ExpressVPN vs NordVPN

Pada 2017, otoritas Turki menyita server ExpressVPN saat menyelidiki pembunuhan Duta Besar Rusia Andrei Karlov dan tidak menemukan log yang dapat digunakan (TorrentFreak, yang memuat pemberitahuan sponsorship untuk ExpressVPN — dicatat, bukan dikecualikan, karena faktanya dapat diperiksa dari luar dan halaman pernyataan milik ExpressVPN sendiri sejak itu mengembalikan HTTP 410 tanpa snapshot Wayback Machine).

Pada September 2021, Deferred Prosecution Agreement DOJ dengan Daniel Gericke, Chief Information Officer ExpressVPN, mengenai perannya sebelumnya pada 2016-2018 dalam operasi peretasan 'Project Raven' di UAE menjadi publik; dokumen DPA utama itu sendiri tidak pernah menyebut ExpressVPN (dokumen tersebut hanya mencakup pekerjaannya sebelumnya di UAE) — hubungan dengan ExpressVPN berasal dari pernyataan ExpressVPN sendiri dan pernyataan pers. ExpressVPN mempertahankan Gericke sebagai karyawan dan menerbitkan pembelaan publik atas keputusan tersebut.

C12 adalah resettable_ad_id dalam uraian penyedia sendiri, bukan dalam kategori toko. Paragraf pemasaran dalam kebijakan privasi menyatakan bahwa Installation ID dan XV User ID selalu dikumpulkan dan bahwa pengenal iklan — IDFA atau Android Advertising ID — dikumpulkan setelah persetujuan eksplisit, yang semuanya sampai ke AppsFlyer; formulir keamanan data Play secara independen menyatakan Device atau other IDs untuk periklanan atau pemasaran.

Gerbang persetujuan dan mitigasi yang tidak ditawarkan penyedia lain di sini — lalu lintas yang terikat ke AppsFlyer dirutekan melalui kumpulan IP ExpressVPN khusus sehingga atribusi tidak dapat mengorelasikannya berdasarkan IP — benar-benar ada dan dicatat di sini, karena batas bawah menilai apa yang dapat ditahan, bukan seberapa baik hal itu dijelaskan.

U07_protocols memuat seluruh pemilih: Lightway UDP dan TCP sebagai vendor_open, di samping WireGuard, OpenVPN UDP/TCP, dan IKEv2. Lightway adalah protokol milik ExpressVPN dan sumbernya dipublikasikan dengan peninjauan independen yang mendukungnya (Cure53, 2021 dan 2024), yang merupakan perbedaan yang menjadi alasan adanya vendor_open — proprietary menilai ketidakmungkinan untuk mengetahui apakah suatu transportasi lemah, dan di sini hal itu dapat diketahui.

PPTP sudah dihentikan pada aplikasi ExpressVPN menurut halaman protokol penyedia sendiri, dan L2TP serta SSTP dijelaskan di sana tanpa ditawarkan.

Pembobolan pusat data Finlandia pada 2018 merupakan intrusi pihak ketiga, bukan penyitaan oleh penegak hukum — dicatat dalam P12_case_history sebagai kind=breach, bukan P01_seizure_event. Pernyataan NordVPN sendiri (nordvpn.com/blog/official-response-datacenter-breach/) dan liputan Bloomberg pada saat itu sepakat bahwa pengungkapan tersebut mengikuti tuduhan di Twitter oleh peneliti eksternal, bukan inisiatif NordVPN sendiri — sehingga digunakan third_party_disclosed, bukan self_disclosed_late.

NordVPN dan Surfshark memiliki pemilik yang sama (Nord Security), tetapi pengumuman merger milik kedua perusahaan tersebut menyatakan bahwa infrastruktur dan peta jalan produk tetap terpisah; M18 ditetapkan terpisah berdasarkan hal itu.

Laporan transparansi. P05/P06/P08/P09 sekarang bersandar pada laporan transparansi dua kali setahun ExpressVPN (Jul–Des 2025: 155 permintaan pemerintah/penegak hukum, 0 pengungkapan, 3 surat perintah yang dicantumkan secara terpisah) yang diakses melalui Trust Center — peninjauan sebelumnya melewatkan keduanya.

Canary, dan bagian blok lainnya. Canary surat perintah ExpressVPN tidak dapat ditemukan dan tidak ada pernyataan utama yang menyangkal keberadaannya, jadi P07 tetap tidak diketahui. P02/P03=none_known bersandar pada rangkaian laporan transparansi dan sikap kebijakan privasi terhadap litigasi; P11=none_known bersandar pada pernyataan kebijakan bahwa semua tuntutan diproses melalui pengadilan BVI. P04=withdrew_physical adalah keluarnya penyedia dari India pada Juni 2022.

Yang tidak pernah dipublikasikan. Jumlah pelanggan (M08) dan jumlah total server (U03) tidak dipublikasikan. Kepemilikan perangkat keras server (C08: dimiliki vs disewa) dan pengenal perangkat tingkat aplikasi (C12) tidak dapat dipastikan dari halaman mana pun yang diperiksa.

106 negara dibandingkan dengan klaim 113. U02_server_countries mencerminkan 105 halaman landing negara dalam sitemap milik ExpressVPN sendiri ditambah China (dikonfirmasi sebagai 'Available - Virtual Locations' pada halaman /vpn-server aktif, tetapi tidak memiliki halaman landing khusus) — total 106 kode, dibandingkan dengan klaim pemasaran situs itu sendiri, '113 Countries'; halaman lokasi server aktif adalah tabel per protokol yang sangat besar dan tidak diuraikan secara menyeluruh, sehingga celah antara 106 dan 113 dilaporkan, bukan diselesaikan.

Temuan audit di antara dua kategori. V11_audit_findings dicatat sebagai session_metadata, bukan none_linkable atau aggregates_only: laporan KPMG 2025 menjelaskan catatan terstruktur per koneksi (negara, ISP, tanggal, protokol, volume data, pseudonim salted-hash yang stabil) yang lebih dari sekadar agregat murni tetapi tidak memiliki IP dan waktu yang tepat — kasus yang benar-benar ambigu untuk empat kategori tengah bidang ini.

Belum diperiksa pada putaran ini. Apakah cakupan ExpressVPN ada di luar situs afiliasi (X08), tingkatan pembayaran afiliasinya (X10), dan apakah media ulasan yang dijalankan pemilik menandai hubungan kepemilikan tersebut (X11) belum diperiksa pada putaran ini.

P2P, dicari dan tidak ada. U12a_p2p_allowed tetap tidak diketahui karena alasan yang berbeda dari yang lain: hal itu dicari dan tidak dipublikasikan. Baik sitemap (578 URL halaman dan dukungan) maupun ketentuan layanan tidak menyebut P2P, BitTorrent, atau berbagi berkas di mana pun, sementara setiap penyedia lain yang dikatalogkan menyatakan posisinya dalam dokumen mereka sendiri. Artikel dukungan atau klausul dalam ketentuan akan menutupnya; situs ulasan yang menyatakan bahwa layanan tersebut berfungsi tidak akan menutupnya.

Canary, dan triwulan yang menggantikannya. Halaman yang sama menghentikan canary surat perintah (P07=removed) demi laporan transparansi triwulanan; triwulan lengkap terbaru (April–Juni 2026) menunjukkan 85 permintaan pemerintah dan 0 pengungkapan, jadi P08/P09 adalah periode tersebut, bukan angka seumur hidup.

India, dan rezim perintah rahasia. P04=withdrew_physical adalah keluarnya dari India pada Juni 2022. P11=none_known didasarkan pada pernyataan halaman tersebut bahwa NordVPN belum menerima National Security letters atau perintah bungkam yang mengikat dan pada tidak adanya rezim semacam itu di Panama.

Tingkat assurance yang tidak dapat diperiksa siapa pun. NordVPN menggambarkan engagement Deloitte Lithuania sebagai engagement assurance wajar berdasarkan ISAE 3000 (Revised), yang akan menjadi bentuk yang lebih kuat; laporan PIA, yang dapat dibaca, menyatakan kesimpulan assurance terbatas.

Mengapa bentuk yang lebih kuat tidak diberi kredit. Model kini memberi harga pada perbedaan itu, dan berkas ini tidak mendapat manfaat darinya: V15_assurance_strength tidak diketahui karena satu-satunya pernyataan tentang tingkat tersebut berasal dari NordVPN sendiri, mengenai laporan yang tidak dapat dibuka oleh siapa pun di luar Nord Account. Dokumen di balik login bukan bukti di sini pada tingkat apa pun, jadi keterlibatan ini diberi kredit pada norma pasar, bukan pada tingkat yang diklaim telah dicapainya.

Laporan di balik login. Laporan itu sendiri hanya dapat dibaca setelah masuk ke Nord Account, jadi tidak ada seorang pun di luar hubungan tersebut yang telah memeriksa cakupannya, dan setiap bidang audit di sini bertumpu pada ringkasan NordVPN sendiri, bukan pada dokumennya. Hal itu, bukan temuan yang merugikan layanan, adalah alasan berkas ini memiliki bukti paling tipis dalam katalog.