Proton VPN vs Surfshark

Proton VPN

針對整筆紀錄。

2021 年迫使 Proton Mail 進行前瞻性記錄留存的瑞士命令，針對的是 Proton Mail 而不是 VPN，因此刻意不列入 P12：把同系產品所受命令的影響歸於 VPN，會是關於 Proton AG 的事實，而不是關於這項服務。

U08 是 all_platforms，因為支援文件為 Windows、macOS、Linux（GUI 和 CLI）、Android 以及 iOS/iPadOS 提供啟用步驟——每個有應用程式的平台。相同文件列明兩項該值無法承載、而本註記可以承載的限制：在 macOS 上切換伺服器時，真實 IP 可能會短暫暴露；在 iOS 上，即使已開啟 kill switch，部分 Apple 服務的 DNS 請求仍可能繞過通道。

U04b_price_yearly 紀錄 1 年 VPN Plus 計劃的首期收費：首 12 個月為 $53.88（每月 $4.49），這在定價頁面上其續期行旁邊列明——「其後每 12 個月以 $83.88 續期」（每月 $6.99）——而這不是該欄位的值。

Surfshark

針對整筆紀錄。

surfshark.com 並不像 nordvpn.com 那樣被 Cloudflare 阻擋：robots.txt、靜態頁面，甚至兩份 ISAE 3000 無日誌鑑證報告 PDF 及 2025年12月的 SecuRing 基礎設施滲透測試報告，均可直接擷取，而 robots.txt 自己的 Disallow 清單列出了確切的 PDF 路徑（顯然是要讓它們不出現在搜尋結果中，而不是要透過直接連結隱藏它們）。

兩份稽核 PDF 均已開啟並完整閱讀（level A）。2025 年報告的附錄及私隱政策以相同措辭描述相同紀錄：『用戶 ID 及／或你的 IP 位址，以及連接 VPN 伺服器的時間戳記』，在工作階段結束後 15 分鐘內自動刪除。

這項紀錄此前已被閱讀兩次——根據稽核措辭在 V11 中讀作 connection_timestamps，根據政策措辭在 C01 中讀作 source_ip——並按兩者較差者評分；這使 15 分鐘緩衝的代價高於完全不作說明：C01 留白時的市場先驗為 0.550，而 source_ip 為 0.750。

R29 現在劃清界線：在與工作階段結束相關的指定時限內刪除的狀態是連線本身，而不是其紀錄，因此兩個欄位在同一句中都讀作 connection_timestamps。仍會計入的是超出工作階段存續的內容——政策第 2.3.1 節的最後登入日期，以及稽核員點名的連線時間戳記。

Proton VPN

此紀錄目前仍未解決的事項。

稽核實際檢查的內容。 無日誌的判定同時強而狹窄。Securitum 於 2025 年 8 月親身檢查生產伺服器，並自 2022 年起每年進行檢查。

報告自行列明的限制。 這是一次時點檢查，是對 Proton 工程師示範的系統進行的引導式審查，而非無人監督的鑑證檢查；同時是具代表性的樣本，而非整個伺服器群。CI/CD、原始碼及帳戶管理系統明確不在範圍內，因此這裏沒有任何內容說明帳單一側持有甚麼資料。

上訴，以及它沒有解決的問題。 這裏引用 2021 年 10 月 22 日的上訴，並附上值得明確說明的限制：Federal Administrative Court 裁定，電郵服務不是電訊業者，而判決報道及 Proton 自己對事件的說明均沒有提及 VPN。

實際決定兩個欄位的依據。 決定 C10 和 C11 的是，瑞士在名錄自己的國家清單中沒有義務依據；上訴印證了瑞士當局如何處理 Proton，但本身並不是對 Proton VPN 的判定。對同系服務作出的裁決，其依據比出處呈現出來的更薄弱。

唯一最大的未決項目。 Proton 在八個施加記錄留存義務的國家提供出口位置。硬件是否實際位於其中任何一個國家，尚未確認：Proton 在 2022 年從印度撤走實體伺服器，並記錄了從其他地方提供服務的位置所使用的 Smart Routing，這指向虛擬位置，但這只在印度得到驗證。在這份紀錄中，確認 C09b_mandate_hosting 是唯一最大的未決項目。

Surfshark

此紀錄目前仍未解決的事項。

兩個價格。 U04_price_monthly=16.45 及 U04b_price_yearly=79.00 是 Surfshark Starter（VPN + Alternative ID）的 USD 續訂價格。定價頁面本身只顯示首個期限的促銷價格，但服務條款連結至一個列出按期限劃分的現行續訂金額頁面（surfshark.com/terms-of-service/pricing）——須在 US IP 位址下查看，因為貨幣受地理位置限制。沒有低於 Starter 的純 VPN 方案。

沒有任何第一手文件確認的內容。 C00_architecture、C08_servers_ownership、U09、U11、V12/V13、X04、X06-X08、X10、X11 在可用時間內未能以第一手文件確認，因此仍列為未知。M11_owner_jurisdiction 及 X04_owner_group_history 帶有與 nordvpn.json 相同的空白紀錄：Nord Security 自身的管轄地及紀錄均未在任何一個品牌的網站上列明。

印度，以及秘密命令制度。 P04_mandate_response=withdrew_physical 是 2022年6月退出印度的紀錄；在較早的一輪查找發現 /trust-center 頁面已不再載有該內容後，這項紀錄從 Surfshark 自己的網誌（surfshark.com/blog/surfshark-servers-certin-india）恢復。P11=judicial_only 建基於透明度報告，該報告顯示 2026年4月 Amsterdam District Court 的手令，以及 National-Security-letter 和秘密命令的計數均為零。

找到兩份報告，未必是全部。 找到的已公開 Deloitte 無日誌報告只有兩份（2022年12月、2025年6月）；可能還有其他未從 robots.txt 連結的報告，而本次稽核沒有透過其他方式搜尋。