ExpressVPN vs Surfshark

Il rapporto sulla trasparenza. P05/P06/P08/P09 ora si basano sul rapporto semestrale sulla trasparenza di ExpressVPN (luglio-dicembre 2025: 155 richieste governative/delle forze dell'ordine, 0 divulgazioni, 3 mandati elencati separatamente), raggiunto tramite il Trust Center — l'esecuzione precedente non aveva trovato nessuno dei due.

Il canary e il resto del blocco. Non è stato possibile trovare alcun canary di warrant di ExpressVPN e nessuna dichiarazione primaria nega che ne esista uno, quindi P07 resta sconosciuto. P02/P03=none_known si basano sulla serie di rapporti sulla trasparenza e sulla posizione della policy sulla privacy in materia di contenzioso; P11=none_known sulla dichiarazione della policy secondo cui tutte le richieste passano dai tribunali delle BVI. P04=withdrew_physical è l'uscita dall'India del giugno 2022.

Ciò che non viene mai pubblicato. Il numero di abbonati (M08) e il numero totale di server (U03) non sono pubblicati. La proprietà dell'hardware dei server (C08: di proprietà o in leasing) e gli identificatori dei dispositivi a livello di app (C12) non hanno potuto essere accertati da alcuna pagina verificata.

106 Paesi rispetto a una dichiarazione di 113. U02_server_countries riflette le 105 pagine dedicate ai Paesi nella sitemap proprietaria di ExpressVPN più la Cina (confermata come 'Available - Virtual Locations' nella pagina live /vpn-server, ma priva di una pagina dedicata) — 106 codici in totale, rispetto alla dichiarazione di marketing del sito di '113 Countries'; la pagina live delle posizioni dei server è una tabella molto ampia per protocollo che non è stata analizzata esaustivamente, quindi la lacuna tra 106 e 113 è riportata, non risolta.

Un risultato dell'audit tra due categorie. V11_audit_findings è registrato come session_metadata anziché none_linkable o aggregates_only: il rapporto KPMG del 2025 descrive un record strutturato per connessione (Paese, ISP, data, protocollo, volume di dati, pseudonimo stabile ottenuto tramite hash con salt) che è più di un puro aggregato, ma non contiene l'IP né l'orario preciso — un caso realmente ambiguo per le quattro categorie intermedie di questo campo.

Non verificato in questa tornata. Non sono stati verificati in questa tornata l'esistenza della copertura di ExpressVPN al di fuori dei siti affiliati (X08), il suo livello di remunerazione per gli affiliati (X10) e se i media di recensione gestiti dal proprietario segnalano il legame proprietario (X11).

P2P, cercato e assente. U12a_p2p_allowed resta sconosciuto per una ragione diversa dal resto: è stato cercato e non è pubblicato. Né la sitemap (578 pagine e URL di supporto) né i termini di servizio menzionano P2P, BitTorrent o la condivisione di file in alcun punto, mentre ogni altro fornitore catalogato dichiara la propria posizione nei propri documenti. Un articolo di supporto o una clausola nei termini lo renderebbero accertato; un sito di recensioni che affermasse che funziona non lo farebbe.

L'India e il regime degli ordini di bavaglio. P04_mandate_response=withdrew_physical è l'uscita dall'India del giugno 2022, ripristinata dal blog di Surfshark (surfshark.com/blog/surfshark-servers-certin-india) dopo che la verifica precedente aveva rilevato che la pagina /trust-center non la riportava più. P11=judicial_only si basa sul rapporto di trasparenza, che mostra il mandato dell'Amsterdam District Court dell'aprile 2026 e i relativi contatori per le lettere di sicurezza nazionale e gli ordini di bavaglio a zero.

Trovati due rapporti, forse non tutti. Sono stati trovati pubblicati solo due rapporti Deloitte no-logs (dicembre 2022, giugno 2025); potrebbero essercene altri non collegati da robots.txt, che questo audit non ha cercato con altri mezzi.

Nel 2017, le autorità turche sequestrarono un server di ExpressVPN mentre indagavano sull'assassinio dell'ambasciatore russo Andrei Karlov e non trovarono log utilizzabili (TorrentFreak, che riporta un avviso di sponsorizzazione per ExpressVPN — annotato, non escluso, poiché i fatti sono verificabili esternamente e la pagina della dichiarazione proprietaria di ExpressVPN da allora restituisce HTTP 410 senza alcuna istantanea della Wayback Machine).

Nel settembre 2021 divenne pubblico il Deferred Prosecution Agreement del DOJ con Daniel Gericke, Chief Information Officer di ExpressVPN, relativo al suo precedente ruolo dal 2016 al 2018 nell'operazione di hacking degli Emirati Arabi Uniti denominata 'Project Raven'; il documento principale del DPA non nomina mai ExpressVPN (riguarda solo il suo precedente impiego negli Emirati Arabi Uniti) — il collegamento con ExpressVPN deriva dalle dichiarazioni di ExpressVPN e dalla stampa. ExpressVPN mantenne Gericke alle proprie dipendenze e pubblicò una difesa pubblica di tale decisione.

C12 è resettable_ad_id sulla base dei testi del fornitore stesso, non di una categoria dello store. Il paragrafo sul marketing della politica sulla privacy afferma che un Installation ID e un XV User ID vengono sempre raccolti e che gli identificatori pubblicitari — IDFA o Android Advertising ID — seguono previo consenso esplicito, con tutto che arriva a AppsFlyer; il modulo Play sulla sicurezza dei dati dichiara autonomamente Device or other IDs per la pubblicità o il marketing.

Il meccanismo di consenso e una mitigazione che nessun altro qui offre — il traffico destinato ad AppsFlyer instradato attraverso un pool IP dedicato di ExpressVPN, così che l'attribuzione non possa correlare tramite l'IP — sono reali e vengono registrati qui, perché la soglia valuta ciò che può essere sostenuto, non quanto bene viene spiegato.

U07_protocols contiene l'intero selettore: Lightway UDP e TCP come vendor_open, insieme a WireGuard, OpenVPN UDP/TCP e IKEv2. Lightway è il protocollo proprietario di ExpressVPN e il suo codice sorgente è pubblicato con una revisione indipendente a supporto (Cure53, 2021 e 2024), che è la distinzione per cui esiste vendor_open — proprietary valuta l'impossibilità di stabilire se un trasporto sia debole, mentre qui è possibile stabilirlo.

PPTP è ritirato dalle app ExpressVPN secondo la pagina del fornitore dedicata ai protocolli, mentre L2TP e SSTP sono spiegati lì senza essere offerti.

Questa scheda era stata letta in precedenza due volte — connection_timestamps in V11 dalla formulazione dell'audit, source_ip in C01 dalla formulazione dell'informativa — e valutata al peggiore dei due livelli, facendo sì che il margine di quindici minuti costasse più che non dire nulla: un campo vuoto in C01 è il prior di mercato 0,550 e source_ip è 0,750.

R29 traccia ora il confine: lo stato eliminato entro una finestra dichiarata legata alla fine della sessione è la connessione, non una sua scheda, quindi entrambi i campi riportano connection_timestamps nella stessa frase. Ciò che continua a essere conteggiato è quanto sopravvive alla sessione: la data dell’ultimo accesso nella sezione 2.3.1 della policy e i timestamp della connessione indicati dall’auditor.

Surfshark e NordVPN hanno lo stesso proprietario (Nord Security, dal 2022), ma la pagina about-us di Surfshark dichiara che i marchi si sono fusi «pur operando in modo indipendente», con infrastrutture separate: su questa base M18 è impostato su separati, in linea con la scheda di nordvpn.com.

U12a è parziale, non sì, nella colonna P2P della tabella dei server: 88 dei 100 Paesi elencati la riportano e dodici no (AU, CL, CO, HR, GR, IE, JP, MX, NZ, TW, TR, AE). La colonna viene disegnata lato client, quindi è stata letta dalla tabella visualizzata anziché dall’HTML statico, dove ogni riga riporta ogni etichetta.

Il rapporto sulla trasparenza all’indirizzo /transparency-report — a cui ora reindirizza /warrant-canary — riporta il trimestre aprile-giugno 2026 in una tabella: 374.719 notifiche DMCA, 33 richieste di informazioni da istituzioni governative, 1 mandato, 0 lettere di sicurezza nazionale e 0 ordini di bavaglio. P08 conta le 34 richieste legali e lascia fuori le notifiche DMCA: sono reclami sul copyright relativi al traffico, non richieste di dati di un utente.