入 V11，根据政策措辞将 source_ip 记入 C01——并按两者中较差者评分；这使十五分钟缓冲造成的扣减大于完全不作说明：C01 留空时的市场先验为 0.550，而 source_ip 为 0.750。

R29 现在划定了界线：在与会话结束相关的已声明时间窗口内删除状态属于连接本身，而不是连接记录，因此两个字段在同一句判定中都写作 connection_timestamps。仍计入的是超出会话生命周期的内容——政策第 2.3.1 节中的上次登录日期，以及审计员列出的连接时间戳。