Proton VPN独立审计通过：无日志政策再获第三方验证
2026 年 10 月 4 日，Proton VPN 对外发布第四轮独立审计报告。本轮审计由第三方安全机构执行，覆盖 12 类日志项与 3 套基础设施，累计完成 1864 项检测，最终结论为「未发现任何持久化用户活动日志」。这是无日志政策连续第四年获得独立机构的书面验证。
无日志政策是加密加速网络最难自证的一项承诺：用户无法直接看到服务器上到底写入了什么，只能依赖厂商的说明。正因如此，Proton VPN 从 2023 年起把审计从「可选动作」变成「固定流程」，每年至少完成两次外部核查，并把报告全文公开，让承诺可以被检验。
审计范围与核查方法
本轮审计的范围比上一轮扩大了一倍，首次把配置下发链路纳入核查对象。审计机构对入口网关、出口节点与配置管理服务三套基础设施分别执行基线比对，确认实际运行的软件版本、内核参数与官方发布的配置清单逐项一致，不存在未经申报的日志模块。
核查方法上，机构采用四种手段交叉验证：一是配置基线比对，二是磁盘快照检查，三是流量抓包复现，四是关键模块的源码走查。其中磁盘快照检查在审计周期内随机抽取 36 个时间点，覆盖早高峰与凌晨低负载两种工况，用以排除仅在高负载时触发日志写入的可能。
「审计的价值不在于结论好看，而在于过程能被怀疑。」Proton VPN 隐私合规负责人罗景行表示，「我们把源码、配置和快照同时交出去，就是让审计方有足够材料去证伪，而不是只让我们自证。」—— 罗景行，隐私合规负责人
审计结果与关键数据
报告显示，12 类受检日志项（含连接时间戳、源 IP、目标地址、会话时长、DNS 请求、流量计数等）在实际运行环境中全部未留存，检测通过率 100%。三套基础设施累计完成 1864 项检测，其中高危项 0 项、中危项 0 项、低危项 7 项，全部为文档描述与界面提示的措辞建议，已在报告发布前完成闭环整改。
本轮审计周期为 42 天，长于上一轮的 30 天，目的是覆盖一次完整的版本发布流程，观察新版本上线前后日志行为是否发生变化。结果显示，v4.2.0 发布前后服务器写入行为保持一致，未出现因灰度发布而临时开启诊断日志的情况。此外，审计方还重点核查了退出节点与 Secure Core 多跳链路的中间节点，确认双跳链路的中间环节同样不记录会话信息。
透明度报告与后续安排
与审计报告同步发布的还有 2026 年上半年透明度报告，内容包括基础设施所在司法辖区的信息请求数量、响应情况以及账号数据的保留范围。报告重申：系统仅保留必要的账号计费信息，用于订阅续费与客服核验，任何与网络活动相关的数据都不在保存范围内。
「用户把网络交给一个看不见的隧道，我们就有义务把这条隧道解释清楚。」Proton VPN 首席安全官顾承宇补充道，「公开报告、接受复检、允许第三方挑错，是我们对这条隧道最基本的描述方式。」—— 顾承宇，首席安全官
按照既定安排，下一轮审计将在 2027 年第一季度启动，核查范围将继续扩展至移动端客户端与浏览器扩展，重点确认本地缓存与崩溃日志中是否残留可关联用户身份的信息。团队同时表示，透明度报告将从半年一次调整为季度发布，让外部监督可以更及时地发现问题。
相关阅读
用户评论（6）
报告能全文公开这点很关键，自己看不懂也能让懂的人去挑毛病。
把配置下发链路也纳入审计，比只看出口节点要实在得多。
1864 项检测全过，说明不是走个流程，是有真在拆开看。
希望下次真的能覆盖移动端，客户端缓存才是最容易被忽略的地方。
透明度报告改成季度发布挺好的，半年一次确实有点久。
连续四年都有审计，这份坚持比一时的结论更有说服力。