ExpressVPN vs Windscribe

Il rapporto sulla trasparenza. P05/P06/P08/P09 ora si basano sul rapporto semestrale sulla trasparenza di ExpressVPN (luglio-dicembre 2025: 155 richieste governative/delle forze dell'ordine, 0 divulgazioni, 3 mandati elencati separatamente), raggiunto tramite il Trust Center — l'esecuzione precedente non aveva trovato nessuno dei due.

Il canary e il resto del blocco. Non è stato possibile trovare alcun canary di warrant di ExpressVPN e nessuna dichiarazione primaria nega che ne esista uno, quindi P07 resta sconosciuto. P02/P03=none_known si basano sulla serie di rapporti sulla trasparenza e sulla posizione della policy sulla privacy in materia di contenzioso; P11=none_known sulla dichiarazione della policy secondo cui tutte le richieste passano dai tribunali delle BVI. P04=withdrew_physical è l'uscita dall'India del giugno 2022.

Ciò che non viene mai pubblicato. Il numero di abbonati (M08) e il numero totale di server (U03) non sono pubblicati. La proprietà dell'hardware dei server (C08: di proprietà o in leasing) e gli identificatori dei dispositivi a livello di app (C12) non hanno potuto essere accertati da alcuna pagina verificata.

106 Paesi rispetto a una dichiarazione di 113. U02_server_countries riflette le 105 pagine dedicate ai Paesi nella sitemap proprietaria di ExpressVPN più la Cina (confermata come 'Available - Virtual Locations' nella pagina live /vpn-server, ma priva di una pagina dedicata) — 106 codici in totale, rispetto alla dichiarazione di marketing del sito di '113 Countries'; la pagina live delle posizioni dei server è una tabella molto ampia per protocollo che non è stata analizzata esaustivamente, quindi la lacuna tra 106 e 113 è riportata, non risolta.

Un risultato dell'audit tra due categorie. V11_audit_findings è registrato come session_metadata anziché none_linkable o aggregates_only: il rapporto KPMG del 2025 descrive un record strutturato per connessione (Paese, ISP, data, protocollo, volume di dati, pseudonimo stabile ottenuto tramite hash con salt) che è più di un puro aggregato, ma non contiene l'IP né l'orario preciso — un caso realmente ambiguo per le quattro categorie intermedie di questo campo.

Non verificato in questa tornata. Non sono stati verificati in questa tornata l'esistenza della copertura di ExpressVPN al di fuori dei siti affiliati (X08), il suo livello di remunerazione per gli affiliati (X10) e se i media di recensione gestiti dal proprietario segnalano il legame proprietario (X11).

P2P, cercato e assente. U12a_p2p_allowed resta sconosciuto per una ragione diversa dal resto: è stato cercato e non è pubblicato. Né la sitemap (578 pagine e URL di supporto) né i termini di servizio menzionano P2P, BitTorrent o la condivisione di file in alcun punto, mentre ogni altro fornitore catalogato dichiara la propria posizione nei propri documenti. Un articolo di supporto o una clausola nei termini lo renderebbero accertato; un sito di recensioni che affermasse che funziona non lo farebbe.

Perché la conservazione è ponderata sul rilievo. La conservazione è quindi ponderata su ciò che un auditor ha dimostrato essere raggiungibile, anziché su ciò che dichiara la policy, e il canale di integrità riporta la distanza tra le due cose. Va letto come un rilievo vecchio di due anni su un nodo, non come una misurazione attuale: l'ambito comprendeva solo ca-023.windscribe.com, e sarebbe un incarico più recente che copra una parte maggiore dell'infrastruttura a chiarire la questione.

La lista che non è mai stata letta. La lista dei Paesi offerta non è mai stata letta, quindi non è possibile calcolare né il punteggio di usabilità relativo ai Paesi né l'intersezione con l'obbligo — Windscribe pubblica una distinzione tra fisico e virtuale, il che rende C09b compilabile qui non appena lo sarà la lista. La dimensione dell'utenza è inoltre non accertata, lasciando la fascia di esposizione poggiata su meno dati di quanto dovrebbe.

Da dove citano ora i tre eventi. AIN.UA riporta ancora i server ucraini sequestrati il 24 giugno 2021, mentre il blog di Windscribe riporta il caso greco archiviato l'11 aprile 2025. Il sequestro olandese e il campo relativo al sequestro citano ora la pagina no-logs di Windscribe anziché la stampa pagata dagli affiliati che lo aveva riportato per prima: il resoconto dell'azienda sul proprio sequestro è una fonte primaria, non il resoconto altrui di uno di essi. L'evento ucraino è datato al sequestro stesso, non all'articolo.

Nel 2017, le autorità turche sequestrarono un server di ExpressVPN mentre indagavano sull'assassinio dell'ambasciatore russo Andrei Karlov e non trovarono log utilizzabili (TorrentFreak, che riporta un avviso di sponsorizzazione per ExpressVPN — annotato, non escluso, poiché i fatti sono verificabili esternamente e la pagina della dichiarazione proprietaria di ExpressVPN da allora restituisce HTTP 410 senza alcuna istantanea della Wayback Machine).

Nel settembre 2021 divenne pubblico il Deferred Prosecution Agreement del DOJ con Daniel Gericke, Chief Information Officer di ExpressVPN, relativo al suo precedente ruolo dal 2016 al 2018 nell'operazione di hacking degli Emirati Arabi Uniti denominata 'Project Raven'; il documento principale del DPA non nomina mai ExpressVPN (riguarda solo il suo precedente impiego negli Emirati Arabi Uniti) — il collegamento con ExpressVPN deriva dalle dichiarazioni di ExpressVPN e dalla stampa. ExpressVPN mantenne Gericke alle proprie dipendenze e pubblicò una difesa pubblica di tale decisione.

C12 è resettable_ad_id sulla base dei testi del fornitore stesso, non di una categoria dello store. Il paragrafo sul marketing della politica sulla privacy afferma che un Installation ID e un XV User ID vengono sempre raccolti e che gli identificatori pubblicitari — IDFA o Android Advertising ID — seguono previo consenso esplicito, con tutto che arriva a AppsFlyer; il modulo Play sulla sicurezza dei dati dichiara autonomamente Device or other IDs per la pubblicità o il marketing.

Il meccanismo di consenso e una mitigazione che nessun altro qui offre — il traffico destinato ad AppsFlyer instradato attraverso un pool IP dedicato di ExpressVPN, così che l'attribuzione non possa correlare tramite l'IP — sono reali e vengono registrati qui, perché la soglia valuta ciò che può essere sostenuto, non quanto bene viene spiegato.

U07_protocols contiene l'intero selettore: Lightway UDP e TCP come vendor_open, insieme a WireGuard, OpenVPN UDP/TCP e IKEv2. Lightway è il protocollo proprietario di ExpressVPN e il suo codice sorgente è pubblicato con una revisione indipendente a supporto (Cure53, 2021 e 2024), che è la distinzione per cui esiste vendor_open — proprietary valuta l'impossibilità di stabilire se un trasporto sia debole, mentre qui è possibile stabilirlo.

PPTP è ritirato dalle app ExpressVPN secondo la pagina del fornitore dedicata ai protocolli, mentre L2TP e SSTP sono spiegati lì senza essere offerti.