Windscribe VPN 安全加码：无日志审计报告公开
2026 年 9 月 26 日，Windscribe VPN 对外公开第三季度无日志策略审计报告。审计由独立第三方机构执行，历时 11 天，覆盖 12 项日志边界、38 项服务端配置与 42 台节点抽检，结论为 0 项高危问题、0 项中危问题、3 项改进建议。三项建议已在 9 月 20 日前全部完成整改，内存日志的最长留存时间从 90 秒压缩到 60 秒。
无日志是加密接入服务最容易被模糊表述的部分。多数产品会在条款中写“不记录用户活动”，但很少说明鉴权标识保留多久、故障排查时临时日志写在哪里、节点重启后是否落盘。Windscribe VPN 在 2024 年启动日志边界梳理，把服务端每一个可能产生记录的环节列成清单，逐项标注保留时长与销毁方式，这份清单成为本次审计的检查基线。
“审计不是拿一份问卷打勾，关键是能不能拿到真实运行的配置和真实产生的日志。”Windscribe VPN 隐私合规负责人谢知微介绍，审计期间团队开放了只读的配置快照与日志目录访问权限，审计方随机抽取节点做现场核验，并在两台节点上模拟故障触发临时日志，“我们要求自己做到：审计员能看到的东西，和用户担心被记录的东西，是同一批数据。”
审计范围：12 项日志边界逐条核对
报告列出的 12 项边界包括账号鉴权标识、会话元数据、DNS 查询、访问目标 IP、源地址、设备指纹、支付记录、工单内容、客户端崩溃报告、节点监控指标、审计日志与备份快照。其中账号鉴权仅保留加盐哈希，不保存明文邮箱与密码；访问目标与 DNS 查询在架构上不落盘，节点侧无相关写入路径；支付记录由第三方支付机构持有，服务端只保留订单号与状态。
抽检的 42 台节点分布在 18 个地区，覆盖新旧两代硬件与两种机房网络。审计方检查了系统日志轮转配置、磁盘加密状态与容器挂载点，确认业务进程无写入用户流量的权限，容器内日志目录以只读方式挂载。38 项服务端配置检查中包含 9 项访问控制、7 项密钥管理、6 项备份策略，未发现越权读取路径。
技术保障：内存日志 60 秒、磁盘全量加密、权限最小化
会话日志只存在于内存环形缓冲区，容量固定为 20MB，写满即覆盖，进程重启后立即清空，最长留存时间从 90 秒压缩到 60 秒。缓冲区内的字段经过裁剪，只保留连接建立时间、节点编号与错误码，不包含目标域名与端口。审计方在模拟故障时确认，缓冲区内容不会随崩溃转储写入磁盘，转储功能在节点上被显式禁用。
节点磁盘启用全量加密，密钥由独立的密钥管理服务下发，有效期 24 小时，重启后重新拉取。运维人员访问节点需经过双人审批与临时凭证，凭证有效期 30 分钟，所有操作记录写入独立的审计日志，该日志仅包含操作类型与时间，不含用户流量信息。客户端崩溃报告默认关闭，开启后也只上传堆栈与版本号，不上传页面内容与网络请求。
三项改进建议与后续计划
报告提出的三项建议分别是：缩短内存日志留存时间、为备份快照增加独立密钥、在节点监控中剥离可关联到具体会话的字段。团队在 9 月 20 日前完成全部整改：留存时间从 90 秒降至 60 秒；备份快照改用与主密钥分离的加密密钥，密钥轮换周期 7 天；监控指标移除会话编号，仅保留聚合计数。整改后的复测由审计方远程完成，结论为符合要求。
“合规不是一次性的动作，配置会漂移，人员会变动，所以必须把检查变成例行流程。”基础架构负责人罗承宇提到，团队现在每两周执行一次配置基线扫描，任何偏离基线的变更都会触发工单，“有一次新同事为了排查丢包临时打开了调试日志，扫描在 6 分钟内就发现了，这项变更没有被合入生产。”
面向用户的可核验内容包括：节点清单与所在地区、审计报告摘要、日志边界说明、数据删除申请流程。用户可以在隐私政策页面提交删除请求，账号删除后 7 天内清除鉴权哈希与订单关联，支付记录按当地法规要求保留的部分会单独说明。团队同时开放了安全漏洞披露入口，收到报告后 72 小时内响应。
按照路线图，下一轮审计将在 2027 年第一季度进行，范围扩大到客户端代码与更新分发链路，并引入可复现构建验证，让第三方能够核对发布包与源码的一致性。相关报告会继续在官网公开，不设下载门槛。想在默认配置下获得完整的加密与断线保护，可前往下载页获取最新客户端，安装后在隐私设置中确认崩溃报告与诊断数据均为关闭状态。
相关阅读
用户评论
报告写得比较实在，至少把“保留多久、存在哪”说清楚了，不是一句不记录就完事。
内存日志 60 秒这个细节挺关键，之前一直担心排障日志会落盘。
建议把节点清单也放到网站上，方便核对审计抽检的范围。
希望下次审计能覆盖客户端代码，这个方向是对的。