ExpressVPN vs Windscribe

Raport przejrzystości. P05/P06/P08/P09 opierają się teraz na półrocznym raporcie przejrzystości ExpressVPN (lip.–gru. 2025: 155 wniosków rządowych i organów ścigania, 0 ujawnień, 3 nakazy wymienione osobno), dostępnym przez Trust Center — wcześniejszy przebieg nie uwzględnił żadnego z tych dwóch elementów.

Canary i reszta bloku. Nie znaleziono canary dotyczącego nakazów ExpressVPN i nie znaleziono żadnego pierwotnego oświadczenia, które by mu zaprzeczało, więc P07 pozostaje nieznane. P02/P03=none_known opierają się na serii raportów przejrzystości i stanowisku dotyczącym postępowań sądowych zawartym w polityce prywatności; P11=none_known — na oświadczeniu w tej polityce, że wszystkie żądania przechodzą przez sądy BVI. P04=withdrew_physical oznacza wycofanie się z Indii w czerwcu 2022 r.

Co nigdy nie jest publikowane. Liczba subskrybentów (M08) i łączna liczba serwerów (U03) nie są publikowane. Nie udało się potwierdzić na podstawie żadnej sprawdzonej strony, kto jest właścicielem sprzętu serwerowego (C08: własny czy dzierżawiony) ani jakie są identyfikatory urządzeń na poziomie aplikacji (C12).

106 krajów wobec deklarowanych 113. U02_server_countries odzwierciedla 105 stron docelowych krajów w sitemapie ExpressVPN oraz Chiny (potwierdzone jako „Available - Virtual Locations” na aktywnej stronie /vpn-server, ale bez odrębnej strony docelowej) — łącznie 106 kodów wobec własnej deklaracji marketingowej serwisu „113 Countries”; aktywna strona lokalizacji serwerów to bardzo duża tabela według protokołów, której nie przeanalizowano wyczerpująco, więc luka między 106 a 113 jest zaraportowana, a nie wyjaśniona.

Ustalenie audytu między dwiema kategoriami. V11_audit_findings zapisano jako session_metadata, a nie none_linkable ani aggregates_only: raport KPMG z 2025 r. opisuje ustrukturyzowany rekord dla każdego połączenia (kraj, ISP, data, protokół, ilość danych, stabilny pseudonim będący solonym hashem), który wykracza poza czystą agregację, ale nie zawiera adresu IP ani dokładnego czasu — jest to rzeczywiście niejednoznaczny przypadek dla czterech środkowych kategorii tego pola.

Nie sprawdzono w tej rundzie. Nie sprawdzono w tej rundzie, czy zasięg ExpressVPN istnieje poza stronami afiliacyjnymi (X08), jaki jest poziom wypłat afiliacyjnych (X10) ani czy media z recenzjami prowadzone przez właściciela sygnalizują powiązanie właścicielskie (X11).

P2P, poszukiwane i nieobecne. U12a_p2p_allowed pozostaje nieznane z innego powodu niż pozostałe pola: poszukiwano tej informacji, ale nie jest opublikowana. Ani sitemap (578 adresów URL stron i wsparcia), ani warunki świadczenia usługi nie wspominają nigdzie o P2P, BitTorrent ani udostępnianiu plików, podczas gdy każdy inny skatalogowany dostawca określa swoje stanowisko we własnych dokumentach. Artykuł wsparcia lub klauzula w warunkach zamknęłyby tę lukę; stwierdzenie serwisu z recenzjami, że usługa działa, nie.

Dlaczego retencja jest wyceniana na podstawie ustalenia. Retencja jest więc wyceniana na podstawie tego, do czego dostęp wykazał audytor, a nie tego, co deklaruje polityka, natomiast kanał integralności pokazuje odległość między tymi dwiema rzeczami. Należy to odczytywać jako ustalenie sprzed dwóch lat dotyczące jednego węzła, a nie jako bieżący pomiar: zakres obejmował wyłącznie ca-023.windscribe.com, a rozstrzygnąć tę kwestię mógłby nowszy audyt obejmujący większą część floty.

Lista, której nigdy nie odczytano. Oferowana lista krajów nigdy nie została odczytana, więc nie można obliczyć ani wyniku użyteczności dla krajów, ani przecięcia z obowiązkiem — Windscribe publikuje rozróżnienie na lokalizacje fizyczne i wirtualne, dzięki czemu C09b można tutaj ocenić, gdy tylko lista będzie dostępna. Skala użytkowników również nie jest potwierdzona, przez co przedział ekspozycji opiera się na mniejszej podstawie, niż powinien.

Skąd trzy zdarzenia czerpią teraz cytowania. AIN.UA nadal zawiera informację o ukraińskich serwerach przejętych 24 czerwca 2021 roku, a własny blog Windscribe — o greckiej sprawie oddalonej 11 kwietnia 2025 roku. Holenderskie przejęcie oraz samo pole przejęcia odwołują się teraz do własnej strony Windscribe dotyczącej braku logów, a nie do prasy opłaconej przez program partnerski, która po raz pierwszy o nim poinformowała: relacja firmy z własnego przejęcia jest źródłem pierwotnym, a nie cudzą relacją z jednego przejęcia. Ukraińskie zdarzenie datuje się na samo przejęcie, a nie na późniejszą publikację.

W 2017 r. władze tureckie zajęły serwer ExpressVPN podczas śledztwa w sprawie zabójstwa rosyjskiego ambasadora Andrieja Karłowa i nie znalazły żadnych użytecznych logów (TorrentFreak, który zawiera informację o sponsorowaniu przez ExpressVPN — odnotowane, a nie wykluczone, ponieważ fakty można zewnętrznie sprawdzić, a własna strona z oświadczeniem ExpressVPN od tego czasu zwraca HTTP 410 i nie ma jej migawki w Wayback Machine).

We wrześniu 2021 r. upubliczniono zawartą przez DOJ umowę Deferred Prosecution Agreement z Danielem Gerickiem, dyrektorem ds. informacji w ExpressVPN, dotyczącą jego wcześniejszej roli w latach 2016–2018 w hakerskiej operacji „Project Raven” w ZEA; sam główny dokument DPA nigdy nie wymienia ExpressVPN (dotyczy wyłącznie jego wcześniejszego zatrudnienia w ZEA) — powiązanie z ExpressVPN wynika z własnych oświadczeń ExpressVPN i doniesień prasowych. ExpressVPN pozostawił Gerickego w zatrudnieniu i opublikował publiczną obronę tej decyzji.

C12 to resettable_ad_id na podstawie własnego opisu dostawcy, a nie kategorii sklepu. W akapicie dotyczącym marketingu w polityce prywatności stwierdzono, że Installation ID i XV User ID są zawsze zbierane, a identyfikatory reklamowe — IDFA lub Android Advertising ID — są przekazywane po uzyskaniu wyraźnej zgody; całość trafia do AppsFlyer. Formularz bezpieczeństwa danych w Google Play niezależnie deklaruje wykorzystywanie identyfikatorów urządzenia lub innych identyfikatorów do celów reklamowych lub marketingowych.

Mechanizm zgody oraz środek zaradczy, którego nie oferuje tu nikt inny — ruch kierowany do AppsFlyer przez dedykowaną pulę adresów IP ExpressVPN, dzięki czemu atrybucja nie może korelować na podstawie adresu IP — są rzeczywiste i zostały tu odnotowane, ponieważ dolna granica ocenia to, co można utrzymać, a nie to, jak dobrze zostało to wyjaśnione.

U07_protocols obejmuje cały selektor: Lightway UDP i TCP jako vendor_open, obok WireGuard, OpenVPN UDP/TCP i IKEv2. Lightway to własny protokół ExpressVPN, a jego kod źródłowy jest opublikowany i poparty niezależnym przeglądem (Cure53, 2021 i 2024), co stanowi rozróżnienie, dla którego istnieje vendor_open — proprietary wycenia niemożność ustalenia, czy transport jest słaby, a tutaj można to ustalić.

PPTP został wycofany z aplikacji ExpressVPN, co wynika z własnej strony dostawcy poświęconej protokołom, a L2TP i SSTP są tam wyjaśnione, lecz nie są oferowane.