2026 年 7 月 29 日，Openscore VPN 团队从 Proton VPN 官方 GitHub 组织下载两个 具版本号的发布文件，验证其已公布哈希与签名，并检查公开源代码、隐私文件、2026 年 Securitum 无日志审计及 Proton 当前的透明度报告。VPNTestor 独立复核该记录。
精确哈希、证书身份、权限、发现、评分及排除项目均保存在机器可读证据记录中。
冻结的发布文件
- Android
5.19.61.0，软件包ch.protonvpn.android，55,806,557 字节，SHA-256568b0f05…517633a。 - Windows x64
5.1.5，128,808,528 字节，SHA-2561e6600e4…cba1d9c。
两个本地哈希均与官方 GitHub 发布资产旁公布的 SHA-256 摘要相符，证明确切文件与该发布 管道一致。
签名与生产强化
Android APK 通过 APK 签名方案 v2 及 v3 验证。它以 Android API 35 为目标、 不可调试、禁用 Android 备份，并声明自定义网络安全设置。除预期 VPN 生命周期权限外， manifest 亦要求软件包可见性与相机访问。这些权限可能支持按应用程序路由及 QR 导入， 但本次未执行其运行时数据流。
Windows 安装程序包含 Authenticode 签名，使用发给 Proton AG、 组织识别码 CHE-354.686.492 的 EV 代码签名证书，证书链经 Sectigo 并附有时间戳链。本次测试没有冻结 macOS 及 iOS 二进制。
开源与审计透明度
Proton VPN 为 Windows、Android、iOS／macOS、Linux 及浏览器扩展程序发布活跃 存储库。官方 GitHub 组织已通过域名验证，受检存储库亦在 2026 年更新。开源让外界 得以检查，但本身不能证明每个商店二进制均由特定 commit 可重现构建。
Securitum 第五次年度无日志审查检查了生产服务器设置及运营控制。其 2026 年公开结论称， 在受检基础设施中未发现记录浏览活动、DNS 查询、目的服务、流量内容或可识别用户连接 元数据的证据。该范围支持无日志结论，但不是通用应用程序漏洞审计。
Proton 的透明度报告更新于 2026 年 7 月 14 日，列出截至 2026 年 6 月收到 47 项 具法律约束力的瑞士命令，并称因没有可用的识别性连接日志而全部拒绝。该数量是供应商 透明度报告内容，并非独立重建的法院数据。
静态与公开证据分数：92/100
- 文件完整性与来源：29/30。
- 平台签名：28/30。
- 权限与生产强化：17/20。
- 公开安全透明度：18/20。
扣分原因包括本次未独立冻结 macOS／iOS 文件、广泛 Android 权限未经运行时验证、 特定版本客户端审计未涵盖每个当前版本，以及资产与摘要均依赖同一 GitHub 管道。
本评估不能证明的项目
- IPv4、IPv6、DNS、WebRTC 及路由泄漏。
- 中断、终止及网络切换时的 Kill Switch 行为。
- 账户、会话、控制台及跨账户授权。
- 本地运行时日志、证书存储及卸载残留。
- 流媒体可用性、持续速度及延迟。
- Securitum 公开无日志范围以外的基础设施安全。