ExpressVPN vs Surfshark

Laporan transparansi. P05/P06/P08/P09 sekarang bersandar pada laporan transparansi dua kali setahun ExpressVPN (Jul–Des 2025: 155 permintaan pemerintah/penegak hukum, 0 pengungkapan, 3 surat perintah yang dicantumkan secara terpisah) yang diakses melalui Trust Center — peninjauan sebelumnya melewatkan keduanya.

Canary, dan bagian blok lainnya. Canary surat perintah ExpressVPN tidak dapat ditemukan dan tidak ada pernyataan utama yang menyangkal keberadaannya, jadi P07 tetap tidak diketahui. P02/P03=none_known bersandar pada rangkaian laporan transparansi dan sikap kebijakan privasi terhadap litigasi; P11=none_known bersandar pada pernyataan kebijakan bahwa semua tuntutan diproses melalui pengadilan BVI. P04=withdrew_physical adalah keluarnya penyedia dari India pada Juni 2022.

Yang tidak pernah dipublikasikan. Jumlah pelanggan (M08) dan jumlah total server (U03) tidak dipublikasikan. Kepemilikan perangkat keras server (C08: dimiliki vs disewa) dan pengenal perangkat tingkat aplikasi (C12) tidak dapat dipastikan dari halaman mana pun yang diperiksa.

106 negara dibandingkan dengan klaim 113. U02_server_countries mencerminkan 105 halaman landing negara dalam sitemap milik ExpressVPN sendiri ditambah China (dikonfirmasi sebagai 'Available - Virtual Locations' pada halaman /vpn-server aktif, tetapi tidak memiliki halaman landing khusus) — total 106 kode, dibandingkan dengan klaim pemasaran situs itu sendiri, '113 Countries'; halaman lokasi server aktif adalah tabel per protokol yang sangat besar dan tidak diuraikan secara menyeluruh, sehingga celah antara 106 dan 113 dilaporkan, bukan diselesaikan.

Temuan audit di antara dua kategori. V11_audit_findings dicatat sebagai session_metadata, bukan none_linkable atau aggregates_only: laporan KPMG 2025 menjelaskan catatan terstruktur per koneksi (negara, ISP, tanggal, protokol, volume data, pseudonim salted-hash yang stabil) yang lebih dari sekadar agregat murni tetapi tidak memiliki IP dan waktu yang tepat — kasus yang benar-benar ambigu untuk empat kategori tengah bidang ini.

Belum diperiksa pada putaran ini. Apakah cakupan ExpressVPN ada di luar situs afiliasi (X08), tingkatan pembayaran afiliasinya (X10), dan apakah media ulasan yang dijalankan pemilik menandai hubungan kepemilikan tersebut (X11) belum diperiksa pada putaran ini.

P2P, dicari dan tidak ada. U12a_p2p_allowed tetap tidak diketahui karena alasan yang berbeda dari yang lain: hal itu dicari dan tidak dipublikasikan. Baik sitemap (578 URL halaman dan dukungan) maupun ketentuan layanan tidak menyebut P2P, BitTorrent, atau berbagi berkas di mana pun, sementara setiap penyedia lain yang dikatalogkan menyatakan posisinya dalam dokumen mereka sendiri. Artikel dukungan atau klausul dalam ketentuan akan menutupnya; situs ulasan yang menyatakan bahwa layanan tersebut berfungsi tidak akan menutupnya.

India dan rezim perintah rahasia. P04_mandate_response=withdrew_physical adalah keluarnya dari India pada Juni 2022, dipulihkan dari blog milik Surfshark sendiri (surfshark.com/blog/surfshark-servers-certin-india) setelah penelusuran sebelumnya menemukan bahwa halaman /trust-center tidak lagi memuatnya. P11=judicial_only didasarkan pada laporan transparansi yang menunjukkan surat perintah Amsterdam District Court pada April 2026 serta penghitung surat keamanan nasional dan perintah bungkamnya bernilai nol.

Dua laporan ditemukan, mungkin tidak semuanya. Hanya dua laporan no-logs Deloitte (Des 2022, Jun 2025) yang ditemukan dipublikasikan; mungkin ada yang lain yang tidak ditautkan dari robots.txt dan tidak dicari oleh audit ini dengan cara lain.

Pada 2017, otoritas Turki menyita server ExpressVPN saat menyelidiki pembunuhan Duta Besar Rusia Andrei Karlov dan tidak menemukan log yang dapat digunakan (TorrentFreak, yang memuat pemberitahuan sponsorship untuk ExpressVPN — dicatat, bukan dikecualikan, karena faktanya dapat diperiksa dari luar dan halaman pernyataan milik ExpressVPN sendiri sejak itu mengembalikan HTTP 410 tanpa snapshot Wayback Machine).

Pada September 2021, Deferred Prosecution Agreement DOJ dengan Daniel Gericke, Chief Information Officer ExpressVPN, mengenai perannya sebelumnya pada 2016-2018 dalam operasi peretasan 'Project Raven' di UAE menjadi publik; dokumen DPA utama itu sendiri tidak pernah menyebut ExpressVPN (dokumen tersebut hanya mencakup pekerjaannya sebelumnya di UAE) — hubungan dengan ExpressVPN berasal dari pernyataan ExpressVPN sendiri dan pernyataan pers. ExpressVPN mempertahankan Gericke sebagai karyawan dan menerbitkan pembelaan publik atas keputusan tersebut.

C12 adalah resettable_ad_id dalam uraian penyedia sendiri, bukan dalam kategori toko. Paragraf pemasaran dalam kebijakan privasi menyatakan bahwa Installation ID dan XV User ID selalu dikumpulkan dan bahwa pengenal iklan — IDFA atau Android Advertising ID — dikumpulkan setelah persetujuan eksplisit, yang semuanya sampai ke AppsFlyer; formulir keamanan data Play secara independen menyatakan Device atau other IDs untuk periklanan atau pemasaran.

Gerbang persetujuan dan mitigasi yang tidak ditawarkan penyedia lain di sini — lalu lintas yang terikat ke AppsFlyer dirutekan melalui kumpulan IP ExpressVPN khusus sehingga atribusi tidak dapat mengorelasikannya berdasarkan IP — benar-benar ada dan dicatat di sini, karena batas bawah menilai apa yang dapat ditahan, bukan seberapa baik hal itu dijelaskan.

U07_protocols memuat seluruh pemilih: Lightway UDP dan TCP sebagai vendor_open, di samping WireGuard, OpenVPN UDP/TCP, dan IKEv2. Lightway adalah protokol milik ExpressVPN dan sumbernya dipublikasikan dengan peninjauan independen yang mendukungnya (Cure53, 2021 dan 2024), yang merupakan perbedaan yang menjadi alasan adanya vendor_open — proprietary menilai ketidakmungkinan untuk mengetahui apakah suatu transportasi lemah, dan di sini hal itu dapat diketahui.

PPTP sudah dihentikan pada aplikasi ExpressVPN menurut halaman protokol penyedia sendiri, dan L2TP serta SSTP dijelaskan di sana tanpa ditawarkan.

Berkas ini sebelumnya dibaca dua kali — connection_timestamps di V11 dari redaksi audit, source_ip di C01 dari redaksi kebijakan — dan dinilai berdasarkan yang lebih buruk dari keduanya, sehingga jeda lima belas menit menimbulkan biaya lebih besar daripada tidak menyatakan apa pun: kolom kosong pada C01 adalah prior pasar 0.550 dan source_ip adalah 0.750.

R29 kini menarik batasnya: status yang dihapus dalam jangka waktu yang dinyatakan dan terkait dengan akhir sesi adalah koneksi, bukan berkas tentangnya, sehingga kedua bidang membaca connection_timestamps dalam kalimat yang sama. Yang masih diperhitungkan adalah yang bertahan setelah sesi — tanggal login terakhir dalam bagian 2.3.1 kebijakan dan timestamp koneksi yang disebut auditor.

Surfshark dan NordVPN memiliki pemilik yang sama (Nord Security, sejak 2022), tetapi halaman tentang kami milik Surfshark sendiri menyatakan bahwa merek-merek tersebut bergabung "sambil beroperasi secara independen" dengan infrastruktur terpisah — M18 ditetapkan sebagai terpisah atas dasar itu, sesuai dengan berkas nordvpn.com.

U12a bersifat sebagian, bukan ya, pada kolom P2P milik tabel server itu sendiri: 88 dari 100 negara yang tercantum memilikinya dan dua belas tidak (AU, CL, CO, HR, GR, IE, JP, MX, NZ, TW, TR, AE). Kolom tersebut digambar di sisi klien, sehingga dibaca dari tabel yang ditampilkan, bukan dari HTML statis, yang setiap barisnya memuat setiap label.

Laporan transparansi di /transparency-report — yang sekarang menjadi tujuan pengalihan /warrant-canary — memuat kuartal April–Juni 2026 sebagai tabel: 374,719 pemberitahuan DMCA, 33 pertanyaan dari lembaga pemerintah, 1 surat perintah, 0 surat keamanan nasional, dan 0 perintah bungkam. P08 menghitung 34 permintaan hukum dan tidak memasukkan pemberitahuan DMCA: itu adalah keluhan hak cipta tentang lalu lintas, bukan permintaan data pengguna.

Halaman yang sama menyatakan bahwa Surfshark menghentikan warrant canary demi pelaporan triwulanan, sehingga P07 dihapus, bukan karena tidak ada — canary tersebut ada dan sengaja ditarik.