ExpressVPN vs Proton VPN

W 2017 r. władze tureckie zajęły serwer ExpressVPN podczas śledztwa w sprawie zabójstwa rosyjskiego ambasadora Andrieja Karłowa i nie znalazły żadnych użytecznych logów (TorrentFreak, który zawiera informację o sponsorowaniu przez ExpressVPN — odnotowane, a nie wykluczone, ponieważ fakty można zewnętrznie sprawdzić, a własna strona z oświadczeniem ExpressVPN od tego czasu zwraca HTTP 410 i nie ma jej migawki w Wayback Machine).

We wrześniu 2021 r. upubliczniono zawartą przez DOJ umowę Deferred Prosecution Agreement z Danielem Gerickiem, dyrektorem ds. informacji w ExpressVPN, dotyczącą jego wcześniejszej roli w latach 2016–2018 w hakerskiej operacji „Project Raven” w ZEA; sam główny dokument DPA nigdy nie wymienia ExpressVPN (dotyczy wyłącznie jego wcześniejszego zatrudnienia w ZEA) — powiązanie z ExpressVPN wynika z własnych oświadczeń ExpressVPN i doniesień prasowych. ExpressVPN pozostawił Gerickego w zatrudnieniu i opublikował publiczną obronę tej decyzji.

C12 to resettable_ad_id na podstawie własnego opisu dostawcy, a nie kategorii sklepu. W akapicie dotyczącym marketingu w polityce prywatności stwierdzono, że Installation ID i XV User ID są zawsze zbierane, a identyfikatory reklamowe — IDFA lub Android Advertising ID — są przekazywane po uzyskaniu wyraźnej zgody; całość trafia do AppsFlyer. Formularz bezpieczeństwa danych w Google Play niezależnie deklaruje wykorzystywanie identyfikatorów urządzenia lub innych identyfikatorów do celów reklamowych lub marketingowych.

Mechanizm zgody oraz środek zaradczy, którego nie oferuje tu nikt inny — ruch kierowany do AppsFlyer przez dedykowaną pulę adresów IP ExpressVPN, dzięki czemu atrybucja nie może korelować na podstawie adresu IP — są rzeczywiste i zostały tu odnotowane, ponieważ dolna granica ocenia to, co można utrzymać, a nie to, jak dobrze zostało to wyjaśnione.

U07_protocols obejmuje cały selektor: Lightway UDP i TCP jako vendor_open, obok WireGuard, OpenVPN UDP/TCP i IKEv2. Lightway to własny protokół ExpressVPN, a jego kod źródłowy jest opublikowany i poparty niezależnym przeglądem (Cure53, 2021 i 2024), co stanowi rozróżnienie, dla którego istnieje vendor_open — proprietary wycenia niemożność ustalenia, czy transport jest słaby, a tutaj można to ustalić.

PPTP został wycofany z aplikacji ExpressVPN, co wynika z własnej strony dostawcy poświęconej protokołom, a L2TP i SSTP są tam wyjaśnione, lecz nie są oferowane.

Raport przejrzystości. P05/P06/P08/P09 opierają się teraz na półrocznym raporcie przejrzystości ExpressVPN (lip.–gru. 2025: 155 wniosków rządowych i organów ścigania, 0 ujawnień, 3 nakazy wymienione osobno), dostępnym przez Trust Center — wcześniejszy przebieg nie uwzględnił żadnego z tych dwóch elementów.

Canary i reszta bloku. Nie znaleziono canary dotyczącego nakazów ExpressVPN i nie znaleziono żadnego pierwotnego oświadczenia, które by mu zaprzeczało, więc P07 pozostaje nieznane. P02/P03=none_known opierają się na serii raportów przejrzystości i stanowisku dotyczącym postępowań sądowych zawartym w polityce prywatności; P11=none_known — na oświadczeniu w tej polityce, że wszystkie żądania przechodzą przez sądy BVI. P04=withdrew_physical oznacza wycofanie się z Indii w czerwcu 2022 r.

Co nigdy nie jest publikowane. Liczba subskrybentów (M08) i łączna liczba serwerów (U03) nie są publikowane. Nie udało się potwierdzić na podstawie żadnej sprawdzonej strony, kto jest właścicielem sprzętu serwerowego (C08: własny czy dzierżawiony) ani jakie są identyfikatory urządzeń na poziomie aplikacji (C12).

106 krajów wobec deklarowanych 113. U02_server_countries odzwierciedla 105 stron docelowych krajów w sitemapie ExpressVPN oraz Chiny (potwierdzone jako „Available - Virtual Locations” na aktywnej stronie /vpn-server, ale bez odrębnej strony docelowej) — łącznie 106 kodów wobec własnej deklaracji marketingowej serwisu „113 Countries”; aktywna strona lokalizacji serwerów to bardzo duża tabela według protokołów, której nie przeanalizowano wyczerpująco, więc luka między 106 a 113 jest zaraportowana, a nie wyjaśniona.

Ustalenie audytu między dwiema kategoriami. V11_audit_findings zapisano jako session_metadata, a nie none_linkable ani aggregates_only: raport KPMG z 2025 r. opisuje ustrukturyzowany rekord dla każdego połączenia (kraj, ISP, data, protokół, ilość danych, stabilny pseudonim będący solonym hashem), który wykracza poza czystą agregację, ale nie zawiera adresu IP ani dokładnego czasu — jest to rzeczywiście niejednoznaczny przypadek dla czterech środkowych kategorii tego pola.

Nie sprawdzono w tej rundzie. Nie sprawdzono w tej rundzie, czy zasięg ExpressVPN istnieje poza stronami afiliacyjnymi (X08), jaki jest poziom wypłat afiliacyjnych (X10) ani czy media z recenzjami prowadzone przez właściciela sygnalizują powiązanie właścicielskie (X11).

P2P, poszukiwane i nieobecne. U12a_p2p_allowed pozostaje nieznane z innego powodu niż pozostałe pola: poszukiwano tej informacji, ale nie jest opublikowana. Ani sitemap (578 adresów URL stron i wsparcia), ani warunki świadczenia usługi nie wspominają nigdzie o P2P, BitTorrent ani udostępnianiu plików, podczas gdy każdy inny skatalogowany dostawca określa swoje stanowisko we własnych dokumentach. Artykuł wsparcia lub klauzula w warunkach zamknęłyby tę lukę; stwierdzenie serwisu z recenzjami, że usługa działa, nie.

Co faktycznie rozstrzyga te dwa pola. O tym, co rozstrzyga C10 i C11, decyduje fakt, że Szwajcaria nie ma podstawy obowiązku retencyjnego na własnej liście krajów katalogu; odwołanie potwierdza sposób, w jaki szwajcarskie władze traktują Proton, i samo w sobie nie stanowi ustalenia dotyczącego Proton VPN. Orzeczenie dotyczące usługi siostrzanej jest słabszą podstawą, niż sugeruje to cytowanie.

Największa pojedyncza otwarta kwestia. Proton oferuje lokalizacje węzłów wyjściowych w ośmiu krajach, które nakładają obowiązek retencyjny. Nie potwierdzono, czy sprzęt faktycznie znajduje się w którymkolwiek z nich: Proton wycofał fizyczne serwery z Indii w 2022 roku i dokumentuje Smart Routing dla lokalizacji obsługiwanych z innych miejsc, co wskazuje na lokalizacje wirtualne, ale zweryfikowano to wyłącznie dla Indii. Ustalenie C09b_mandate_hosting jest największą pojedynczą otwartą kwestią w tym rekordzie.