背景尽调：公开信息能说明什么，又不能说明什么

一、公开信息能证明什么？

在严肃的网络尽调中，我们可以且必须通过开源情报确立以下【已验证事实】：

• ASN 拥有者真实身份：通过 APNIC / ARIN 数据库查看该服务商使用的出口 IP 是否属于其名下的自治系统（ASN），还是借用自低端机房。
• 域名的创立年限：通过 Web Archive (Wayback Machine) 验证其是否真的具有所谓“七年老牌稳定运营”的连贯历史。
• 第三方独立安全审计报告的有效性：查看审计机构官方网站是否具有该报告的公开交叉链接，确认审计范围是“应用程序代码”、“基础设施配置”还是仅仅是“网站隐私文案审查”。

二、公开信息绝对无法证明什么？

即便一家服务商出具了德勤或普华永道的“无日志”合规审计报告，该报告也仅仅代表在审计师抽查的那几个工作日内，相关配置符合策略。一旦面对境外司法管辖区的国家安全传票或技术接管，用户无从获知配置何时被更改。

三、三级尽调评级体系

在梯子测评家档案馆中，我们对任何进入收录名册的服务商应用统一的三层审查：

1. 第一层：已验证事实（Verified Fact）——拥有公共签名、网络测量可复现、政府登记确凿的客观信息。
2. 第二层：服务方声明（Provider Claim）——服务商在宣传单页、官网中自我主张但缺乏外部强制背书的承诺。
3. 第三层：尚待核实信息（Unverified Intel）——社群流传的团队背景、关联马甲、机房争议，保持中立记载，并打上醒目的待核实黄色图章。