ExpressVPN vs IVPN

Il rapporto sulla trasparenza. P05/P06/P08/P09 ora si basano sul rapporto semestrale sulla trasparenza di ExpressVPN (luglio-dicembre 2025: 155 richieste governative/delle forze dell'ordine, 0 divulgazioni, 3 mandati elencati separatamente), raggiunto tramite il Trust Center — l'esecuzione precedente non aveva trovato nessuno dei due.

Il canary e il resto del blocco. Non è stato possibile trovare alcun canary di warrant di ExpressVPN e nessuna dichiarazione primaria nega che ne esista uno, quindi P07 resta sconosciuto. P02/P03=none_known si basano sulla serie di rapporti sulla trasparenza e sulla posizione della policy sulla privacy in materia di contenzioso; P11=none_known sulla dichiarazione della policy secondo cui tutte le richieste passano dai tribunali delle BVI. P04=withdrew_physical è l'uscita dall'India del giugno 2022.

Ciò che non viene mai pubblicato. Il numero di abbonati (M08) e il numero totale di server (U03) non sono pubblicati. La proprietà dell'hardware dei server (C08: di proprietà o in leasing) e gli identificatori dei dispositivi a livello di app (C12) non hanno potuto essere accertati da alcuna pagina verificata.

106 Paesi rispetto a una dichiarazione di 113. U02_server_countries riflette le 105 pagine dedicate ai Paesi nella sitemap proprietaria di ExpressVPN più la Cina (confermata come 'Available - Virtual Locations' nella pagina live /vpn-server, ma priva di una pagina dedicata) — 106 codici in totale, rispetto alla dichiarazione di marketing del sito di '113 Countries'; la pagina live delle posizioni dei server è una tabella molto ampia per protocollo che non è stata analizzata esaustivamente, quindi la lacuna tra 106 e 113 è riportata, non risolta.

Un risultato dell'audit tra due categorie. V11_audit_findings è registrato come session_metadata anziché none_linkable o aggregates_only: il rapporto KPMG del 2025 descrive un record strutturato per connessione (Paese, ISP, data, protocollo, volume di dati, pseudonimo stabile ottenuto tramite hash con salt) che è più di un puro aggregato, ma non contiene l'IP né l'orario preciso — un caso realmente ambiguo per le quattro categorie intermedie di questo campo.

Non verificato in questa tornata. Non sono stati verificati in questa tornata l'esistenza della copertura di ExpressVPN al di fuori dei siti affiliati (X08), il suo livello di remunerazione per gli affiliati (X10) e se i media di recensione gestiti dal proprietario segnalano il legame proprietario (X11).

P2P, cercato e assente. U12a_p2p_allowed resta sconosciuto per una ragione diversa dal resto: è stato cercato e non è pubblicato. Né la sitemap (578 pagine e URL di supporto) né i termini di servizio menzionano P2P, BitTorrent o la condivisione di file in alcun punto, mentre ogni altro fornitore catalogato dichiara la propria posizione nei propri documenti. Un articolo di supporto o una clausola nei termini lo renderebbero accertato; un sito di recensioni che affermasse che funziona non lo farebbe.

L'audit non ancora pubblicato. L'ottavo audit annuale di Cure53 era programmato per luglio 2026 e non è ancora pubblicato alcun rapporto per il 2025 o il 2026, motivo per cui la data dell'ultimo rapporto è aprile 2024.

L'incidente dell'agosto 2026. Nell'agosto 2026 un attaccante ha sfruttato una vulnerabilità nel BTCPay Server autogestito, prima che fosse resa pubblica, e ha sottratto i fondi operativi Lightning di IVPN. IVPN ha pubblicato il resoconto quattro giorni dopo, senza che gli fosse richiesto, e lo ha circoscritto a quella macchina: i gateway VPN non sono stati coinvolti, non è stato raggiunto alcun dato dei clienti e non è stato perso denaro dei clienti.

Perché non costa nulla. Il modello non addebita nulla per questo, ed è proprio questo il punto: un operatore che lo dichiara tempestivamente si comporta nel modo che il campo dovrebbe premiare, e la scheda è qui perché il lettore sappia che è accaduto, non per modificare un numero.

Cosa comprendevano gli incarichi. Il pentest delle app (iOS, Android, Electron, il daemon) risale al marzo 2022 e la verifica del gateway e del sistema operativo del server al febbraio 2023; nessuno dei due ha testato direttamente la dichiarazione sull'assenza di registri, come afferma esplicitamente il rapporto del 2023, quindi la conservazione si basa unicamente sulla dichiarazione dell'informativa sulla privacy.

L'ultimo rapporto non è quello pertinente. L'incarico di aprile 2024, il sesto di Cure53 con IVPN, ha esaminato il sito web dell'account cliente, l'API e l'hosting; la sua stessa pagina sull'ambito indica le app client e i server VPN come esclusi dall'ambito, pertanto non estende le prove né sull'app né sul gateway, e V03_audit_subject vi legge unknown invece di riportare quel riconoscimento. Il settimo incarico, sui nuovi servizi email e DNS, è stato annunciato solo per maggio 2025; non ne è stato pubblicato alcun rapporto.

Nel 2017, le autorità turche sequestrarono un server di ExpressVPN mentre indagavano sull'assassinio dell'ambasciatore russo Andrei Karlov e non trovarono log utilizzabili (TorrentFreak, che riporta un avviso di sponsorizzazione per ExpressVPN — annotato, non escluso, poiché i fatti sono verificabili esternamente e la pagina della dichiarazione proprietaria di ExpressVPN da allora restituisce HTTP 410 senza alcuna istantanea della Wayback Machine).

Nel settembre 2021 divenne pubblico il Deferred Prosecution Agreement del DOJ con Daniel Gericke, Chief Information Officer di ExpressVPN, relativo al suo precedente ruolo dal 2016 al 2018 nell'operazione di hacking degli Emirati Arabi Uniti denominata 'Project Raven'; il documento principale del DPA non nomina mai ExpressVPN (riguarda solo il suo precedente impiego negli Emirati Arabi Uniti) — il collegamento con ExpressVPN deriva dalle dichiarazioni di ExpressVPN e dalla stampa. ExpressVPN mantenne Gericke alle proprie dipendenze e pubblicò una difesa pubblica di tale decisione.

C12 è resettable_ad_id sulla base dei testi del fornitore stesso, non di una categoria dello store. Il paragrafo sul marketing della politica sulla privacy afferma che un Installation ID e un XV User ID vengono sempre raccolti e che gli identificatori pubblicitari — IDFA o Android Advertising ID — seguono previo consenso esplicito, con tutto che arriva a AppsFlyer; il modulo Play sulla sicurezza dei dati dichiara autonomamente Device or other IDs per la pubblicità o il marketing.