ExpressVPN vs Opera VPN

I 2017 beslaglagde tyrkiske myndigheder en ExpressVPN-server under efterforskningen af mordet på den russiske ambassadør Andrei Karlov og fandt ingen brugbare logs (TorrentFreak, som har en sponsoreringsmeddelelse for ExpressVPN — noteret, ikke udelukket, eftersom forholdene kan kontrolleres eksternt, og ExpressVPN's egen udtalelsesside siden er returneret med HTTP 410 uden et Wayback Machine-snapshot).

I september 2021 blev DOJ's Deferred Prosecution Agreement med Daniel Gericke, ExpressVPN's Chief Information Officer, om hans tidligere rolle i UAE's hackingsoperation 'Project Raven' i 2016-2018 offentligt kendt; selve det primære DPA-dokument nævner aldrig ExpressVPN (det omhandler kun hans tidligere ansættelse i UAE) — forbindelsen til ExpressVPN kommer fra ExpressVPN's egne udtalelser og pressemeddelelser. ExpressVPN lod Gericke fortsætte som ansat og offentliggjorde et offentligt forsvar for beslutningen.

C12 er resettable_ad_id baseret på udbyderens egen tekst frem for på en butikskategori. Privatlivspolitikkens afsnit om markedsføring angiver, at et Installation ID og et XV User ID altid indsamles, og at reklameidentifikatorer — IDFA eller Android Advertising ID — følger efter udtrykkeligt samtykke, hvor det hele når frem til AppsFlyer; Play-formularen om datasikkerhed angiver uafhængigt Device eller andre ID'er til reklame eller markedsføring.

Samtykkegrænsen og en afbødning, som ingen andre her tilbyder — AppsFlyer-bundet trafik dirigeret gennem en dedikeret ExpressVPN-IP-pulje, så attribution ikke kan korrelere efter IP — er reelle og registreres her, fordi bundniveauet vurderer, hvad der kan holdes, ikke hvor godt det forklares.

U07_protocols indeholder hele protokolvælgeren: Lightway UDP og TCP som vendor_open, ved siden af WireGuard, OpenVPN UDP/TCP og IKEv2. Lightway er ExpressVPN's egen protokol, og dens kildekode er offentliggjort med uafhængig gennemgang bag sig (Cure53, 2021 og 2024), hvilket er den skelnen, vendor_open findes for — proprietary prissætter umuligheden af at afgøre, om en transport er svag, og her kan det afgøres.

PPTP er udfaset i ExpressVPN-apps ifølge udbyderens egen protokolside, og L2TP og SSTP forklares dér uden at blive tilbudt.

X02 er den bærende konstatering, og begge dokumenter bag den er Operas egne. Meddelelsen fra 2024 citerer Deloittes vurdering som "konfigurationen af IT-systemerne og ledelsen af de understøttende IT-driftaktiviteter var hensigtsmæssigt udformet og implementeret i alle væsentlige henseender på grundlag af kriterierne beskrevet i Operas Management Assertion pr. 10. august 2024", og tilskriver separat sætningen "Der er ingen datalogningsfunktion indbygget i VPN-tjenesten, og der indsamles overhovedet ingen data" til Operas egen Management Assertion.

Opslaget fra 2026 genfortæller den samme opgave som om Deloitte havde foretaget konstateringen: "vi gav Deloittes team fuld adgang til vores VPN- og serverinfrastruktur, og de kunne verificere vores påstand ... Faktisk er en datalogningsfunktion slet ikke indbygget i VPN'en til at begynde med." Det samme opslag opgraderer et tidsrum, som opslaget fra 2024 daterer til 18. juni til 10. august 2024, til "fuld adgang".

Opera beskriver sin egen påstand som sin auditors konklusion. Det er derfor, VERIFY-blokken er opdelt, som den er. V01 er yes_verified på grundlag af en rapport, der faktisk blev åbnet – Cure53's egen offentliggjorte ledelsesopsummering af vurderingen fra marts 2022 – ikke på grundlag af Deloitte-meddelelsen.

Deloitte-rapporten selv er ikke offentliggjort nogetsteds, så V02 er press_only, og hvert felt, der er et resultat af rapporten snarere end et faktum om opgaven, forbliver ukendt: flådedækning (V04), assurance-standard (V07), hvad rapporten angiver opbevares (V11), og vurderingens styrke (V15).

Opgavefakta – firmaet, dets kategori, datoen og hvad der blev angivet som testet – er taget fra meddelelsen. En udbyder, der påviseligt én gang har omkarakteriseret denne audit, er ikke en kilde til, hvad auditen konkluderede. C01 er none_linkable, fordi det er erklæringen i privatlivserklæringen; V11 er resultatet, og der er intet resultat at læse.

Gennemsigtighedsrapporten. P05/P06/P08/P09 bygger nu på ExpressVPNs halvårlige gennemsigtighedsrapport (jul.–dec. 2025: 155 anmodninger fra myndigheder og retshåndhævende myndigheder, 0 videregivelser, 3 kendelser opført separat), som blev nået via Trust Center — den tidligere gennemgang overså begge dele.

Canaryen og resten af blokken. Der kunne ikke findes nogen ExpressVPN-warrant-canary, og ingen primær erklæring afviser, at der findes en, så P07 forbliver ukendt. P02/P03=none_known bygger på gennemsigtighedsserien og privatlivspolitikkens holdning til retssager; P11=none_known bygger på politikkens erklæring om, at alle påbud behandles gennem BVI-domstole. P04=withdrew_physical er udtrædelsen fra Indien i juni 2022.

Det, der aldrig offentliggøres. Antallet af abonnenter (M08) og det samlede antal servere (U03) offentliggøres ikke. Ejerskab af serverhardware (C08: ejet kontra lejet) og enhedsinstrumenter på appniveau (C12) kunne ikke dokumenteres ud fra nogen af de undersøgte sider.

106 lande mod en hævdet påstand om 113. U02_server_countries afspejler de 105 landelandingssider i ExpressVPN's eget sitemap plus Kina (bekræftet som 'Available - Virtual Locations' på den aktive /vpn-server-side, men uden en dedikeret landingsside) — 106 koder i alt mod webstedets egen markedsføringspåstand om '113 Countries'; den aktive serverlokationsside er en meget stor tabel pr. protokol, som ikke blev udtrukket udtømmende, så manglen mellem 106 og 113 rapporteres uden at blive afgjort.

Et auditfund mellem to kategorier. V11_audit_findings er registreret som session_metadata snarere end none_linkable eller aggregates_only: KPMG-rapporten fra 2025 beskriver en struktureret registrering pr. forbindelse (land, ISP, dato, protokol, datamængde, et stabilt pseudonym baseret på saltet hash), som er mere end et rent aggregat, men mangler IP og præcist tidspunkt — et reelt tvetydigt tilfælde for dette felts fire mellemkategorier.

Ikke kontrolleret i denne gennemgang. Om ExpressVPN's dækning findes uden for affiliatesider (X08), dets affiliate-udbetalingsniveau (X10), og om ejerdrevne anmeldelsesmedier markerer ejerskabsforbindelsen (X11), blev ikke kontrolleret i denne gennemgang.

P2P, undersøgt og fraværende. U12a_p2p_allowed forbliver ukendt af en anden grund end resten: Det blev undersøgt og er ikke offentliggjort. Hverken sitemap'et (578 sider og support-URL'er) eller servicevilkårene nævner P2P, BitTorrent eller fildeling noget sted, mens alle andre katalogiserede udbydere angiver deres holdning i deres egne dokumenter. En supportartikel eller en klausul i servicevilkårene ville afklare det; en anmeldelsesside, der siger, at det virker, ville ikke.

Rapporten, der ville flytte fire felter. Deloitte-rapporten er det andet dokument, der ville flytte flere felter på én gang: V04, V07, V11 og V15 er alle ukendte, kun fordi den ikke er offentliggjort, og V11 er især det felt, som hele påstanden om ingen logning hviler på.

Det, der ikke har noget dokument. U07 har intet dokument, og det har C13 bagved heller ikke: Opera nævner AES-256 og en "sikker tunnel" og aldrig en protokol, så den svageste tilgængelige transport er ikke dokumenteret. U08, U09 og U12b er ikke udfyldt af samme grund — funktionssammenligningstabellen på produktsiden markerer rækker med flueben, som den hentede markup ikke indeholder, og det er ikke en kilde at aflæse flueben fra et gengivet billede.

Servere beskrevet, ikke belagt. C02, C06 og C08 har intet belæg: Opera siger, at serverne er fysiske og dens egne, hvilket hverken dokumenterer disk eller DNS eller hvem der ejer hardwaren. C09b kan ikke besvares, mens U02 er ukendt.

Én butik, ikke to. Kun Google Plays formular om datasikkerhed blev læst; App Stores privatlivsmærkater for iOS-browseren blev ikke læst, så X12 hviler på én butik i stedet for den værste af to.

To fortolkninger snarere end udsagn. Linux i U01 er udledt af skrivebordets hjælpemanual, som dokumenterer VPN og dækker Windows, macOS og Linux samlet uden at opdele efter platform; Android og iOS nævnes udtrykkeligt i auditmeddelelsen. U10 er ubegrænset, fordi der ikke er nogen konto og ingen enhedsgrænse til at håndhæve en sådan, hvilket er en fortolkning af produktet snarere end et angivet tal.