ExpressVPN vs Surfshark

Zpráva o transparentnosti. P05/P06/P08/P09 nyní vycházejí z pololetní zprávy ExpressVPN o transparentnosti (červenec–prosinec 2025: 155 žádostí vládních orgánů a orgánů činných v trestním řízení, 0 poskytnutí údajů, 3 soudní příkazy uvedené samostatně), která byla zpřístupněna prostřednictvím Trust Center — předchozí průchod přehlédl obojí.

Kanár a zbytek bloku. Nebyl nalezen žádný warrant canary ExpressVPN a žádné primární prohlášení jeho existenci nepopírá, takže P07 zůstává neznámo. P02/P03=none_known vycházejí z řady zpráv o transparentnosti a postoje zásad ochrany soukromí k soudním sporům; P11=none_known z prohlášení v zásadách, že všechny žádosti procházejí soudy BVI. P04=withdrew_physical je odchod z Indie v červnu 2022.

Co se nikdy nezveřejňuje. Počet předplatitelů (M08) a celkový počet serverů (U03) nejsou zveřejněny. Vlastnictví serverového hardwaru (C08: vlastněný vs. pronajatý) a identifikátory zařízení na úrovni aplikace (C12) nebylo možné doložit z žádné prověřené stránky.

106 zemí oproti deklarovaným 113. U02_server_countries odráží 105 stránek pro jednotlivé země ve vlastním sitemapu ExpressVPN plus Čínu (potvrzenou jako „Available - Virtual Locations“ na aktuální stránce /vpn-server, ale bez vlastní stránky pro danou zemi) — celkem 106 kódů oproti vlastnímu marketingovému tvrzení webu „113 Countries“; aktuální stránka s umístěními serverů je velmi rozsáhlá tabulka podle protokolů, která nebyla vyčerpávajícím způsobem analyzována, takže mezera mezi 106 a 113 je uvedena, nikoli vyřešena.

Zjištění z auditu mezi dvěma kategoriemi. V11_audit_findings je zaznamenáno jako session_metadata, nikoli jako none_linkable nebo aggregates_only: zpráva KPMG z roku 2025 popisuje strukturovaný záznam pro každé připojení (země, ISP, datum, protokol, objem dat, stabilní pseudonym se salted-hash), který je více než čistý agregát, ale neobsahuje IP ani přesný čas — skutečně nejednoznačný případ pro čtyři střední kategorie tohoto pole.

V tomto průchodu neověřeno. Zda pokrytí ExpressVPN existuje mimo partnerské weby (X08), jeho úroveň partnerských výplat (X10) a zda média s recenzemi provozovaná vlastníkem upozorňují na vazbu vlastnictví (X11), nebylo v tomto průchodu ověřeno.

P2P, hledáno a nenalezeno. U12a_p2p_allowed zůstává neznámo z jiného důvodu než u zbytku: bylo hledáno a není zveřejněno. Ani sitemap (578 stránek a podpůrných URL), ani podmínky služby nikde nezmiňují P2P, BitTorrent nebo sdílení souborů, zatímco každý další katalogizovaný poskytovatel uvádí svůj postoj ve vlastních dokumentech. Uzavřel by to podpůrný článek nebo ustanovení v podmínkách; tvrzení recenzního webu, že to funguje, nikoli.

Indie a režim tajných příkazů. P04_mandate_response=withdrew_physical je odchod z Indie v červnu 2022, obnovený z vlastního blogu Surfshark (surfshark.com/blog/surfshark-servers-certin-india) poté, co předchozí kontrola zjistila, že stránka /trust-center už tuto informaci neobsahuje. P11=judicial_only vychází ze zprávy o transparentnosti, která uvádí příkaz Amsterdam District Court z dubna 2026, přičemž počty National-Security-letter a příkazů s mlčenlivostí jsou nulové.

Nalezeny dvě zprávy, možná ne všechny. Byly nalezeny pouze dvě zveřejněné zprávy Deloitte o nulovém uchovávání dat (prosinec 2022, červen 2025); mohou existovat další, které nejsou odkazovány z robots.txt a tento audit je jinými prostředky nehledal.

V roce 2017 turecké úřady zabavily server ExpressVPN při vyšetřování atentátu na ruského velvyslance Andrei Karlova a nenašly žádné použitelné Logy (TorrentFreak, který uvádí oznámení o sponzorství ExpressVPN — zaznamenáno, nikoli vyloučeno, protože fakta lze externě ověřit a vlastní stránka ExpressVPN s vyjádřením od té doby vrací HTTP 410 bez snímku ve Wayback Machine).

V září 2021 se zveřejnila Deferred Prosecution Agreement ministerstva spravedlnosti USA s Danielem Gerickem, Chief Information Officer společnosti ExpressVPN, týkající se jeho předchozí role v letech 2016–2018 v hackerské operaci „Project Raven“ ve Spojených arabských emirátech; samotný primární dokument DPA ExpressVPN nikdy nejmenuje (týká se pouze jeho předchozího zaměstnání ve Spojených arabských emirátech) — vazba na ExpressVPN vychází z vlastních vyjádření ExpressVPN a tiskových vyjádření. ExpressVPN Gerickeho ponechala v zaměstnání a zveřejnila veřejnou obhajobu tohoto rozhodnutí.

C12 je resettable_ad_id v dokumentaci samotného poskytovatele, nikoli v kategorii obchodu. Marketingový odstavec zásad ochrany soukromí uvádí, že Installation ID a XV User ID se shromažďují vždy a že reklamní identifikátory — IDFA nebo Android Advertising ID — následují po výslovném souhlasu; vše se dostává do AppsFlyer. Formulář bezpečnosti dat v Google Play nezávisle deklaruje Device or other IDs pro reklamu nebo marketing.

Brána souhlasu i zde jediná nabízená mitigace — provoz směřující do AppsFlyer přes vyhrazený fond IP adres ExpressVPN, takže atribuce nemůže korelovat podle IP — jsou skutečné a jsou zde zaznamenány, protože práh oceňuje, co lze doložit, nikoli to, jak dobře je to vysvětleno.

U07_protocols obsahuje celý výběr: Lightway UDP a TCP jako vendor_open vedle WireGuard, OpenVPN UDP/TCP a IKEv2. Lightway je vlastní protokol ExpressVPN a jeho zdrojový kód je zveřejněn s nezávislým posouzením v pozadí (Cure53, 2021 a 2024), což je rozdíl, pro který vendor_open existuje — proprietary hodnotí nemožnost zjistit, zda je transport slabý, a zde to zjistit lze.

PPTP je v aplikacích ExpressVPN podle vlastní stránky poskytovatele s ukončenou podporou a L2TP a SSTP jsou tam vysvětleny, aniž by byly nabízeny.

Tento záznam byl dříve přečten dvakrát — connection_timestamps ve V11 podle znění auditu, source_ip v C01 podle znění zásad — a ohodnocen podle horšího z těchto dvou údajů, takže patnáctiminutová mezera stála více než neuvedení údaje: prázdné C01 má tržní prior 0.550 a source_ip má 0.750.

R29 nyní vymezuje hranici: stav smazaný v deklarovaném časovém okně navázaném na konec relace je připojení, nikoli jeho záznam, takže obě pole ve stejné větě uvádějí connection_timestamps. Stále se započítává to, co přežije relaci — datum posledního přihlášení v části zásad 2.3.1 a časová razítka připojení, která auditor uvádí.

Surfshark a NordVPN mají společného vlastníka (Nord Security, od roku 2022), ale vlastní stránka Surfsharku „o nás“ uvádí, že se značky sloučily „při samostatném provozu“ s oddělenou infrastrukturou — M18 je na tomto základě nastaveno jako oddělené, stejně jako v záznamu nordvpn.com.

U12a je ve vlastním sloupci P2P tabulky serverů částečné, nikoli ano: 88 ze 100 uvedených zemí jej má a dvanáct ne (AU, CL, CO, HR, GR, IE, JP, MX, NZ, TW, TR, AE). Sloupec se vykresluje na straně klienta, takže byl odečten z vykreslené tabulky, nikoli ze statického HTML, kde každý řádek obsahuje každý štítek.

Zpráva o transparentnosti na /transparency-report — kam nyní přesměrovává /warrant-canary — uvádí čtvrtletí duben–červen 2026 v tabulce: 374,719 oznámení DMCA, 33 dotazů od vládních institucí, 1 soudní příkaz, 0 dopisů národní bezpečnosti a 0 příkazů s mlčenlivostí. P08 započítává 34 právních žádostí a oznámení DMCA vynechává: jde o stížnosti na porušení autorských práv týkající se provozu, nikoli o žádosti o údaje uživatele.

Stejná stránka uvádí, že Surfshark ruší svůj warrant canary ve prospěch čtvrtletního reportingu, a proto je P07 odstraněno, nikoli označeno jako žádné — canary existoval a byl záměrně stažen.

U07_protocols nese pro Dausos hodnotu