ExpressVPN vs Proton VPN

Il rapporto sulla trasparenza. P05/P06/P08/P09 ora si basano sul rapporto semestrale sulla trasparenza di ExpressVPN (luglio-dicembre 2025: 155 richieste governative/delle forze dell'ordine, 0 divulgazioni, 3 mandati elencati separatamente), raggiunto tramite il Trust Center — l'esecuzione precedente non aveva trovato nessuno dei due.

Il canary e il resto del blocco. Non è stato possibile trovare alcun canary di warrant di ExpressVPN e nessuna dichiarazione primaria nega che ne esista uno, quindi P07 resta sconosciuto. P02/P03=none_known si basano sulla serie di rapporti sulla trasparenza e sulla posizione della policy sulla privacy in materia di contenzioso; P11=none_known sulla dichiarazione della policy secondo cui tutte le richieste passano dai tribunali delle BVI. P04=withdrew_physical è l'uscita dall'India del giugno 2022.

Ciò che non viene mai pubblicato. Il numero di abbonati (M08) e il numero totale di server (U03) non sono pubblicati. La proprietà dell'hardware dei server (C08: di proprietà o in leasing) e gli identificatori dei dispositivi a livello di app (C12) non hanno potuto essere accertati da alcuna pagina verificata.

106 Paesi rispetto a una dichiarazione di 113. U02_server_countries riflette le 105 pagine dedicate ai Paesi nella sitemap proprietaria di ExpressVPN più la Cina (confermata come 'Available - Virtual Locations' nella pagina live /vpn-server, ma priva di una pagina dedicata) — 106 codici in totale, rispetto alla dichiarazione di marketing del sito di '113 Countries'; la pagina live delle posizioni dei server è una tabella molto ampia per protocollo che non è stata analizzata esaustivamente, quindi la lacuna tra 106 e 113 è riportata, non risolta.

Un risultato dell'audit tra due categorie. V11_audit_findings è registrato come session_metadata anziché none_linkable o aggregates_only: il rapporto KPMG del 2025 descrive un record strutturato per connessione (Paese, ISP, data, protocollo, volume di dati, pseudonimo stabile ottenuto tramite hash con salt) che è più di un puro aggregato, ma non contiene l'IP né l'orario preciso — un caso realmente ambiguo per le quattro categorie intermedie di questo campo.

Non verificato in questa tornata. Non sono stati verificati in questa tornata l'esistenza della copertura di ExpressVPN al di fuori dei siti affiliati (X08), il suo livello di remunerazione per gli affiliati (X10) e se i media di recensione gestiti dal proprietario segnalano il legame proprietario (X11).

P2P, cercato e assente. U12a_p2p_allowed resta sconosciuto per una ragione diversa dal resto: è stato cercato e non è pubblicato. Né la sitemap (578 pagine e URL di supporto) né i termini di servizio menzionano P2P, BitTorrent o la condivisione di file in alcun punto, mentre ogni altro fornitore catalogato dichiara la propria posizione nei propri documenti. Un articolo di supporto o una clausola nei termini lo renderebbero accertato; un sito di recensioni che affermasse che funziona non lo farebbe.

Il ricorso e ciò che non stabilisce. Il ricorso del 22 ottobre 2021 è citato qui con una precisazione che vale la pena esprimere chiaramente: il Federal Administrative Court ha stabilito che i servizi di email non sono fornitori di servizi di telecomunicazione, e né i resoconti della sentenza né il resoconto fornito da Proton menzionano la VPN.

Ciò che determina effettivamente i due campi. Ciò che determina C10 e C11 è che la Svizzera non ha alcuna base per un obbligo nell'elenco dei Paesi del catalogo; l'appello corrobora il modo in cui le autorità svizzere trattano Proton e non costituisce di per sé un accertamento su Proton VPN. Una decisione su un servizio affine offre una base più debole di quanto la citazione lasci intendere.

Il principale punto aperto. Proton offre località di uscita in otto Paesi che impongono un obbligo di conservazione. Non è accertato che l'hardware si trovi effettivamente in uno di essi: Proton ha ritirato i server fisici dall'India nel 2022 e documenta lo Smart Routing per le località servite da altrove, il che indica una configurazione virtuale, ma ciò è stato verificato solo per l'India. Stabilire C09b_mandate_hosting è il principale punto aperto di questa scheda.

Nel 2017, le autorità turche sequestrarono un server di ExpressVPN mentre indagavano sull'assassinio dell'ambasciatore russo Andrei Karlov e non trovarono log utilizzabili (TorrentFreak, che riporta un avviso di sponsorizzazione per ExpressVPN — annotato, non escluso, poiché i fatti sono verificabili esternamente e la pagina della dichiarazione proprietaria di ExpressVPN da allora restituisce HTTP 410 senza alcuna istantanea della Wayback Machine).

Nel settembre 2021 divenne pubblico il Deferred Prosecution Agreement del DOJ con Daniel Gericke, Chief Information Officer di ExpressVPN, relativo al suo precedente ruolo dal 2016 al 2018 nell'operazione di hacking degli Emirati Arabi Uniti denominata 'Project Raven'; il documento principale del DPA non nomina mai ExpressVPN (riguarda solo il suo precedente impiego negli Emirati Arabi Uniti) — il collegamento con ExpressVPN deriva dalle dichiarazioni di ExpressVPN e dalla stampa. ExpressVPN mantenne Gericke alle proprie dipendenze e pubblicò una difesa pubblica di tale decisione.

C12 è resettable_ad_id sulla base dei testi del fornitore stesso, non di una categoria dello store. Il paragrafo sul marketing della politica sulla privacy afferma che un Installation ID e un XV User ID vengono sempre raccolti e che gli identificatori pubblicitari — IDFA o Android Advertising ID — seguono previo consenso esplicito, con tutto che arriva a AppsFlyer; il modulo Play sulla sicurezza dei dati dichiara autonomamente Device or other IDs per la pubblicità o il marketing.

Il meccanismo di consenso e una mitigazione che nessun altro qui offre — il traffico destinato ad AppsFlyer instradato attraverso un pool IP dedicato di ExpressVPN, così che l'attribuzione non possa correlare tramite l'IP — sono reali e vengono registrati qui, perché la soglia valuta ciò che può essere sostenuto, non quanto bene viene spiegato.

U07_protocols contiene l'intero selettore: Lightway UDP e TCP come vendor_open, insieme a WireGuard, OpenVPN UDP/TCP e IKEv2. Lightway è il protocollo proprietario di ExpressVPN e il suo codice sorgente è pubblicato con una revisione indipendente a supporto (Cure53, 2021 e 2024), che è la distinzione per cui esiste vendor_open — proprietary valuta l'impossibilità di stabilire se un trasporto sia debole, mentre qui è possibile stabilirlo.

PPTP è ritirato dalle app ExpressVPN secondo la pagina del fornitore dedicata ai protocolli, mentre L2TP e SSTP sono spiegati lì senza essere offerti.