ExpressVPN مقابل NordVPN

تقرير الشفافية. تستند P05/P06/P08/P09 الآن إلى تقرير الشفافية نصف السنوي الصادر عن ExpressVPN (يوليو–ديسمبر 2025: 155 طلبًا حكوميًا/من جهات إنفاذ القانون، و0 إفصاحات، و3 أوامر تفتيش مدرجة منفصلة) والوصول إليه عبر Trust Center — وقد أغفلتهما المراجعة السابقة معًا.

إشارة عدم وجود أوامر تفتيش، وبقية الكتلة. تعذّر العثور على إشارة ExpressVPN لعدم وجود أوامر تفتيش، ولم يمكن العثور على بيان أولي ينفي وجودها، لذا تظل P07 غير معروفة. تستند P02/P03=none_known إلى سلسلة تقارير الشفافية وموقف سياسة الخصوصية من الدعاوى القضائية؛ وتستند P11=none_known إلى بيان السياسة بأن جميع الطلبات تمر عبر محاكم BVI. أما P04=withdrew_physical فهي انسحاب يونيو 2022 من الهند.

ما لا يُنشر مطلقًا. عدد المشتركين (M08) وإجمالي عدد الخوادم (U03) غير منشورين. ولم يمكن إثبات ملكية أجهزة الخوادم (C08: مملوكة مقابل مستأجرة) ومعرّفات الأجهزة على مستوى التطبيق (C12) من أي صفحة جرى فحصها.

106 دولة مقابل ادعاء بـ113. يعكس U02_server_countries صفحات الوصول الخاصة بـ105 دول في خريطة موقع ExpressVPN نفسها، إضافة إلى الصين (المؤكدة بعبارة «Available - Virtual Locations» على صفحة /vpn-server المباشرة، لكن من دون صفحة وصول مخصصة) — بإجمالي 106 رموز، مقابل ادعاء الموقع نفسه التسويقي «113 Countries»؛ وصفحة مواقع الخوادم المباشرة عبارة عن جدول كبير جداً لكل بروتوكول لم يُحلَّل بشكل شامل، لذلك أُبلغ عن الفجوة بين 106 و113 بدلاً من حسمها.

نتيجة تدقيق بين فئتين. سُجّل V11_audit_findings على أنه session_metadata بدلاً من none_linkable أو aggregates_only: يصف تقرير KPMG لعام 2025 سجلاً منظماً لكل اتصال (الدولة، وISP، والتاريخ، والبروتوكول، وحجم البيانات، واسم مستعار ثابت ناتج عن تجزئة مملّحة) وهو أكثر من مجرد تجميع خالص، لكنه يفتقر إلى IP والوقت الدقيق — وهي حالة ملتبسة فعلاً بالنسبة إلى الفئات الوسطى الأربع لهذا الحقل.

لم يُتحقق منه في هذه الجولة. لم يُتحقق في هذه الجولة مما إذا كان نطاق ExpressVPN موجوداً خارج مواقع الشركات التابعة (X08)، أو من شريحة عائد الشركات التابعة (X10)، أو مما إذا كانت وسائل الإعلام المالكة للمراجعات تشير إلى صلة الملكية (X11).

P2P، جرى البحث عنه ولم يُعثر عليه. يظل U12a_p2p_allowed غير معروف لسبب مختلف عن بقية العناصر: جرى البحث عنه لكنه غير منشور. لا تذكر خريطة الموقع (578 عنوان صفحة ودعم) ولا شروط الخدمة P2P أو BitTorrent أو مشاركة الملفات في أي موضع، بينما يذكر كل مزوّد آخر مُدرج موقفه في وثائقه الخاصة. من شأن مقالة دعم أو بند في الشروط أن يحسمه؛ أما قول موقع مراجعات إنه يعمل فلن يفعل ذلك.

إشارة الكناري، والربع الذي حلّ محلها. أوقفت الصفحة نفسها إشارة أمر الإفصاح (P07=removed) لصالح تقارير شفافية ربع سنوية؛ ويُظهر أحدث ربع مكتمل (أبريل–يونيو ٢٠٢٦) ٨٥ استفسارًا حكوميًا و٠ إفصاح، ولذلك فإن P08/P09 يخصّان تلك الفترة، لا الرقم طوال الفترة.

الهند، ونظام الأوامر السرية. ‏P04=withdrew_physical هو خروج الهند في يونيو ٢٠٢٢. ويستند P11=none_known إلى بيان الصفحة بأن NordVPN لم تتلقَّ أي National Security letters أو أوامر عدم إفصاح ملزمة، وإلى عدم وجود نظام من هذا النوع في Panama.

مستوى ضمان لا يمكن لأحد التحقق منه. تصف NordVPN مهمة Deloitte Lithuania بأنها مهمة ضمان معقول بموجب ISAE 3000 (Revised)، وهو الشكل الأقوى؛ بينما ينص تقرير PIA، الذي يمكن قراءته، على استنتاج ضمان محدود.

لماذا لا تُحتسب الصيغة الأقوى. يسعّر النموذج الآن ذلك الفرق، ولا تستفيد منه هذه القائمة: V15_assurance_strength غير معروف لأن التصريح الوحيد عن المستوى صادر عن NordVPN نفسها، ويتعلق بتقرير لا يستطيع أي شخص خارج Nord Account فتحه. الوثيقة المحجوبة خلف تسجيل الدخول ليست دليلًا هنا على أي مستوى، ولذلك يُحتسب هذا الالتزام وفق معيار السوق لا وفق المستوى الذي يُقال إنه بلغه.

تقرير محجوب خلف تسجيل الدخول. لا يمكن قراءة التقرير نفسه إلا بعد تسجيل الدخول إلى Nord Account، ولذلك لم يتحقق أي شخص خارج تلك العلاقة من نطاقه، وتستند كل حقول التدقيق هنا إلى ملخص NordVPN نفسها له بدلًا من الوثيقة. وهذا، لا وجود نتيجة ضد الخدمة، هو سبب كون هذا السجل الأقل أدلة في القائمة.

حقول الجهة المالكة. M11_owner_jurisdiction وX04_owner_group_history غير معروفين: يذكر كل من nordvpn.com وnordsecurity.com أن Nord Security هي الجهة المالكة، لكن لا يذكر أيٌّ منهما الولاية القضائية الخاصة بتأسيس Nord Security نفسها أو أي سجل سابق للمجموعة؛ وتربط الصحافة الثانوية كيانًا قابضًا باسم 'Cyberspace' بهولندا منذ اندماج 2022، لكن لم يُؤكَّد ذلك مقابل صفحة أساسية لـNord Security أو NordVPN خلال الوقت المتاح.

في 2017، صادرت السلطات التركية خادماً لـExpressVPN أثناء التحقيق في اغتيال السفير الروسي أندrei Karlov، ولم تعثر على أي سجلات قابلة للاستخدام (TorrentFreak، الذي يحمل إشعار رعاية من ExpressVPN — أُشير إلى ذلك ولم يُستبعد، لأن الوقائع قابلة للتحقق خارجياً، ولأن صفحة بيان ExpressVPN نفسها أعادت منذ ذلك الحين HTTP 410 من دون لقطة في Wayback Machine).

في سبتمبر 2021، أصبح اتفاق تأجيل الملاحقة القضائية المبرم مع Daniel Gericke، كبير مسؤولي المعلومات في ExpressVPN، علنياً بشأن دوره السابق بين 2016 و2018 في عملية القرصنة الإماراتية «Project Raven»؛ ولا يذكر مستند الاتفاق الأساسي نفسه ExpressVPN مطلقاً (إذ يغطي عمله السابق في الإمارات فقط) — وتأتي الصلة بـExpressVPN من بيانات ExpressVPN نفسها والبيانات الصحفية. أبقت ExpressVPN على توظيف Gericke ونشرت دفاعاً علنياً عن ذلك القرار.

إن C12 هو resettable_ad_id في النص الخاص بالمزوّد، وليس ضمن فئة متجر. تنص الفقرة التسويقية في سياسة الخصوصية على جمع Installation ID وXV User ID دائمًا، وعلى أن معرّفات الإعلانات — IDFA أو Android Advertising ID — تُجمع بعد موافقة صريحة، وكل ذلك يصل إلى AppsFlyer؛ كما يعلن نموذج أمان البيانات في Play، بصورة مستقلة، عن استخدام معرّفات الجهاز أو معرّفات أخرى للإعلانات أو التسويق.

بوابة الموافقة وإجراء التخفيف الذي لا يقدمه أي مزوّد آخر هنا — توجيه الحركة المرتبطة بـ AppsFlyer عبر مجموعة IP مخصّصة لـ ExpressVPN بحيث لا يمكن للإسناد الربط عبر IP — أمران حقيقيان ومسجّلان هنا، لأن الحد الأدنى يقيّم ما يمكن الاحتفاظ به، لا مدى جودة شرحه.

يحمل U07_protocols القائمة الكاملة للاختيار: Lightway UDP وTCP بوصفهما vendor_open، إلى جانب WireGuard وOpenVPN UDP/TCP وIKEv2. إن Lightway هو البروتوكول الخاص بـ ExpressVPN، ومصدره منشور وتدعمه مراجعة مستقلة (Cure53، 2021 و2024)، وهذا هو الفرق الذي وُجدت له vendor_open — إذ يقيّم proprietary استحالة معرفة ما إذا كان النقل ضعيفًا، بينما يمكن معرفة ذلك هنا.

أُحيل PPTP إلى التقاعد في تطبيقات ExpressVPN وفق صفحة البروتوكولات الخاصة بالمزوّد، ويجري شرح L2TP وSSTP هناك من دون توفيرهما.

كان اختراق مركز بيانات Finland في 2018 عملية اختراق من طرف ثالث، وليس مصادرة من جهات إنفاذ القانون — وسُجّل ضمن P12_case_history على أنه kind=breach، لا P01_seizure_event. ويتفق سرد NordVPN نفسه (nordvpn.com/blog/official-response-datacenter-breach/) والتغطية المعاصرة من Bloomberg على أن الإفصاح جاء بعد ادعاءات على Twitter من باحثين خارجيين، لا بمبادرة NordVPN نفسها — ومن ثم third_party_disclosed بدلًا من self_disclosed_late.

تشترك NordVPN وSurfshark في مجموعة مالكة هي Nord Security، لكن إعلان الاندماج الصادر عن الشركتين نفسيهما ينص على بنية تحتية وخرائط طريق للمنتجات منفصلة؛ ولذلك ضُبط M18 على الفصل على هذا الأساس.