AirVPN vs Mullvad VPN

Cosa mostrano le discussioni del forum. Le discussioni del forum mostrano utenti che chiedono ripetutamente ad AirVPN un warrant canary senza alcuna conferma da parte dello staff che ne esista uno; ciò è indicativo, ma non costituisce una smentita primaria, quindi P07 rimane sconosciuto anziché «nessuno».

Conteggi che nessuno pubblica. Di conseguenza, anche i conteggi delle richieste e delle consegne di dati sono sconosciuti (P08, P09), e il numero totale di abbonati non viene mai divulgato (M08 sconosciuto) — AirVPN pubblica solo un contatore aggiornato in tempo reale degli utenti connessi contemporaneamente, non il totale degli utenti registrati o degli abbonati, quindi qui il silenzio o l'assenza di informazioni hanno un peso effettivo.

Build e pentest. Le build riproducibili non sono documentate nella pagina di AirVPN per la compilazione dal codice sorgente (eddie.website/support/build/), e non è stato trovato alcun pentest dedicato al client o all'infrastruttura (V13, V14 sconosciuto). L'ambito del kill switch e il comportamento dello split tunnelling provengono da una recensione di terze parti anziché dalla documentazione di AirVPN (U08, U09 con attendibilità C), perché non è stato possibile raggiungere direttamente le pagine FAQ pertinenti tramite il routing del sito (vengono renderizzate tramite JavaScript e una semplice richiesta ha restituito solo un involucro di caricamento).

Copertura al di fuori degli affiliati. La copertura stampa non è limitata agli affiliati: BleepingComputer, una testata generalista al di fuori della lista degli aggregatori di affiliati, ha pubblicato una recensione indipendente con una propria informativa sugli affiliati, anziché essere confinata alle directory di affiliati (X08=no). La stessa recensione ha inoltre rilevato che AirVPN non ha funzionato con nessuno dei servizi di streaming provati — Netflix, Hulu, HBO Max, Amazon Prime Video, Disney+, ABC, NBC, CBS — motivo per cui U12b_streaming_works ora riporta no anziché partial, che proveniva da addictivetips.com prima che tale host fosse dichiarato vietato.

Il prezzo annuale. U04b_price_yearly=4,08 è la tariffa mensile effettiva in EUR del piano annuale (49 EUR/anno) su airvpn.org/buy/, invariata al rinnovo come per ogni durata AirVPN.

Il logotipo. AirVPN fornisce il proprio logotipo solo in formato PNG (/static/img/logo/web_header.png, logo_horiz.png) e non ha alcuna pagina stampa o del marchio, quindi logos/airvpn.svg viene lasciato assente secondo AUDITOR.md §1 invece di ricalcare un raster.

Perché il conteggio è otto. Il conteggio degli audit è otto perché la revisione di GotaTun non rientra nella lista propria del repository dell’app. Prima di questi, una revisione X41 D-Sec di 30 giornate-persona su tutte e cinque le piattaforme aveva rilevato sei vulnerabilità — tre alte, due medie, una bassa, nessuna critica.

Ciò che nessun incarico copre. Nessuno di questi incarichi copre la flotta di server: ognuno esamina l’app o il protocollo del tunnel, motivo per cui la copertura della flotta è registrata come non applicabile, anziché come campione. La dichiarazione di assenza di log sul lato dell’infrastruttura si basa quindi sul mandato di perquisizione dell’aprile 2023 — la polizia svedese è andata a cercare i dati dei clienti e se n’è andata senza trovarli — e non su un audit.

Build riproducibili, solo Android. Le build riproducibili sono disponibili solo su Android, dalla versione 2025.2 in poi, quindi il campo resta parziale; le build desktop e iOS non sono verificabili bit per bit. Turkey è l’unico paese con obbligo nell’elenco offerto e l’hosting che vi sta dietro non è accertato.

Nulla di pubblicato sulle richieste. Nulla nella scheda si basa su qualcosa che il fornitore pubblichi sulle richieste che riceve: non esistono né un rapporto sulla trasparenza né un warrant canary, quindi il sequestro dell’aprile 2023 costituisce da solo questa base. La copertura del kill switch e la politica P2P non sono accertate; l’audit più recente è una revisione del codice del protocollo, non un incarico sui no-logs, quindi V11 non si pronuncia e la conservazione si basa sulla dichiarazione.

Un dato pratico rilevante: i verbali pubblici dei tribunali federali statunitensi in United States v. Klyushin (D. Mass., docket 61629108, documenti #183 e #217, trovati tramite CourtListener/RECAP) mostrano che un pen register delle forze dell'ordine è stato installato direttamente presso la società di hosting (DediPath), non presso AirVPN, per monitorare l'IP di un server AirVPN da gennaio a febbraio 2020; il personale di AirVPN, rispondendo sul proprio forum, ha confermato che la società non era a conoscenza dell'intercettazione né vi era coinvolta e che il dispositivo doveva essere installato al di fuori dei sistemi di AirVPN.

Questo è registrato in P12_case_history come evento court_order/nothing_produced, con fonte nella conferma sul forum di AirVPN (non nei PDF PACER stessi, che hanno restituito 403 ai recuperi automatizzati e sono stati letti solo tramite un riepilogo secondario).