幾乎每家 VPN 都說自己「不留紀錄」。但流量都經過他們的伺服器，你要怎麼知道他們沒有偷偷存？
先講結論：沒有方法能百分之百保證，但能查的東西其實不少。先看隱私政策實際寫了什麼，再看第三方稽核的單位、時間和範圍，以及業者真的被查的時候發生過什麼事。
照這幾點挑，就能排除只會喊口號的服務，選到比較值得信任的 VPN。
無日誌政策是什麼？
Log 就是紀錄。無日誌（No-logs）是 VPN 業者承諾，不會保存能連到你網路活動的紀錄。
這不是法律名詞，也沒有統一規格，每家要自己寫清楚不留什麼。
「不留紀錄」也不代表什麼都沒有。買 VPN 一定會有帳號和付款資料，業者也會留部分用來營運服務的資訊。
VPN 可能留哪些紀錄？
一般可以分成幾類，風險也不同：
| 類型 | 例子 | 怎麼看 |
|---|---|---|
| 活動紀錄 | 你造訪的網站、下載的內容 | 不應該有 |
| 連線紀錄 | 真實 IP、連線時間、VPN 伺服器 IP | 不應該留可連到你的資料 |
| 匯總資料 | 伺服器負載、當機資訊 | 可以接受，要看是否可識別 |
| 帳號與付款 | Email、付款紀錄 | 一定會有 |
看隱私政策時，就是看這幾類分別怎麼寫。如果只有一句「我們重視隱私」，那等於沒有說。
各家隱私政策實際寫了什麼
下面整理主流 VPN 目前的隱私政策。它們都說不留上網活動，差別在「會留什麼」。
| VPN | 政策寫明會留的資料 |
|---|---|
| NordVPN | 最後一次連線資訊（用來限制同時連線數，結束後 15 分鐘內刪除）、過去 90 天有沒有用過服務、Email，帳單資料保留 10 年 |
| Surfshark | 連線時暫存使用者 ID、IP 和連線時間，結束後 15 分鐘內刪除；Email、部分信用卡號 |
| ExpressVPN | 哪一天成功連線（沒有幾點）、連到哪個 VPN 地點、從哪個國家和網路業者連線、總傳輸量；Email、付款資料 |
| Proton VPN | 帳號資料、付款資訊；帳號 IP 預設不永久保存，但為了防濫用可能暫存 |
| Mullvad | 不需要 Email，只有隨機帳號編號和到期日；付款資料依付款方式而定 |
ExpressVPN 舉的例子最好懂：它可能知道某個帳號週二連過紐約、傳了多少 MB，但不知道幾點連、看了什麼網站。
這也是「不留紀錄」真正的意思：不是沒有資料，而是留下的資料不應該能對回你做過什麼。
第三方稽核是什麼？
稽核就是請外部公司檢查業者的系統和做法，確認有沒有符合自己宣稱的無日誌政策。
稽核有時間範圍。以 ExpressVPN 為例，官方公告寫明 KPMG 檢查的是 2025 年 2 月 28 日當時的狀態：
圖片來源：ExpressVPN 官方網站
NordVPN 官方也寫明這是時間點評估，也就是檢查當時的系統符合宣稱。它不能保證檢查前後都一樣，所以「通過稽核」不等於「保證不留紀錄」。
但有外部單位查過，還是比只有一句宣傳可靠得多。下面是幾家主流 VPN 最新一次的情況。
| VPN | 稽核單位 | 檢查時間 | 檢查範圍 | 報告誰能看 |
|---|---|---|---|---|
| NordVPN | Deloitte 立陶宛 | 2025/11/10〜12/12（第六次，2026/2/3 公布） | 標準 VPN、Double VPN、混淆伺服器、Onion Over VPN 的設定與部署流程 | 登入 Nord Account |
| Surfshark | Deloitte | 2025/5/14〜6/10（2025/6/16 公布） | 標準、固定 IP、多埠伺服器的設定與部署；不含資料傳輸安全 | 登入 Surfshark 帳戶 |
| ExpressVPN | KPMG | 只看 2025/2/28 當時的狀態（2025/6/25 公布） | TrustedServer 架構與隱私政策的說法 | 同意條款後都能看 |
| Proton VPN | Securitum | 2026/5/20〜5/27（連續第五年） | 抽查免費與付費的正式伺服器、設定檔與作業流程 | 公開 |
這四家都是 2025 年之後檢查的，挑 VPN 時可以先用這一點篩選。
稽核報告要怎麼看？
不用讀完全部，先看這五件事：
- 誰做的：是不是有名的獨立事務所或資安公司。
- 什麼時候：很久以前的稽核，不一定代表現在。
- 範圍多大：是全部伺服器，還是只抽查一部分；有沒有實際查伺服器設定，還是只看文件。
- 是持續做，還是只做一次：多次稽核會比一次更有參考價值。
- 看得到報告嗎：只有一句「通過稽核」卻看不到報告，能確認的事就很少。
另外要分清楚無日誌稽核和安全稽核。安全稽核是找 App 或伺服器的弱點，不是檢查有沒有留紀錄。
以 NordVPN 的帳戶報告頁為例：第一份才是無日誌稽核，下面兩份是安全性評估：
Surfshark 的報告也要從帳戶取得，登入後在「政策與報告」頁可以看到德勤 2023、2025 年的無日誌保證報告：
真的被查的時候，發生過什麼事？
稽核是業者自己花錢請人來看，執法單位上門則是業者沒辦法安排的情況。公開案例不多，但兩種結果都有。
拿不到資料的案例
以 Mullvad 為例，這是官方 2023 年 4 月 20 日的公告，說明瑞典警方上門後沒有帶走任何東西：
圖片來源：Mullvad 官方網站
其他公開案例整理如下：
| 時間 | 業者 | 發生什麼 | 結果 |
|---|---|---|---|
| 2017 年 1 月 | ExpressVPN | 土耳其調查俄羅斯大使遇刺案，查扣一台伺服器 | ExpressVPN 表示自己沒有連線與活動紀錄，當局查驗伺服器也證實這點 |
| 2018 年 5 月 | PIA | 美國駭客案開庭，FBI 指攻擊用的是 PIA 的 IP | 母公司法務出庭作證沒有活動紀錄，也查不到被告的 Email 註冊資料 |
| 2023 年 4 月 18 日 | Mullvad | 瑞典警方至少 6 人持搜索票到辦公室，要扣有客戶資料的電腦 | Mullvad 說明後，警方聯絡檢察官，沒有帶走任何東西 |
| 2025 年 4 月 11 日 | Windscribe | 芬蘭伺服器疑被用來入侵希臘系統，共同創辦人遭起訴 | 雅典法院撤案；業者說是因為沒有資料可交，報導中的法院理由是證據不足 |
| 2026 年 2 月 | Windscribe | 荷蘭當局直接從機房取走一台伺服器 | 業者表示伺服器只跑 RAM，沒有硬碟也沒有紀錄 |
要注意的是，這些結果多半來自業者自己的說法或法庭紀錄裡的證詞，也只能說明那個時間點。
另外，VPN 交不出資料，不代表案子就查不下去。上面的美國駭客案，調查單位還有其他 IP 紀錄和證人證詞。
有交出資料或外洩的案例
| 時間 | 業者 | 發生什麼 |
|---|---|---|
| 2016 年 | IPVanish | 美國國土安全部調查兒少性剝削案。法庭文件顯示，業者先回覆沒有使用資訊，第二次傳票後交出用戶姓名、Email、真實 IP 和連線時間。當時它對外宣稱不留紀錄 |
| 2017 年 | PureVPN | FBI 調查網路跟蹤案。依法庭文件，業者能判斷同一用戶從兩個來源 IP 連線，也就是嫌犯的住家和公司 |
| 2020 年 7 月 | UFO VPN 等 7 款 | 資安研究人員發現未設防的資料庫，約 1.2TB、近 11 億筆，包含明文密碼、IP 和連線時間，而這些服務對外標榜不留紀錄 |
IPVanish 2017 年換了母公司，新東家表示這是收購前的事。這些案件都是當時的情況，不代表這些服務現在的做法。
但它們說明了一件事：官網寫不留，不等於真的沒有。這也是為什麼要看稽核和案例，不能只看宣傳。
要避開這種情況，就挑定期請外部單位查、也經得起實際案例的業者。NordVPN、Surfshark、ExpressVPN、Proton VPN 都有 2025 年之後的無日誌稽核，其中 ExpressVPN 還有伺服器被查扣的案例，Mullvad、PIA 也有被警方或法院查過、拿不到資料的紀錄。
這不能保證它們永遠不會出事，但比起只有一句宣傳，已經有很多資料可以判斷。
透明度報告怎麼看？
有些業者會定期公布收到多少政府和法律要求，這是另一個能查的資料。
Proton VPN 的報告列出每年的命令數，例如 2025 年 59 件、全部無法提供：
圖片來源：Proton 官方網站
其他業者也有類似報告，下面是各家最新一期的數字：
| VPN | 期間 | 收到的要求 | 官方說的結果 |
|---|---|---|---|
| Proton VPN | 2025 年 | 59 件命令 | 全部無法提供，要求多半是問某時間誰連到某台伺服器 |
| ExpressVPN | 2026 年 1〜6 月 | 政府、執法與民事要求 137 件，搜索票 3 件 | 沒有交出 VPN 活動或連線紀錄 |
| Surfshark | 2026 年 7〜9 月 | 政府機關詢問 23 件，搜索票 0 件 | 沒有交出和上網活動有關的資料 |
| PIA | 2025 年 10〜12 月 | 共 30 件，含傳票 7 件、搜索票 1 件 | 沒有提供紀錄 |
這些是業者自己公布的數字，沒有第三方查核。讀的時候也要看用字，「沒有交出活動紀錄」不等於「沒有交出帳號資料」。
所以透明度報告適合當加分項，和稽核、實際案例對得起來，可信度就更高。挑選時可以優先看這種願意攤開數字的業者。
Surfshark 已經把金絲雀聲明換成這種報告。金絲雀聲明是業者定期聲明「還沒收到秘密命令」，哪天不再更新，就可能代表出事了。
RAM 伺服器有幫助嗎？
有些業者的伺服器只用 RAM（記憶體）運作，不寫入硬碟，重開機資料就消失。
ExpressVPN 的 TrustedServer、Surfshark 的 RAM 伺服器都是類似概念。它不能單獨證明業者沒留紀錄，但可以降低伺服器被查扣時資料還留著的機會。
不留紀錄也不等於伺服器不會出事。2021 年烏克蘭查扣 Windscribe 兩台伺服器，業者表示沒有使用者資料外洩，但因為硬碟沒加密，OpenVPN 憑證金鑰外洩了，之後才全面改用 RAM。
NordVPN 2018 年也有一台芬蘭伺服器因機房設定不當被入侵。官方表示上面沒有活動紀錄，但入侵者拿到一把已過期的 TLS 金鑰，2019 年才對外說明。
RAM 伺服器就是避開這類風險的做法。Windscribe 改用 RAM 之後，業者表示 2026 年被荷蘭當局取走的那台伺服器上沒有紀錄，所以挑選時可以把它列入條件。
所在地重要嗎？
VPN 業者所在國家的法律，會影響它可能被要求提供什麼。不過就算是在隱私法規友善的地方，也不代表可以完全不用看政策。
Proton 就是好例子。2021 年瑞士當局下令，Proton Mail 必須記錄一個帳號的 IP，這個人是法國的氣候運動人士，後來遭到逮捕。
Proton 當時說明，瑞士法律對電子郵件和 VPN 的要求不同，Proton VPN 不能被強制留紀錄。同一家公司，不同服務的義務也可能不一樣。
而且業者所在地、伺服器所在地和辦案的國家可能都不同。前面 Windscribe 的案子，就是加拿大業者、芬蘭的伺服器、希臘提告。
如果你想知道各國的狀況，可以閱讀 VPN 合法嗎。
怎麼挑選有隱私保護的 VPN？
可以照這個清單看：
- 有明確的隱私政策，寫清楚哪些資料會留、哪些不會留。
- 有第三方無日誌稽核，近兩三年內有更新，範圍包含實際伺服器。
- 有定期公布透明度報告。
- 伺服器只跑 RAM，被查扣時比較不會留下資料。
- App 有 Kill Switch，避免斷線時洩漏，可以參考另一篇 Kill Switch 是什麼。
- 不是來路不明的免費 App。
照這份清單看，可以先從這三款開始：
- NordVPN：無日誌稽核已做到第六次，最新一次在 2025 年底檢查。
- Surfshark：2025 年由 Deloitte 稽核，有 RAM 伺服器，也定期公布透明度報告。
- ExpressVPN：2025 年由 KPMG 稽核，有 TrustedServer，2017 年伺服器被查扣，官方表示上面沒有連線紀錄。
這不代表它們保證不留紀錄，而是目前有比較多證據可以查。完整比較可以閱讀 VPN 推薦。
就算 VPN 真的沒留紀錄，帳號、Cookie 和瀏覽器也還是可能認出你，這部分可以參考另一篇 VPN 真的匿名嗎。
常見問題
不留紀錄的 VPN，真的什麼都沒存嗎？
不是。帳號、付款和部分營運資料還是會有，有些業者也會留連線日期或地點。無日誌指的是不留能連到你上網活動的紀錄。
只要有稽核就能完全相信嗎？
不行。稽核有時間和範圍的限制，但比起沒有稽核的業者，它提供了比較多參考。
警察可以向 VPN 調資料嗎？
可以依法提出要求，也有查扣伺服器的案例。業者如果真的沒留，能提供的資料就有限，但帳號和付款資料還是可能存在。
VPN 真的交過資料給警方嗎？
有。2016 年的 IPVanish、2017 年的 PureVPN 都有法庭文件顯示業者提供了資料，當時兩家都對外強調不留紀錄。這是當時的情況，不代表現況。
挑有近期稽核、也經得起實際案例的業者，可以降低這種風險。
免費 VPN 會賣資料嗎？
有些可能會，要看隱私政策和所有者。盡量選有公開稽核的服務。
怎麼看 VPN 有沒有稽核？
到官網的隱私或安全頁面，找 audit、no-logs 這類關鍵字。最好看得到報告或第三方公告。
有無日誌稽核，還要開 Kill Switch 嗎？
要，兩者保護的是不同的事。稽核談的是業者留不留資料，Kill Switch 是避免連線中斷時流量外洩。