ExpressVPN vs Windscribe

V roce 2017 turecké úřady zabavily server ExpressVPN při vyšetřování atentátu na ruského velvyslance Andrei Karlova a nenašly žádné použitelné Logy (TorrentFreak, který uvádí oznámení o sponzorství ExpressVPN — zaznamenáno, nikoli vyloučeno, protože fakta lze externě ověřit a vlastní stránka ExpressVPN s vyjádřením od té doby vrací HTTP 410 bez snímku ve Wayback Machine).

V září 2021 se zveřejnila Deferred Prosecution Agreement ministerstva spravedlnosti USA s Danielem Gerickem, Chief Information Officer společnosti ExpressVPN, týkající se jeho předchozí role v letech 2016–2018 v hackerské operaci „Project Raven“ ve Spojených arabských emirátech; samotný primární dokument DPA ExpressVPN nikdy nejmenuje (týká se pouze jeho předchozího zaměstnání ve Spojených arabských emirátech) — vazba na ExpressVPN vychází z vlastních vyjádření ExpressVPN a tiskových vyjádření. ExpressVPN Gerickeho ponechala v zaměstnání a zveřejnila veřejnou obhajobu tohoto rozhodnutí.

C12 je resettable_ad_id v dokumentaci samotného poskytovatele, nikoli v kategorii obchodu. Marketingový odstavec zásad ochrany soukromí uvádí, že Installation ID a XV User ID se shromažďují vždy a že reklamní identifikátory — IDFA nebo Android Advertising ID — následují po výslovném souhlasu; vše se dostává do AppsFlyer. Formulář bezpečnosti dat v Google Play nezávisle deklaruje Device or other IDs pro reklamu nebo marketing.

Brána souhlasu i zde jediná nabízená mitigace — provoz směřující do AppsFlyer přes vyhrazený fond IP adres ExpressVPN, takže atribuce nemůže korelovat podle IP — jsou skutečné a jsou zde zaznamenány, protože práh oceňuje, co lze doložit, nikoli to, jak dobře je to vysvětleno.

U07_protocols obsahuje celý výběr: Lightway UDP a TCP jako vendor_open vedle WireGuard, OpenVPN UDP/TCP a IKEv2. Lightway je vlastní protokol ExpressVPN a jeho zdrojový kód je zveřejněn s nezávislým posouzením v pozadí (Cure53, 2021 a 2024), což je rozdíl, pro který vendor_open existuje — proprietary hodnotí nemožnost zjistit, zda je transport slabý, a zde to zjistit lze.

PPTP je v aplikacích ExpressVPN podle vlastní stránky poskytovatele s ukončenou podporou a L2TP a SSTP jsou tam vysvětleny, aniž by byly nabízeny.

Zpráva o transparentnosti. P05/P06/P08/P09 nyní vycházejí z pololetní zprávy ExpressVPN o transparentnosti (červenec–prosinec 2025: 155 žádostí vládních orgánů a orgánů činných v trestním řízení, 0 poskytnutí údajů, 3 soudní příkazy uvedené samostatně), která byla zpřístupněna prostřednictvím Trust Center — předchozí průchod přehlédl obojí.

Kanár a zbytek bloku. Nebyl nalezen žádný warrant canary ExpressVPN a žádné primární prohlášení jeho existenci nepopírá, takže P07 zůstává neznámo. P02/P03=none_known vycházejí z řady zpráv o transparentnosti a postoje zásad ochrany soukromí k soudním sporům; P11=none_known z prohlášení v zásadách, že všechny žádosti procházejí soudy BVI. P04=withdrew_physical je odchod z Indie v červnu 2022.

Co se nikdy nezveřejňuje. Počet předplatitelů (M08) a celkový počet serverů (U03) nejsou zveřejněny. Vlastnictví serverového hardwaru (C08: vlastněný vs. pronajatý) a identifikátory zařízení na úrovni aplikace (C12) nebylo možné doložit z žádné prověřené stránky.

106 zemí oproti deklarovaným 113. U02_server_countries odráží 105 stránek pro jednotlivé země ve vlastním sitemapu ExpressVPN plus Čínu (potvrzenou jako „Available - Virtual Locations“ na aktuální stránce /vpn-server, ale bez vlastní stránky pro danou zemi) — celkem 106 kódů oproti vlastnímu marketingovému tvrzení webu „113 Countries“; aktuální stránka s umístěními serverů je velmi rozsáhlá tabulka podle protokolů, která nebyla vyčerpávajícím způsobem analyzována, takže mezera mezi 106 a 113 je uvedena, nikoli vyřešena.

Zjištění z auditu mezi dvěma kategoriemi. V11_audit_findings je zaznamenáno jako session_metadata, nikoli jako none_linkable nebo aggregates_only: zpráva KPMG z roku 2025 popisuje strukturovaný záznam pro každé připojení (země, ISP, datum, protokol, objem dat, stabilní pseudonym se salted-hash), který je více než čistý agregát, ale neobsahuje IP ani přesný čas — skutečně nejednoznačný případ pro čtyři střední kategorie tohoto pole.

V tomto průchodu neověřeno. Zda pokrytí ExpressVPN existuje mimo partnerské weby (X08), jeho úroveň partnerských výplat (X10) a zda média s recenzemi provozovaná vlastníkem upozorňují na vazbu vlastnictví (X11), nebylo v tomto průchodu ověřeno.

P2P, hledáno a nenalezeno. U12a_p2p_allowed zůstává neznámo z jiného důvodu než u zbytku: bylo hledáno a není zveřejněno. Ani sitemap (578 stránek a podpůrných URL), ani podmínky služby nikde nezmiňují P2P, BitTorrent nebo sdílení souborů, zatímco každý další katalogizovaný poskytovatel uvádí svůj postoj ve vlastních dokumentech. Uzavřel by to podpůrný článek nebo ustanovení v podmínkách; tvrzení recenzního webu, že to funguje, nikoli.

Proč se uchovávání dat oceňuje podle zjištění. Uchovávání dat se proto oceňuje podle toho, co auditor prokázal jako dostupné, nikoli podle toho, co deklaruje zásada, a kanál integrity zachycuje rozdíl mezi těmito dvěma skutečnostmi. Chápejte to jako dva roky staré zjištění na jednom uzlu, nikoli jako aktuální měření: rozsah zahrnoval pouze ca-023.windscribe.com a vyřešilo by to až novější prověření pokrývající větší část flotily.

Seznam, který nebyl nikdy načten. Nabízený seznam zemí nebyl nikdy načten, takže nelze vypočítat skóre zemí použitelnosti ani průnik mandátu — Windscribe zveřejňuje rozlišení fyzických a virtuálních serverů, díky čemuž lze zde na C09b odpovědět, jakmile bude seznam načten. Velikost uživatelské základny také není doložena, takže pásmo expozice spočívá na menším základu, než by mělo.

Odkud nyní citují všechny tři události. AIN.UA stále obsahuje ukrajinské servery zabavené 24. června 2021 a vlastní blog Windscribe případ v Řecku, který byl zamítnut 11. dubna 2025. Nizozemské zabavení i samotné pole zabavení nyní citují vlastní stránku Windscribe o no-logs namísto tisku placeného affiliate programem, který o něm informoval jako první: zpráva společnosti o jejím vlastním zabavení je primární, nikoli cizí zpráva o něm. Ukrajinská událost je datována samotným zabavením, nikoli článkem, který o něm informoval.