AirVPN vs ExpressVPN

O que os tópicos do fórum mostram. Os tópicos do fórum mostram utilizadores a pedirem repetidamente à AirVPN um canário de mandado, sem confirmação da equipa de que exista um, o que é sugestivo, mas não constitui uma negação primária; por isso, P07 permanece desconhecido em vez de «none».

Contagens que ninguém publica. As contagens de pedidos/entrega de dados são, consequentemente, também desconhecidas (P08, P09), e a contagem total de subscritores nunca é divulgada (M08 desconhecido) — a AirVPN publica apenas um contador em tempo real de utilizadores ligados em simultâneo, não um total de utilizadores registados ou subscritores, pelo que o silêncio/a falta de conhecimento têm aqui um peso real.

Compilações e testes de penetração. As compilações reproduzíveis não estão documentadas na própria página da AirVPN sobre compilação a partir do código-fonte (eddie.website/support/build/), e não foi possível encontrar qualquer teste de penetração dedicado ao cliente/à infraestrutura (V13, V14 desconhecido). O âmbito do interruptor de emergência e o comportamento da divisão de túnel têm como fonte uma análise de terceiros, e não a documentação da própria AirVPN (U08, U09 com confiança C), porque não foi possível aceder diretamente às páginas de FAQ relevantes através do encaminhamento do site (são renderizadas via JavaScript e devolveram apenas uma estrutura de carregamento a um pedido simples).

Cobertura fora dos afiliados. A cobertura na imprensa não se limita a afiliados: a BleepingComputer, um meio de comunicação generalista fora da lista de agregadores de afiliados, publicou uma análise independente com o seu próprio aviso de divulgação de afiliado, em vez de estar confinada a diretórios de afiliados (X08=no). A mesma análise também concluiu que a AirVPN falhou em todos os serviços de streaming que testou — Netflix, Hulu, HBO Max, Amazon Prime Video, Disney+, ABC, NBC, CBS — razão pela qual U12b_streaming_works passou a registar no, em vez de partial, que antes provinha de addictivetips.com, até esse anfitrião ser considerado proibido.

O preço anual. U04b_price_yearly=4,08 é a taxa mensal efetiva em EUR do plano de um ano (49 EUR/ano) em airvpn.org/buy/, sem alteração na renovação, como acontece com todos os planos da AirVPN.

A marca nominativa. A AirVPN apresenta a sua marca nominativa apenas em PNG (/static/img/logo/web_header.png, logo_horiz.png) e não tem uma página de imprensa ou de marca, pelo que logos/airvpn.svg fica ausente de acordo com AUDITOR.md §1, em vez de se vetorizar uma imagem rasterizada.

O relatório de transparência. P05/P06/P08/P09 assentam agora no relatório de transparência semestral da ExpressVPN (jul.–dez. de 2025: 155 pedidos governamentais/de autoridades policiais, 0 divulgações, 3 mandados listados separadamente), acedido através do Trust Center — a análise anterior não encontrou nenhum dos dois.

O canário, e o resto do bloco. Não foi possível encontrar um canário de mandados da ExpressVPN e nenhuma declaração primária nega a sua existência, pelo que P07 permanece desconhecido. P02/P03=none_known assentam na série de transparência e na posição da política de privacidade sobre litígios; P11=none_known assenta na declaração da política de que todas as exigências passam pelos tribunais das BVI. P04=withdrew_physical é a saída da Índia em junho de 2022.

O que nunca é publicado. O número de subscritores (M08) e o número total de servidores (U03) não são publicados. A propriedade do hardware dos servidores (C08: próprio versus arrendado) e os identificadores de dispositivos ao nível da aplicação (C12) não puderam ser comprovados em nenhuma página consultada.

106 países contra uma alegação de 113. U02_server_countries reflete as 105 páginas de destino por país no próprio mapa do site da ExpressVPN, mais a China (confirmada como «Available - Virtual Locations» na página ativa /vpn-server, mas sem uma página de destino dedicada) — 106 códigos no total, contra a própria alegação de marketing do site de «113 Countries»; a página ativa de localizações de servidores é uma tabela muito extensa por protocolo que não foi analisada exaustivamente, pelo que a lacuna entre 106 e 113 é reportada, não resolvida.

Um dado prático digno de nota: transcrições públicas de tribunais federais dos EUA em United States v. Klyushin (D. Mass., docket 61629108, documentos #183 e #217, encontradas através de CourtListener/RECAP) mostram que um dispositivo de registo de chamadas das autoridades policiais foi colocado diretamente na empresa de alojamento (DediPath), não na AirVPN, para monitorizar o IP de um servidor da AirVPN de jan.–fev. de 2020; o próprio pessoal da AirVPN, ao responder no seu fórum, confirmou que a empresa não tinha conhecimento da escuta nem estava envolvida nela e que o dispositivo teve de ser instalado fora dos próprios sistemas da AirVPN.

Isto é registado em P12_case_history como um evento court_order/nothing_produced, com fonte na confirmação do próprio fórum da AirVPN (não nos PDFs do PACER, que devolveram 403 a recolhas automatizadas e foram lidos apenas através de um resumo secundário).

Em 2017, as autoridades turcas apreenderam um servidor da ExpressVPN ao investigarem o assassinato do embaixador russo Andrei Karlov e não encontraram registos utilizáveis (TorrentFreak, que apresenta um aviso de patrocínio da ExpressVPN — assinalado, não excluído, uma vez que os factos podem ser verificados externamente e a própria página de declaração da ExpressVPN desde então devolveu HTTP 410 sem qualquer captura na Wayback Machine).

Em setembro de 2021, o Deferred Prosecution Agreement do DOJ com Daniel Gericke, Chief Information Officer da ExpressVPN, relativo ao seu anterior cargo, entre 2016 e 2018, na operação de pirataria informática «Project Raven» dos EAU tornou-se público; o documento principal do DPA nunca menciona a ExpressVPN (abrange apenas o seu emprego anterior nos EAU) — a ligação à ExpressVPN provém das declarações da própria ExpressVPN e da imprensa. A ExpressVPN manteve Gericke empregado e publicou uma defesa pública dessa decisão.

C12 é resettable_ad_id no texto do próprio fornecedor, e não numa categoria da loja. O parágrafo de marketing da política de privacidade declara que um Installation ID e um XV User ID são sempre recolhidos e que os identificadores de publicidade — IDFA ou Android Advertising ID — são enviados após consentimento explícito, sendo tudo isso enviado para AppsFlyer; o formulário de segurança dos dados do Play declara de forma independente Device ou outros IDs para publicidade ou marketing.

A barreira de consentimento e uma mitigação que nenhum outro fornecedor aqui oferece — o tráfego destinado à AppsFlyer encaminhado através de um conjunto dedicado de IPs da ExpressVPN, para que a atribuição não possa fazer correlações por IP — são reais e estão registados aqui, porque a barreira avalia o que pode ser retido, não quão bem é explicado.

U07_protocols inclui todo o seletor: Lightway UDP e TCP como vendor_open, além de WireGuard, OpenVPN UDP/TCP e IKEv2. Lightway é o protocolo próprio da ExpressVPN e o seu código-fonte é publicado com uma análise independente que o sustenta (Cure53, 2021 e 2024), que é a distinção para a qual existe vendor_open — proprietary atribui pontuação à impossibilidade de determinar se um transporte é fraco, e aqui é possível determiná-lo.

O PPTP foi retirado das aplicações da ExpressVPN pela própria página de protocolos do fornecedor, e L2TP e SSTP são aí explicados sem serem disponibilizados.