Le prime domande

Perché un unico numero dovrebbe scegliere tra privacy e portata, e non spetta a noi fare questa scelta. Uno strumento anticensura con una privacy debole e una VPN che mette la privacy al primo posto ma ha una rete ridotta sono entrambi risposte corrette — a domande diverse.

Per questo un fornitore ha un punteggio di sicurezza e un punteggio di usabilità, entrambi su 100, e questi punteggi non vengono mai mediati. La classifica segue solo la sicurezza. Il punteggio di usabilità è riportato accanto e ordina la tabella se glielo si chiede, ma non fa mai superare a un fornitore un punteggio di sicurezza migliore — l'unico ordine che determina è quello tra schede con punteggi di sicurezza identici, e 56 dei 77 si trovano in questa situazione.

La distribuzione è quella che è: 0 nella fascia forte, 2 nella fascia accettabile, 2 nella fascia debole, 11 nella fascia insufficiente e 53 nella fascia non raccomandata. Gli altri 0 hanno un verdetto no_data: è stato pubblicato troppo poco per collocarli, quindi nessuna lista li classifica, e ciascuno conserva la propria scheda.

Ma bisogna capire cosa misura questo dato. Il modello assegna un punteggio allo stato delle prove, non a un'intuizione sull'azienda. Un fornitore ottiene un punteggio basso perché qualcosa di documentato depone contro di lui, oppure perché non è stato accertato quasi nulla in un senso o nell'altro — e si tratta di due situazioni molto diverse, che una valutazione a stelle confonderebbe in una sola.

La sintesi onesta non è «il mercato è messo male». È che la maggior parte di questo mercato non è mai stata verificata da nessuno al di fuori del mercato stesso.

No, non sulla base di una posizione in classifica. Trova la sua scheda nella classifica e leggi la scomposizione: il punteggio è il prodotto di otto canali, e capire quale lo ha fatto scendere cambia il significato che quel numero ha per te.

Un fornitore penalizzato perché un atto giudiziario mostra che ha prodotto dati ti sta dicendo qualcosa di diverso da uno penalizzato perché nessuno lo ha mai sottoposto a un audit. Il primo è un accertamento. Il secondo è una lacuna.

No. Significa che ciò che è stato pubblicato su questo fornitore, ponderato in base a chi lo ha pubblicato e alla sua età, lascia meno percorsi attraverso i quali il fornitore stesso potrebbe identificarti.

Non dice nulla sul tuo dispositivo, sul tuo browser, su ciò a cui accedi attraverso il tunnel o su un avversario che non ha bisogno della collaborazione del fornitore. E non può vedere una menzogna che nessuno ha ancora scoperto — il modello è stato testato su quattro fornitori scoperti in seguito a mentire e ha separato chiaramente in anticipo solo uno di loro.

Non ci sono, e la scelta è deliberata. Non eseguiamo il software; leggiamo ciò che è stato pubblicato al riguardo, con una fonte e una data per ogni valore. Un dato di velocità misurato una sola volta da un solo luogo non è un fatto sul fornitore e finirebbe nella stessa tabella dei fatti che lo sono.

Ciò che riportiamo sull'asse dell'usabilità è ciò che può essere documentato: paesi dei server, dimensioni della rete, prezzo, piano gratuito, protocollo, kill switch, connessioni simultanee e possibilità o meno di usare streaming e P2P.

Il 42% dei campi di sicurezza del registro è unknown — 2143 su 5159 — e questo numero è un accertamento, non una scusa. unknown significa che nessuno ha pubblicato una risposta — non che non abbiamo cercato e non che la risposta sia negativa.

Questo costa anche punti al fornitore. Un campo lasciato aperto alimenta il canale dell'ignoranza, secondo il principio che una dichiarazione che nessuno può verificare vale meno di una che è stata verificata. L'alternativa — dedurre un valore dalla pagina di marketing — produrrebbe una tabella più completa e peggiore.

10 dei 77 hanno usability.state: no_data. È stato pubblicato troppo poco per collocarli, quindi il valore che vedi è una soglia inferiore, non una misurazione — è ciò che la scheda consente di stabilire, e la risposta reale può solo essere più alta.

È un'affermazione sulla ricerca, non sul fornitore. Un fornitore di questo tipo non ha fallito un esame; non è stato esaminato. Lo stesso vale per l'asse della sicurezza, dove 0 dei 77 hanno un verdetto no_data e nessuna lista li classifica.

Perché la scheda non chiede cosa dichiara un fornitore. Chiede quale prova esista che potrebbe collegare il traffico a una persona e risponde con un campo che riporta una fonte e una data.

Tra i valori registrati, 3285 si basano su un documento pubblicato da qualcun altro e 2875 sono dichiarazioni del fornitore. Entrambi vengono conservati, ma non sono trattati allo stesso modo: una dichiarazione favorevole non esaminata regredisce verso il valore di riferimento del mercato, mentre un'ammissione contro il proprio interesse conserva tutto il suo peso. E la maggior parte di queste dichiarazioni non stabilisce nulla — 2415 dei 2875 riguardano un campo che la scheda considera ancora unknown. Una frase sull'assenza di log in un'informativa sulla privacy è una dichiarazione sul futuro scritta dalla parte che ne è vincolata.

Sono domande diverse e, volutamente, si trovano su URL diversi, così non possono competere per la stessa ricerca.

La giurisdizione è il luogo in cui è registrata la società operativa: determina chi può obbligare la società e se la società ha voce in capitolo. I paesi dei server indicano il luogo da cui esce il traffico e determinano quali regimi locali si applicano all'hardware. Un'azienda registrata in un luogo permissivo può comunque gestire la propria flotta attraverso paesi che impongono la conservazione dei log, e diverse aziende lo fanno.

Un audit è una prova, e le prove hanno delle proprietà. Il modello ne considera cinque: chi era l'auditor, secondo quale standard ha lavorato, se il rapporto è pubblicato integralmente o solo come comunicato stampa, se l'ambito comprendeva l'intera flotta o un campione e se si tratta di un episodio isolato o di una serie.

Inoltre, invecchia. Un audit conserva il suo peso per 12 mesi, poi si dimezza ogni 18; una pratica osservata lo conserva per 12 mesi e si dimezza ogni 60, perché un'abitudine decade più lentamente di un'istantanea. Nessuno dei due scende a zero — rimane una soglia, perché un audit superato non vale mai nulla.

Le fonti vengono ponderate allo stesso modo: A vale integralmente, B 0.85, C 0.7, D 0.35. In tutto il registro ci sono 580 fonti di livello A, contro 3200 di livello B, 289 di livello C e 26 di livello D.

Non c'è nessuna leva da azionare. Il punteggio viene calcolato a partire da campi pubblicati e non prevede correzioni editoriali — la regolazione manuale che esisteva in passato è stata rimossa proprio perché ogni scheda del fornitore mostra i calcoli, e un numero modificato renderebbe quella stampa una menzogna.

Ciò che un fornitore può fare è cambiare le prove: pubblicare integralmente l'audit, mettere la risposta sulla conservazione in un luogo verificabile, mantenere il rapporto sulla trasparenza. Questo modifica il numero, ed è proprio ciò che deve accadere.

Perché una valutazione assemblata a partire dalle classifiche commerciali di altri dice più di quelle classifiche che del fornitore. Non può stare nella stessa tabella di una valutazione costruita su fonti e date senza che una prenda silenziosamente in prestito l'autorevolezza dell'altra.

La classifica qui è costruita sulla valutazione della sicurezza e su nient'altro.

Campo per campo, in base alla rapidità con cui cambia la risposta. Prezzi e dati sulle piattaforme hanno una validità di 30 giorni; il numero dei server e la storia dell'applicazione delle regole 90; l'architettura e la conservazione 180; gli audit e i dati sull'azienda 365. Un valore oltre la propria validità viene verificato di nuovo prima di essere considerato attendibile.

Ogni valore riporta anche la data dell'ultima conferma, visualizzata accanto nella scheda. La verifica attuale è stata effettuata il 26 settembre 2026 secondo la metodologia 3.7.0.

Segnalacelo, indicando una fonte. Il modulo per le correzioni riporta l'identificativo del campo, il valore visualizzato e la versione del modello che lo ha prodotto, così nessuno deve chiederti cosa stavi guardando.

Le correzioni ai dati fattuali vengono effettuate lo stesso giorno. Se una correzione modifica un punteggio, modifica anche la posizione in classifica, e il cambiamento compare nel registro pubblico — campo, vecchio valore, nuovo valore, data. Il registro documenta cosa è cambiato, mai chi lo ha chiesto.

C'è un modulo apposito, che richiede un indirizzo email di lavoro appartenente al dominio che già associamo al servizio — è l'unico controllo dell'identità effettuato in tutto il sito.

Una cosa che non farà è negoziare il numero. Indica il campo e ciò che è stato pubblicato al riguardo, e il campo cambierà; il punteggio deriva dal campo, non dalla conversazione.

È a questo che serve il glossario — gli stati dei campi, gli otto canali, l'origine di un valore e il vocabolario VPN corrente in cui è scritta una scheda.