AirVPN vs ExpressVPN

Cosa mostrano le discussioni del forum. Le discussioni del forum mostrano utenti che chiedono ripetutamente ad AirVPN un warrant canary senza alcuna conferma da parte dello staff che ne esista uno; ciò è indicativo, ma non costituisce una smentita primaria, quindi P07 rimane sconosciuto anziché «nessuno».

Conteggi che nessuno pubblica. Di conseguenza, anche i conteggi delle richieste e delle consegne di dati sono sconosciuti (P08, P09), e il numero totale di abbonati non viene mai divulgato (M08 sconosciuto) — AirVPN pubblica solo un contatore aggiornato in tempo reale degli utenti connessi contemporaneamente, non il totale degli utenti registrati o degli abbonati, quindi qui il silenzio o l'assenza di informazioni hanno un peso effettivo.

Build e pentest. Le build riproducibili non sono documentate nella pagina di AirVPN per la compilazione dal codice sorgente (eddie.website/support/build/), e non è stato trovato alcun pentest dedicato al client o all'infrastruttura (V13, V14 sconosciuto). L'ambito del kill switch e il comportamento dello split tunnelling provengono da una recensione di terze parti anziché dalla documentazione di AirVPN (U08, U09 con attendibilità C), perché non è stato possibile raggiungere direttamente le pagine FAQ pertinenti tramite il routing del sito (vengono renderizzate tramite JavaScript e una semplice richiesta ha restituito solo un involucro di caricamento).

Copertura al di fuori degli affiliati. La copertura stampa non è limitata agli affiliati: BleepingComputer, una testata generalista al di fuori della lista degli aggregatori di affiliati, ha pubblicato una recensione indipendente con una propria informativa sugli affiliati, anziché essere confinata alle directory di affiliati (X08=no). La stessa recensione ha inoltre rilevato che AirVPN non ha funzionato con nessuno dei servizi di streaming provati — Netflix, Hulu, HBO Max, Amazon Prime Video, Disney+, ABC, NBC, CBS — motivo per cui U12b_streaming_works ora riporta no anziché partial, che proveniva da addictivetips.com prima che tale host fosse dichiarato vietato.

Il prezzo annuale. U04b_price_yearly=4,08 è la tariffa mensile effettiva in EUR del piano annuale (49 EUR/anno) su airvpn.org/buy/, invariata al rinnovo come per ogni durata AirVPN.

Il logotipo. AirVPN fornisce il proprio logotipo solo in formato PNG (/static/img/logo/web_header.png, logo_horiz.png) e non ha alcuna pagina stampa o del marchio, quindi logos/airvpn.svg viene lasciato assente secondo AUDITOR.md §1 invece di ricalcare un raster.

Il rapporto sulla trasparenza. P05/P06/P08/P09 ora si basano sul rapporto semestrale sulla trasparenza di ExpressVPN (luglio-dicembre 2025: 155 richieste governative/delle forze dell'ordine, 0 divulgazioni, 3 mandati elencati separatamente), raggiunto tramite il Trust Center — l'esecuzione precedente non aveva trovato nessuno dei due.

Il canary e il resto del blocco. Non è stato possibile trovare alcun canary di warrant di ExpressVPN e nessuna dichiarazione primaria nega che ne esista uno, quindi P07 resta sconosciuto. P02/P03=none_known si basano sulla serie di rapporti sulla trasparenza e sulla posizione della policy sulla privacy in materia di contenzioso; P11=none_known sulla dichiarazione della policy secondo cui tutte le richieste passano dai tribunali delle BVI. P04=withdrew_physical è l'uscita dall'India del giugno 2022.

Ciò che non viene mai pubblicato. Il numero di abbonati (M08) e il numero totale di server (U03) non sono pubblicati. La proprietà dell'hardware dei server (C08: di proprietà o in leasing) e gli identificatori dei dispositivi a livello di app (C12) non hanno potuto essere accertati da alcuna pagina verificata.

106 Paesi rispetto a una dichiarazione di 113. U02_server_countries riflette le 105 pagine dedicate ai Paesi nella sitemap proprietaria di ExpressVPN più la Cina (confermata come 'Available - Virtual Locations' nella pagina live /vpn-server, ma priva di una pagina dedicata) — 106 codici in totale, rispetto alla dichiarazione di marketing del sito di '113 Countries'; la pagina live delle posizioni dei server è una tabella molto ampia per protocollo che non è stata analizzata esaustivamente, quindi la lacuna tra 106 e 113 è riportata, non risolta.

Un dato pratico rilevante: i verbali pubblici dei tribunali federali statunitensi in United States v. Klyushin (D. Mass., docket 61629108, documenti #183 e #217, trovati tramite CourtListener/RECAP) mostrano che un pen register delle forze dell'ordine è stato installato direttamente presso la società di hosting (DediPath), non presso AirVPN, per monitorare l'IP di un server AirVPN da gennaio a febbraio 2020; il personale di AirVPN, rispondendo sul proprio forum, ha confermato che la società non era a conoscenza dell'intercettazione né vi era coinvolta e che il dispositivo doveva essere installato al di fuori dei sistemi di AirVPN.

Questo è registrato in P12_case_history come evento court_order/nothing_produced, con fonte nella conferma sul forum di AirVPN (non nei PDF PACER stessi, che hanno restituito 403 ai recuperi automatizzati e sono stati letti solo tramite un riepilogo secondario).

Nel 2017, le autorità turche sequestrarono un server di ExpressVPN mentre indagavano sull'assassinio dell'ambasciatore russo Andrei Karlov e non trovarono log utilizzabili (TorrentFreak, che riporta un avviso di sponsorizzazione per ExpressVPN — annotato, non escluso, poiché i fatti sono verificabili esternamente e la pagina della dichiarazione proprietaria di ExpressVPN da allora restituisce HTTP 410 senza alcuna istantanea della Wayback Machine).

Nel settembre 2021 divenne pubblico il Deferred Prosecution Agreement del DOJ con Daniel Gericke, Chief Information Officer di ExpressVPN, relativo al suo precedente ruolo dal 2016 al 2018 nell'operazione di hacking degli Emirati Arabi Uniti denominata 'Project Raven'; il documento principale del DPA non nomina mai ExpressVPN (riguarda solo il suo precedente impiego negli Emirati Arabi Uniti) — il collegamento con ExpressVPN deriva dalle dichiarazioni di ExpressVPN e dalla stampa. ExpressVPN mantenne Gericke alle proprie dipendenze e pubblicò una difesa pubblica di tale decisione.

C12 è resettable_ad_id sulla base dei testi del fornitore stesso, non di una categoria dello store. Il paragrafo sul marketing della politica sulla privacy afferma che un Installation ID e un XV User ID vengono sempre raccolti e che gli identificatori pubblicitari — IDFA o Android Advertising ID — seguono previo consenso esplicito, con tutto che arriva a AppsFlyer; il modulo Play sulla sicurezza dei dati dichiara autonomamente Device or other IDs per la pubblicità o il marketing.

Il meccanismo di consenso e una mitigazione che nessun altro qui offre — il traffico destinato ad AppsFlyer instradato attraverso un pool IP dedicato di ExpressVPN, così che l'attribuzione non possa correlare tramite l'IP — sono reali e vengono registrati qui, perché la soglia valuta ciò che può essere sostenuto, non quanto bene viene spiegato.

U07_protocols contiene l'intero selettore: Lightway UDP e TCP come vendor_open, insieme a WireGuard, OpenVPN UDP/TCP e IKEv2. Lightway è il protocollo proprietario di ExpressVPN e il suo codice sorgente è pubblicato con una revisione indipendente a supporto (Cure53, 2021 e 2024), che è la distinzione per cui esiste vendor_open — proprietary valuta l'impossibilità di stabilire se un trasporto sia debole, mentre qui è possibile stabilirlo.

PPTP è ritirato dalle app ExpressVPN secondo la pagina del fornitore dedicata ai protocolli, mentre L2TP e SSTP sono spiegati lì senza essere offerti.