Mullvad VPN vs Surfshark

Mullvad VPN

此紀錄目前仍未解決的事項。

稽核週期。 Mullvad 在應用程式儲存庫發布稽核索引，而該索引如實說明週期：索引明確指出主要應用程式稽核每兩年進行一次，中間另有額外稽核；因此規律性被紀錄為重複但無固定間隔，而不是年度系列——沒有人聲稱有年度週期。

兩份報告，同一日期。 兩項獨立工作共用 2026-02-17，而紀錄列明兩者：Assured 對 GotaTun（使用者空間 WireGuard 實作）的程式碼審查（沒有嚴重、高或中等問題；有兩項低程度問題及九項備註），以及 Leviathan 對 Android 應用程式進行的 Mobile App Profile 評估，其合規報告將 2026 年 2 月 17 日列為評估日期，並將 AL2 列為保證級別。一個日期、兩份報告、沒有矛盾。

為何數目是八。 稽核數目是八，因為 GotaTun 審查不在應用程式儲存庫自己的清單內。在這些稽核之前，一項涵蓋全部五個平台、歷時 30 人日的 X41 D-Sec 審查發現六個漏洞——三個高程度、兩個中等、一個低程度，沒有嚴重漏洞。

沒有任何工作涵蓋的範圍。 這些工作沒有任何一項涵蓋伺服器群組：每一項檢視的都是應用程式或隧道通訊協定，因此伺服器群組覆蓋範圍被紀錄為不適用，而不是樣本。因此，基礎設施方面的無日誌聲稱依據的是 2023 年 4 月的搜查令——瑞典警方為取得客戶資料而來，最終空手而回——而不是任何稽核。

可重現建置，僅限 Android。 可重現建置僅限 Android，並由版本 2025.2 起提供，因此該欄位維持部分狀態；桌面及 iOS 建置無法逐位元驗證。提供的名單上只有土耳其是一個義務國家，而其背後的託管並未確認。

沒有任何關於要求的已公開內容。 紀錄中沒有任何內容是建基於業者就其收到的要求所發布的資料：沒有透明度報告，也沒有搜查令金絲雀，因此 2023 年 4 月的查扣單獨承擔這項依據。緊急停止開關覆蓋範圍及 P2P 政策尚未確認；最新稽核是通訊協定程式碼審查，而不是無日誌工作，因此 V11 沒有內容，留存依據聲明。

Surfshark

此紀錄目前仍未解決的事項。

兩個價格。 U04_price_monthly=16.45 及 U04b_price_yearly=79.00 是 Surfshark Starter（VPN + Alternative ID）的 USD 續訂價格。定價頁面本身只顯示首個期限的促銷價格，但服務條款連結至一個列出按期限劃分的現行續訂金額頁面（surfshark.com/terms-of-service/pricing）——須在 US IP 位址下查看，因為貨幣受地理位置限制。沒有低於 Starter 的純 VPN 方案。

沒有任何第一手文件確認的內容。 C00_architecture、C08_servers_ownership、U09、U11、V12/V13、X04、X06-X08、X10、X11 在可用時間內未能以第一手文件確認，因此仍列為未知。M11_owner_jurisdiction 及 X04_owner_group_history 帶有與 nordvpn.json 相同的空白紀錄：Nord Security 自身的管轄地及紀錄均未在任何一個品牌的網站上列明。

印度，以及秘密命令制度。 P04_mandate_response=withdrew_physical 是 2022年6月退出印度的紀錄；在較早的一輪查找發現 /trust-center 頁面已不再載有該內容後，這項紀錄從 Surfshark 自己的網誌（surfshark.com/blog/surfshark-servers-certin-india）恢復。P11=judicial_only 建基於透明度報告，該報告顯示 2026年4月 Amsterdam District Court 的手令，以及 National-Security-letter 和秘密命令的計數均為零。

找到兩份報告，未必是全部。 找到的已公開 Deloitte 無日誌報告只有兩份（2022年12月、2025年6月）；可能還有其他未從 robots.txt 連結的報告，而本次稽核沒有透過其他方式搜尋。

Mullvad VPN

針對整筆紀錄。

2023年4月的搜查令是這份紀錄中最有力的單一項目：警方到過辦公室，但一無所獲；這是實務證據而非紙面資料，其隨時間失效的速度遠低於稽核。所有期限的定價均為每月 5 EUR 的固定價格；U04_price_monthly 為 5.80（Mullvad 在其頁面上列出的等值 USD）；U04b_price_yearly 為 69.60，即按該價格計算的全年費用。

Surfshark

針對整筆紀錄。

surfshark.com 並不像 nordvpn.com 那樣被 Cloudflare 阻擋：robots.txt、靜態頁面，甚至兩份 ISAE 3000 無日誌鑑證報告 PDF 及 2025年12月的 SecuRing 基礎設施滲透測試報告，均可直接擷取，而 robots.txt 自己的 Disallow 清單列出了確切的 PDF 路徑（顯然是要讓它們不出現在搜尋結果中，而不是要透過直接連結隱藏它們）。

兩份稽核 PDF 均已開啟並完整閱讀（level A）。2025 年報告的附錄及私隱政策以相同措辭描述相同紀錄：『用戶 ID 及／或你的 IP 位址，以及連接 VPN 伺服器的時間戳記』，在工作階段結束後 15 分鐘內自動刪除。

這項紀錄此前已被閱讀兩次——根據稽核措辭在 V11 中讀作 connection_timestamps，根據政策措辭在 C01 中讀作 source_ip——並按兩者較差者評分；這使 15 分鐘緩衝的代價高於完全不作說明：C01 留白時的市場先驗為 0.550，而 source_ip 為 0.750。

R29 現在劃清界線：在與工作階段結束相關的指定時限內刪除的狀態是連線本身，而不是其紀錄，因此兩個欄位在同一句中都讀作 connection_timestamps。仍會計入的是超出工作階段存續的內容——政策第 2.3.1 節的最後登入日期，以及稽核員點名的連線時間戳記。