ExpressVPN vs Surfshark

Läbipaistvusaruanne. P05/P06/P08/P09 põhinevad nüüd ExpressVPN-i kaks korda aastas avaldataval läbipaistvusaruandel (juuli–detsember 2025: 155 valitsuse ja õiguskaitseasutuste taotlust, 0 avalikustamist, 3 eraldi loetletud määrust), milleni jõuti Trust Centeri kaudu — varasem töötlus jättis mõlemad vahele.

Kontrollmärguanne ja ülejäänud plokk. ExpressVPN-i warrant canary't ei leitud ning ükski esmane avaldus seda ei eita, seega jääb P07 teadmata. P02/P03=none_known põhinevad läbipaistvusaruannete seerial ja privaatsuspoliitika kohtuvaidlusi käsitleval hoiakul; P11=none_known põhineb poliitika avaldusel, et kõik nõuded läbivad BVI kohtud. P04=withdrew_physical on 2022. aasta juunis toimunud Indiast lahkumine.

Mida ei avaldata kunagi. Tellijate arvu (M08) ja serverite koguarvu (U03) ei avaldata. Serveririistvara omandit (C08: owned vs leased) ja rakenduse taseme seadmeidentifikaatoreid (C12) ei olnud ühegi kontrollitud lehe põhjal võimalik tõendada.

106 riiki võrrelduna väidetud 113-ga. U02_server_countries kajastab ExpressVPN-i enda saidikaardi 105 riigipõhist sihtlehte ning Hiinat (aktiivsel /vpn-server lehel kinnitatud „Available - Virtual Locations“, kuid eraldi sihtleht puudub) — kokku 106 koodi, võrrelduna saidi enda turundusväitega „113 Countries“; aktiivne serverite asukohtade leht on väga suur protokollipõhine tabel, mida ei parsitud ammendavalt, seega esitatakse 106 ja 113 vahe lüngana, mitte ei lahendata seda.

Kahe kategooria vahele jääv auditi leid. V11_audit_findings on kirjena session_metadata, mitte none_linkable või aggregates_only: 2025. aasta KPMG raport kirjeldab struktureeritud ühendusepõhist kirjet (riik, internetiteenuse pakkuja, kuupäev, protokoll, andmemaht, stabiilne soolatud räsi-pseudonüüm), mis on midagi enamat kui puhas koondandmestik, kuid milles puuduvad IP ja täpne kellaaeg — selle välja nelja keskmise kategooria jaoks tõeliselt ebaselge juhtum.

Sellel läbimisel kontrollimata. Sellel läbimisel ei kontrollitud, kas ExpressVPN-i kajastus eksisteerib väljaspool partnerisaite (X08), selle partneritele makstava tasu astet (X10) ega seda, kas omaniku hallatav arvustusmeedia juhib tähelepanu omandisuhtele (X11).

P2P, otsiti, kuid puudus. U12a_p2p_allowed jääb teadmata muul põhjusel kui ülejäänud: seda otsiti, kuid seda ei ole avaldatud. Ei saidikaart (578 lehe- ja toe-URL-i) ega kasutustingimused maini kusagil P2P-d, BitTorrenti või failijagamist, samal ajal kui iga teine kataloogitud teenusepakkuja esitab oma seisukoha enda dokumentides. Toeartikkel või tingimuslause lahendaks selle; arvustussaidil öeldu, et see töötab, ei lahendaks.

India ja salajaste korralduste kord. P04_mandate_response=withdrew_physical on 2022. aasta juunis toimunud India lahkumine, mis taastati Surfsharki enda blogist (surfshark.com/blog/surfshark-servers-certin-india) pärast seda, kui varasem kontroll leidis, et lehel /trust-center seda enam ei olnud. P11=judicial_only põhineb läbipaistvusaruandel, milles 2026. aasta aprilli Amsterdam District Courti määruse ning National-Security-letter'i ja gag-order'i loendurid on null.

Leiti kaks aruannet, võib-olla mitte kõik. Avaldatuna leiti ainult kaks Deloitte'i no-logs aruannet (detsember 2022, juuni 2025); võib olla ka teisi, mida robots.txt ei lingi ja mida see audit muul viisil ei otsinud.

2017. aastal konfiskeerisid Türgi võimud Vene suursaadiku Andrei Karlovi mõrva uurides ühe ExpressVPN-i serveri ega leidnud kasutatavaid logisid (TorrentFreak, millel on ExpressVPN-i sponsorlusteade — märgitud, kuid mitte kõrvale jäetud, sest faktid on väliselt kontrollitavad ja ExpressVPN-i enda avaldusleht tagastab nüüd HTTP 410 ning Wayback Machine'is puudub hetktõmmis).

2021. aasta septembris sai avalikuks DOJ ja ExpressVPN-i Chief Information Officer'i Daniel Gericke'i vaheline Deferred Prosecution Agreement tema varasema, 2016.–2018. aasta rolli tõttu AÜE häkkimisoperatsioonis „Project Raven“; esmane DPA dokument ise ei nimeta kunagi ExpressVPN-i (see hõlmab ainult tema varasemat töötamist AÜE-s) — seos ExpressVPN-iga pärineb ExpressVPN-i enda ja ajakirjanduse avaldustest. ExpressVPN jättis Gericke'i tööle ja avaldas selle otsuse avaliku kaitseavalduse.

C12 on teenusepakkuja enda sõnastuse põhjal resettable_ad_id, mitte poe kategooria põhjal. Privaatsuspoliitika turunduslõigus on kirjas, et alati kogutakse Installation ID ja XV User ID ning et reklaamiidentifikaatorid — IDFA või Android Advertising ID — saadetakse pärast selgesõnalist nõusolekut AppsFlyerile; Play andmeohutuse vorm kinnitab sõltumatult, et reklaami või turunduse jaoks kasutatakse seadme- või muid identifikaatoreid.

Nõusolekuvärav ja leevendusmeede, mida keegi teine siin ei paku — AppsFlyeriga seotud liikluse suunamine spetsiaalse ExpressVPN-i IP-kogumi kaudu, et omistamine ei saaks IP järgi korreleerida — on tegelikud ning need on siin registreeritud, sest alampiir hindab seda, mida saab tuvastada, mitte seda, kui hästi seda selgitatakse.

U07_protocols sisaldab kogu valikut: Lightway UDP ja TCP kui vendor_open, lisaks WireGuard, OpenVPN UDP/TCP ja IKEv2. Lightway on ExpressVPN-i enda protokoll ning selle lähtekood on avaldatud, sõltumatu ülevaatus on sellele tehtud (Cure53, 2021 ja 2024), mis ongi eristus, mille jaoks vendor_open olemas on — proprietary hindab võimatust öelda, kas transport on nõrk, kuid siin saab seda öelda.

Teenusepakkuja enda protokollilehe kohaselt on PPTP ExpressVPN-i rakendustes kasutuselt kõrvaldatud ning L2TP-d ja SSTP-d selgitatakse seal ilma neid pakkumata.

Seda kirjet oli varem loetud kaks korda — connection_timestamps V11-s auditi sõnastuse põhjal, source_ip C01-s poliitika sõnastuse põhjal — ning hinnati neist halvema järgi, mistõttu läks viieteistkümne minuti pikkune puhver maksma rohkem kui mitte midagi öelda: C01-i tühi väärtus on turu eelnev tõenäosus 0.550 ja source_ip väärtus 0.750.

R29 tõmbab nüüd piiri: deklareeritud ajavahemiku jooksul, mis on seotud seansi lõpuga, kustutatud olek on ühendus, mitte selle kirje, seega on mõlemal väljal samas lauses connection_timestamps. Arvesse läheb endiselt see, mis elab seansist kauem — poliitika jaotises 2.3.1 nimetatud viimase sisselogimise kuupäev ja audiitori nimetatud ühenduse ajatemplid.

Surfsharkil ja NordVPN-il on sama omanik (Nord Security, alates 2022. aastast), kuid Surfsharki enda tutvustusleht ütleb, et brändid ühinesid „iseseisvalt tegutsedes” ja eraldi taristuga — selle alusel on M18 määratud eraldi ning see vastab nordvpn.com-i kirjele.

U12a on serveritabeli enda P2P-veerus pigem osaline kui jah: 100 loetletud riigist 88 juures on see märgitud ja kaheteistkümne juures mitte (AU, CL, CO, HR, GR, IE, JP, MX, NZ, TW, TR, AE). Veerg kuvatakse kliendi poolel, seega loeti see renderdatud tabelist, mitte staatilisest HTML-ist, kus iga rida sisaldab iga märgistust.

Aadressil /transparency-report olev läbipaistvusaruanne — kuhu /warrant-canary nüüd ümber suunab — sisaldab aprilli–juuni 2026 kvartalit tabelina: 374,719 DMCA-teadet, 33 päringut valitsusasutustelt, 1 orderit, 0 riikliku julgeoleku kirja ja 0 avaldamiskeeldu. P08 arvestab 34 õiguslikku taotlust ega arvesta DMCA-teateid: need on liiklust puudutavad autoriõiguse kaebused, mitte kasutaja andmete taotlused.

Samal lehel öeldakse, et Surfshark loobub warrant canary kasutamisest kvartaliaruandluse kasuks, mistõttu P07 on eemaldatud, mitte märgitud väärtusega none — canary oli olemas ja see võeti teadlikult kasutuselt.