ExpressVPN vs Opera VPN

Raport przejrzystości. P05/P06/P08/P09 opierają się teraz na półrocznym raporcie przejrzystości ExpressVPN (lip.–gru. 2025: 155 wniosków rządowych i organów ścigania, 0 ujawnień, 3 nakazy wymienione osobno), dostępnym przez Trust Center — wcześniejszy przebieg nie uwzględnił żadnego z tych dwóch elementów.

Canary i reszta bloku. Nie znaleziono canary dotyczącego nakazów ExpressVPN i nie znaleziono żadnego pierwotnego oświadczenia, które by mu zaprzeczało, więc P07 pozostaje nieznane. P02/P03=none_known opierają się na serii raportów przejrzystości i stanowisku dotyczącym postępowań sądowych zawartym w polityce prywatności; P11=none_known — na oświadczeniu w tej polityce, że wszystkie żądania przechodzą przez sądy BVI. P04=withdrew_physical oznacza wycofanie się z Indii w czerwcu 2022 r.

Co nigdy nie jest publikowane. Liczba subskrybentów (M08) i łączna liczba serwerów (U03) nie są publikowane. Nie udało się potwierdzić na podstawie żadnej sprawdzonej strony, kto jest właścicielem sprzętu serwerowego (C08: własny czy dzierżawiony) ani jakie są identyfikatory urządzeń na poziomie aplikacji (C12).

106 krajów wobec deklarowanych 113. U02_server_countries odzwierciedla 105 stron docelowych krajów w sitemapie ExpressVPN oraz Chiny (potwierdzone jako „Available - Virtual Locations” na aktywnej stronie /vpn-server, ale bez odrębnej strony docelowej) — łącznie 106 kodów wobec własnej deklaracji marketingowej serwisu „113 Countries”; aktywna strona lokalizacji serwerów to bardzo duża tabela według protokołów, której nie przeanalizowano wyczerpująco, więc luka między 106 a 113 jest zaraportowana, a nie wyjaśniona.

Ustalenie audytu między dwiema kategoriami. V11_audit_findings zapisano jako session_metadata, a nie none_linkable ani aggregates_only: raport KPMG z 2025 r. opisuje ustrukturyzowany rekord dla każdego połączenia (kraj, ISP, data, protokół, ilość danych, stabilny pseudonim będący solonym hashem), który wykracza poza czystą agregację, ale nie zawiera adresu IP ani dokładnego czasu — jest to rzeczywiście niejednoznaczny przypadek dla czterech środkowych kategorii tego pola.

Nie sprawdzono w tej rundzie. Nie sprawdzono w tej rundzie, czy zasięg ExpressVPN istnieje poza stronami afiliacyjnymi (X08), jaki jest poziom wypłat afiliacyjnych (X10) ani czy media z recenzjami prowadzone przez właściciela sygnalizują powiązanie właścicielskie (X11).

P2P, poszukiwane i nieobecne. U12a_p2p_allowed pozostaje nieznane z innego powodu niż pozostałe pola: poszukiwano tej informacji, ale nie jest opublikowana. Ani sitemap (578 adresów URL stron i wsparcia), ani warunki świadczenia usługi nie wspominają nigdzie o P2P, BitTorrent ani udostępnianiu plików, podczas gdy każdy inny skatalogowany dostawca określa swoje stanowisko we własnych dokumentach. Artykuł wsparcia lub klauzula w warunkach zamknęłyby tę lukę; stwierdzenie serwisu z recenzjami, że usługa działa, nie.

Dlaczego wynik od tego nie zależy. Zarówno cena dla stanu potwierdzonego, jak i dla stanu nieznanego wynosi 0,000, więc nic w wyniku od tego nie zależy; brakuje rekordu, a nie liczby, i następna iteracja powinna rozpocząć się od dokumentów Kunlun oraz akt federalnych, a nie od ich podsumowania.

Raport, który zmieniłby cztery pola. Raport Deloitte jest drugim dokumentem, który zmieniłby kilka pól jednocześnie: V04, V07, V11 i V15 są nieznane wyłącznie dlatego, że nie został opublikowany, a V11 jest w szczególności polem, na którym opiera się cała deklaracja braku logów.

Czego nie ma w żadnym dokumencie. U07 nie ma dokumentu, podobnie jak C13 stojące za nim: Opera wymienia AES-256 i „bezpieczny tunel”, ale nigdy nie wymienia protokołu, więc najsłabszy oferowany transport nie jest potwierdzony. U08, U09 i U12b pozostają niewypełnione z tego samego powodu — tabela porównania funkcji na stronie produktu oznacza wiersze znacznikami wyboru, których nie zawiera pobrany kod, a odczytywanie znaczników z wyrenderowanego obrazu nie jest źródłem.

Opisane serwery, niepotwierdzone dowodami. C02, C06 i C08 nie mają za sobą żadnych dowodów: Opera twierdzi, że serwery są fizyczne i należą do niej, co nie rozstrzyga ani kwestii dysków, ani DNS, ani tego, kto jest właścicielem sprzętu. Na C09b nie można odpowiedzieć, dopóki U02 pozostaje nieznane.

Jeden sklep, nie dwa. Przeanalizowano wyłącznie formularz bezpieczeństwa danych Google Play; etykiet prywatności App Store dla przeglądarki iOS nie przeanalizowano, więc X12 opiera się na jednym sklepie, a nie na gorszym z dwóch.

Dwie interpretacje, nie stwierdzenia. Linux w U01 wywnioskowano z podręcznika pomocy dla komputerów, który opisuje VPN i obejmuje łącznie Windows, macOS i Linux, bez rozdzielenia według platformy; Android i iOS wymieniono wyraźnie w ogłoszeniu dotyczącym audytu. U10 oznacza brak limitu, ponieważ nie ma konta ani limitu urządzeń, który mógłby go egzekwować; jest to interpretacja produktu, a nie podana wartość.

W 2017 r. władze tureckie zajęły serwer ExpressVPN podczas śledztwa w sprawie zabójstwa rosyjskiego ambasadora Andrieja Karłowa i nie znalazły żadnych użytecznych logów (TorrentFreak, który zawiera informację o sponsorowaniu przez ExpressVPN — odnotowane, a nie wykluczone, ponieważ fakty można zewnętrznie sprawdzić, a własna strona z oświadczeniem ExpressVPN od tego czasu zwraca HTTP 410 i nie ma jej migawki w Wayback Machine).

We wrześniu 2021 r. upubliczniono zawartą przez DOJ umowę Deferred Prosecution Agreement z Danielem Gerickiem, dyrektorem ds. informacji w ExpressVPN, dotyczącą jego wcześniejszej roli w latach 2016–2018 w hakerskiej operacji „Project Raven” w ZEA; sam główny dokument DPA nigdy nie wymienia ExpressVPN (dotyczy wyłącznie jego wcześniejszego zatrudnienia w ZEA) — powiązanie z ExpressVPN wynika z własnych oświadczeń ExpressVPN i doniesień prasowych. ExpressVPN pozostawił Gerickego w zatrudnieniu i opublikował publiczną obronę tej decyzji.

C12 to resettable_ad_id na podstawie własnego opisu dostawcy, a nie kategorii sklepu. W akapicie dotyczącym marketingu w polityce prywatności stwierdzono, że Installation ID i XV User ID są zawsze zbierane, a identyfikatory reklamowe — IDFA lub Android Advertising ID — są przekazywane po uzyskaniu wyraźnej zgody; całość trafia do AppsFlyer. Formularz bezpieczeństwa danych w Google Play niezależnie deklaruje wykorzystywanie identyfikatorów urządzenia lub innych identyfikatorów do celów reklamowych lub marketingowych.

Mechanizm zgody oraz środek zaradczy, którego nie oferuje tu nikt inny — ruch kierowany do AppsFlyer przez dedykowaną pulę adresów IP ExpressVPN, dzięki czemu atrybucja nie może korelować na podstawie adresu IP — są rzeczywiste i zostały tu odnotowane, ponieważ dolna granica ocenia to, co można utrzymać, a nie to, jak dobrze zostało to wyjaśnione.

U07_protocols obejmuje cały selektor: Lightway UDP i TCP jako vendor_open, obok WireGuard, OpenVPN UDP/TCP i IKEv2. Lightway to własny protokół ExpressVPN, a jego kod źródłowy jest opublikowany i poparty niezależnym przeglądem (Cure53, 2021 i 2024), co stanowi rozróżnienie, dla którego istnieje vendor_open — proprietary wycenia niemożność ustalenia, czy transport jest słaby, a tutaj można to ustalić.

PPTP został wycofany z aplikacji ExpressVPN, co wynika z własnej strony dostawcy poświęconej protokołom, a L2TP i SSTP są tam wyjaśnione, lecz nie są oferowane.

X02 jest ustaleniem stanowiącym podstawę, a oba leżące u jego podstaw dokumenty pochodzą od Opery. W ogłoszeniu z 2024 r. zacytowano opinię Deloitte: „konfiguracja systemów IT i zarządzanie wspierającymi operacjami IT zostały odpowiednio zaprojektowane i wdrożone, we wszystkich istotnych aspektach, w oparciu o kryteria opisane w Management Assertion Opery, na dzień 10 sierpnia 2024 r.”; osobno zdanie „W usłudze VPN nie ma wbudowanej funkcji rejestrowania danych i nie są zbierane żadne dane” przypisano własnemu dokumentowi Opera Management Assertion.

Wpis z 2026 r. przedstawia to samo zlecenie jako ustalenie dokonane przez Deloitte: „zapewniliśmy zespołowi Deloitte pełny dostęp do naszej infrastruktury VPN i serwerów, a oni mogli zweryfikować nasze twierdzenie ... W rzeczywistości funkcja rejestrowania danych nie jest nawet wbudowana w VPN”. Ten sam wpis przedstawia okres, który wpis z 2024 r. określa jako od 18 czerwca do 10 sierpnia 2024 r., jako „pełny dostęp”.

Opera przedstawia własne twierdzenie jako wniosek audytora. Dlatego blok VERIFY dzieli się w ten sposób. V01 ma wartość yes_verified na podstawie faktycznie otwartego raportu — opublikowanego przez Cure53 własnego podsumowania zarządczego oceny z marca 2022 r. — a nie na podstawie ogłoszenia Deloitte.

Sam raport Deloitte nie został nigdzie opublikowany, więc V02 ma wartość press_only, a każde pole będące ustaleniem z tego raportu, a nie faktem dotyczącym zlecenia, pozostaje nieznane: zakres floty (V04), standard zapewnienia (V07), to, co raport stwierdza na temat retencji (V11), oraz siła opinii (V15).

Fakty dotyczące zlecenia — firma, jej kategoria, data i to, co wymieniono jako objęte testami — pochodzą z ogłoszenia. Dostawca, który w sposób możliwy do wykazania raz zmienił opis tego audytu, nie jest źródłem informacji o tym, do jakiego wniosku doszedł audyt. C01 ma wartość none_linkable, ponieważ takie jest oświadczenie w polityce prywatności; V11 jest ustaleniem, a nie ma żadnego ustalenia do odczytania.