Windscribe 隐私加固：无日志实践复核

2026 年 10 月 14 日，Windscribe 公布本年度无日志实践的独立复核结果。复核历时 11 天，覆盖 47 项控制点、3 个数据中心与 2 套客户端代码分支，方法包括代码审阅、配置核查、现场访谈、断网注入测试与磁盘取证。结论是：连接行为未被长期留存，会话数据未落盘。

这是 Windscribe 连续第三年进行同类复核。与往年相比，本次把范围从服务端扩展到客户端更新链路与计费系统，并首次对移动端的崩溃日志做了抽样检查，确认其中不含目标域名、连接时间戳与出口地址的组合信息。

“无日志不是一句口号，它必须能在拔掉网线、拆下硬盘之后仍然成立。”—— 苏芮，Windscribe 隐私与合规负责人

复核范围与方法

服务端部分检查了接入网关、认证服务、计费系统与监控告警四条链路，逐项核对日志级别、保留周期与访问权限。三个数据中心分别位于法兰克福、新加坡与洛杉矶，复核人员现场查看了机柜布局、带外管理入口与介质销毁流程，并抽查了 18 台服务器的运行配置。

技术测试分两步。第一步是断网注入：在隧道建立过程中强制切断上游链路，观察进程是否将缓冲区内容写入磁盘；第二步是磁盘取证：对 6 块运行超过 90 天的系统盘做镜像，检索域名、IP、会话标识等特征串。两步测试均未发现会话数据残留。

关键结论与具体数据

核心指标方面，认证与接入服务 100% 运行在内存文件系统中，重启即清空；会话元数据的磁盘写入点为 0 个；监控系统仅保留聚合后的连接计数，粒度到小时，保留 7 天；计费系统保留账号、套餐与支付流水，不关联出口地址。时间同步日志仅记录 NTP 偏移，不含请求内容。

复核共提出 11 项改进建议，其中 9 项已在公布前关闭，包括收紧带外管理白名单、缩短崩溃日志保留期至 72 小时、为内部查询增加双人审批。剩余 2 项与移动端诊断包有关，计划在 11 月底前完成，届时会发布补充说明。

我们仍然保留什么

为了维持服务，账号邮箱、套餐状态、支付流水与工单记录会被保留，保留期限遵循税务与消费者保护要求。连接计数以匿名聚合形式存在，用于容量规划，无法回溯到单个账号。客户端本地的连接历史默认关闭，开启后仅保存在设备上，可随时一键清除。

需要坦率说明的是，任何网络服务都无法承诺绝对匿名。若账号主动提交工单并附带截图，其中的信息会被保留；若支付渠道要求对账，交易记录也会存在。我们能做的是把不必要的数据收集降到最低，并让每一次保留都有明确目的与期限。

“复核的价值在于把承诺拆成可验证的条款，然后一条条去证伪。”—— 艾琳·科瓦奇，本次复核项目负责人

完整的方法说明与控制点清单已整理为公开文档，用户可在客户端帮助中心查看摘要。对于关注隐私的用户，建议同时开启断网保护、关闭本地连接历史，并为账号启用二次验证。新用户下载客户端后即可在设置中看到这些开关的当前状态。

← 返回资讯列表