Обновление от 19 сентября 2025 года: эта статья обновлена и теперь включает результаты последней проверки нашей политики отсутствия журналов активности, проведенной Securitum. Включены ссылки на все аудиты нашей политики отсутствия журналов активности.

Мы рады сообщить, что Proton VPN прошел четвертый ежегодный внешний аудит нашей инфраструктуры, который подтверждает нашу строгую политику отсутствия журналов активности. Когда мы говорим, что мы — VPN без логов, это не просто слова: это было дважды проверено независимыми экспертами.

Как организация, основанная учеными, встретившимися в CERN, мы верим в экспертную оценку и прозрачность. Именно поэтому мы делаем все наши приложения с открытым исходным кодом, чтобы каждый мог проверить наш код.

Конечно, мы понимаем, что не у всех есть время или навыки для самостоятельной проверки кода. Вот почему, помимо наших внутренних аудитов, мы регулярно передаем наши приложения на сторонние аудиты безопасности(новое окно) и публикуем результаты. Таким образом, каждый может получить независимое экспертное мнение о безопасности наших приложений.

В ходе недавнего аудита безопасности всех приложений Proton(новое окно) эксперты по безопасности из Securitum(новое окно), ведущей европейской компании по аудиту безопасности, которая ежегодно курирует более 300 проектов по тестированию безопасности для крупных корпораций и банков, не выявили существенных проблем безопасности. Это показывает, что внутренние аудиты Proton и культура разработки безопасного программного обеспечения эффективны. А поскольку код наших приложений полностью открыт, наша безопасность подкрепляется нашей программой отлова ошибок(новое окно), которая объединяет экспертов по безопасности со всего мира для проверки наших приложений.

Однако в случае с VPN-сервисом также важно проверять, что происходит на стороне сервера, а не только на стороне приложения.

Почему важно проверять политику отсутствия журналов активности VPN

Когда вы подключаетесь к VPN, он фактически становится вашим интернет-провайдером, а это значит, что любой VPN-провайдер технически способен отслеживать и регистрировать то, что вы делаете в интернете. Хотя многие VPN заявляют о политике отсутствия журналов активности, эта политика не всегда выдерживает проверку.

Строгая политика отсутствия журналов активности Proton VPN прошла проверку в ходе судебного разбирательства в 2019 году. Нам было предписано передать журналы, чтобы помочь идентифицировать пользователя, но мы не смогли выполнить это требование, так как этих журналов не существовало. Швейцарская юрисдикция Proton VPN также предоставляет дополнительные преимущества для VPN-сервисов. Например, в рамках действующего законодательства Швейцарии у Proton VPN нет требований по ведению журналов. Однако остается вероятность того, что неправильная конфигурация сервера или ошибочная архитектура системы могут привести к случайному сохранению журналов.

Чтобы решить эту проблему, мы попросили Securitum проводить регулярные тщательные проверки нашей инфраструктуры и операций на стороне сервера. Каждый год эксперты по безопасности Securitum проводили несколько дней на месте, проверяя файлы конфигурации нашего VPN и конфигурации серверов, оценивая наши рабочие процедуры и опрашивая наш персонал. Их ежегодные аудиты обширны и включают проверку следующего:

  • Отслеживается ли или регистрируется активность пользователей на рабочих VPN-серверах, обрабатывающих пользовательский трафик?
  • Регистрируются ли на VPN-серверах метаданные подключения, такие как DNS-запросы или временные метки сеансов?
  • Проводится ли активная проверка сетевого трафика пользователя, или его содержимое регистрируется на VPN-серверах?
  • Отслеживается ли или регистрируется информация о конкретных сервисах (например, веб-сайтах, внешних серверах), к которым подключается пользователь?
  • Ведутся ли агрегированные журналы, которые соотносят посещенные сервисы (например, веб-сайты, серверы) с конкретным использованным VPN-сервером?
  • Применяется ли политика отсутствия журналов активности единообразно ко всем серверам, во всех географических регионах и ко всем уровням подписки пользователей?
  • Существует ли автоматизированный процесс для обнаружения и генерации оповещений о несанкционированных изменениях конфигурации, которые могут включить ведение журналов (например, изменение параметра «log» с false на true)?
  • Применяется ли формальный процесс управления изменениями, включающий принцип двойного контроля («четырех глаз»), для всех авторизованных изменений конфигураций, связанных с ведением журналов?
  • Содержат ли активные файлы конфигурации для основных служб VPN какие-либо включенные директивы ведения журналов?
  • Регистрируется ли информация, связывающая конкретного пользователя с конкретным VPN-сервером, к которому он подключен?

Итоговые отчеты подтверждают, что мы не храним никаких журналов метаданных, не регистрируем вашу активность в VPN и не участвуем в каких-либо действиях, которые могут поставить под угрозу вашу конфиденциальность.

Отчеты также подтверждают, что по мере того как Proton VPN добавляет больше функций и возможностей в наш сервис, это никоим образом не влияет на нашу строгую политику отсутствия журналов активности. Как сказано в последнем отчете (2025 г.):

«Изученные технические доказательства не выявили случаев регистрации активности пользователей, хранения метаданных подключений или проверки сетевого трафика, которые противоречили бы политике отсутствия журналов активности. Кроме того, аудит подтвердил внедрение надежных административных и технических средств контроля, включая автоматизированное управление конфигурациями и формальный процесс изменений с двойным контролем, которые предназначены для обеспечения постоянной целостности среды без ведения журналов.

Основываясь на этих выводах, Securitum подтверждает, что сервис Proton VPN в конфигурации на момент аудита полностью соответствует обязательствам по обеспечению конфиденциальности, изложенным в его политике отсутствия журналов активности».

Вы можете прочитать полный текст последнего отчета Securitum ниже:

В соответствии с рекомендациями Securitum, это уже третий ежегодный аудит нашей политики отсутствия журналов активности подряд. Вы также можете ознакомиться с нашими прошлыми аудитами политики отсутствия журналов активности, проведенными Securitum:

Доверие через прозрачность

В Proton мы считаем, что все заявления должны быть расследованы и проверены, включая наши собственные. В будущем мы продолжим проводить регулярные проверки безопасности и публиковать результаты, чтобы вы могли ознакомиться с отчетом независимого специалиста по безопасности, прежде чем доверить нам свои данные.

Если вы исследователь безопасности, мы также приглашаем вас поддержать безопасность в Proton через нашу программу отлова ошибок(новое окно), которая предлагает щедрые вознаграждения любому, кто сможет выявить уязвимости в наших сервисах с открытым исходным кодом.

Зарегистрируйтесь в Proton VPN(новое окно), чтобы получить прозрачный, полностью проверенный VPN без логов и с открытым исходным кодом, который уважает вашу конфиденциальность