“无日志”靠谱吗？VPN 隐私政策与审计报告怎么读

判断 VPN 的“无日志”是否可信，要把声明拆成三个问题：哪些数据不记录、其他数据保留多久、第三方实际检查了什么。只有首页口号或“通过审计”徽章，仍不足以回答这些问题。本文给出一套阅读顺序，方便选购前整理证据，不对服务做隐私排名。

“无日志”具体指哪些数据？

阅读隐私政策时，先搜索 logs、retention、diagnostics 等词，再看所在段落的对象与例外。下面是需要核对的项目，不表示每家服务都会收集这些数据。

不要把“不记录访问网站”扩写成“不处理任何个人信息”。例如，Mullvad 的数据政策在声明不保存活动日志的同时，另列付款、客服邮件等数据的处理方式；该页面标注更新于 2026 年 6 月 17 日。这个例子说明，应逐类阅读政策，不能只摘取其中一句。

建议每类都记下“字段、用途、保存位置、期限、接收方”。如果只写“为改善体验收集必要信息”，但没有解释字段与期限，就记为“未说明”，不要自行补成“不会收集”。“匿名统计”也值得追问：统计到服务整体，还是仍能关联某个账户？

对机场或代理订阅同样可以使用这张表，但不要把协议名称当成运营方的数据政策。加密协议与数据留存是不同问题；基础区别可先读VPN、机场和代理有什么区别。

先从服务方官网进入审计页面，打开原始报告，确认出具机构与版本。新闻稿适合找入口，判断范围仍要回到报告正文。可以按以下顺序做笔记。

封面发布日期、实际检查期间、修订或复测日期应分别记录。不要因为网页今年更新，就认为报告检查的是今年的系统。跨版本比较时，先问配置、服务组件或检查目标是否发生变化。

在 Scope、Methodology 等章节找对象：客户端、官网、控制后台，还是处理用户流量的服务器？再找检查方式：访谈、文档核对、配置检查、代码审查或运行时观察。方法写得越具体，越容易判断结论依据；只看到“独立审计”四个字，还不能知道检查深度。

如果范围仅列某个客户端，就不能据此推断所有服务器均不留日志。反过来，一次无日志检查也不能被扩写为整个产品不存在安全漏洞。这是按报告范围限定结论的阅读原则。

一个适合练习的历史例子是 Radically Open Security 的 2023 年报告：第 5 页写明检查时间为 5 月 8 日至 26 日，对象是两台类似生产环境的 VPN 中继。第 54 页既写到测试中未发现用户活动日志，也明确说明，无法验证实际生产机器是否采用相同设置。

因此，引用时必须保留“测试对象”和“无法验证”的边界。这里用旧报告示范读法，不据此评价该服务今天的部署，也不把它称为最新审计。

查看每个发现项是否标注“已解决”“未解决”或“未复测”，以及状态由谁确认。服务方说已修改，和审计机构复测确认，是两种证据。若报告没有提供后续检查记录，就把后续状态记为未知，不凭宣传页补齐。

下面的表可以复制到笔记中，每个候选服务各填一份。保留链接、章节与核对日期，日后政策变化时才有比较依据。

遇到模糊条款，可以向客服提出具体问题：“来源 IP 是否持久保存？”“诊断上传是默认开启还是手动提交？”“账户删除是否包含工单？”“这份报告是否检查服务器日志配置？”要求提供政策段落或报告位置，比反复询问“安全吗”更容易得到可核对的回答。

拿不到公开报告时，准确写法是“目前无法独立核对审计细节”。这不足以直接证明它记录用户活动，也不足以支持更强的安全承诺。比较时优先处理与自己需求有关的未知项，不必给所有服务强行打总分。套餐、兼容性和试用验收可结合服务选择清单另行核对。

审计提供检查期间和范围内的证据，之后仍要关注政策与配置变化。EFF 的 VPN 选择指南提醒，公开第三方审计有助于了解安全状况，但不能保证审计后的做法始终不变。实际选择时，应记录报告日期，并留意后续更新。

不能。检测页能显示它观察到的出口地址；这项观察没有检查服务方内部的存储。试用时可验证连接行为，审阅政策与报告则用于评估另一类证据，不应互相代替。

不能把它理解为完全匿名。EFF 同一指南指出，Cookie、指纹等方式仍可用于追踪。评价服务方的数据留存，只解决信任链中的一部分问题，不能替代对浏览器和网站账户的管理。

资料核对日期：2026-10-27。文中政策例子属于服务方声明，审计例子严格限定于所引历史报告，未进行服务端实测。