VPN透明度报告究竟涵盖什么

打开报告，先读范围，再看数字。哪段时间、哪些产品、哪些法律机制、哪些请求类别，都会写在靠近开头的地方。没有这些限定的标题总数，只是一件带引用的营销产物。四个步骤能把它重新变回证据。

透明度报告里真正有意思的部分通常是定义，而不是表格。

先读范围那一行

核对时间段、覆盖的产品和法律类别。一份报告可能只覆盖消费者服务而不含企业产品，也可能相反。司法辖区同样重要，因为依据一种法律机制提出的请求，与依据另一种机制的并不相同。如果范围含糊，总数就无法与任何其他运营商的总数比较，而博客文章里拿来对比的图表只是装饰。

没有报告事件，并不等于没有记录。它只说明在所列类别下没有任何报告，这是一个窄得多的说法。

单位不能互换

一次请求、一个账户、一起事件和一条被披露的记录，是四种不同的单位。报告可能统计请求却披露账户，或出于隐私原因合并事件。把一家运营商的每请求数字与另一家的每账户数字相比，得到的图表毫无意义。让单位始终跟着数字——在你的笔记里，也在你的结论里。

如果方法不清晰，就保留不确定性，而不是用假设把它消解掉。一句诚实的“不可比较”，比建立在猜测之上的整洁表格更有用。

究竟是谁在发布

确认发布文件的组织，以及它运营的系统。客户项目、目录站点和独立托管的端点可能是三个不同的主体，其中一方的报告并不能说明另外两方。基础设施伙伴和志愿者服务器往往完全不在范围内。这是关于生态的事实，而不是对报告的批评。

连续性也值得检查。清晰的档案、稳定的定义，以及对重大变更的说明，才使逐年阅读成为可能。只有一次、没有历史的发布，比一份规模不大但有记录的报告更难解读。

把它放在审计旁边，而不是用它替代审计

技术审计检查组件与控制，有自己的范围声明，也有自己的局限。它是某个时段的快照，不是运营商的永久属性。它能告诉你系统的配置与流程，却不能告诉你来了多少请求。两者都要用，并且要读各自的范围，而不是假定另一方补上了缺口。把相关基础设施排除在外的审计，对那部分什么也回答不了。

实际的问题是：运营商是否针对你真正关心的事给出了具体答案。如果关心的是留存，就去找留存声明及其背后的基础设施证据；请求数量表并不是那个东西。

读范围、单位、发布方和审计的边界。然后再判断这份文件是否回答了你的问题。