AirVPN vs IVPN

Um dado prático digno de nota: transcrições públicas de tribunais federais dos EUA em United States v. Klyushin (D. Mass., docket 61629108, documentos #183 e #217, encontradas através de CourtListener/RECAP) mostram que um dispositivo de registo de chamadas das autoridades policiais foi colocado diretamente na empresa de alojamento (DediPath), não na AirVPN, para monitorizar o IP de um servidor da AirVPN de jan.–fev. de 2020; o próprio pessoal da AirVPN, ao responder no seu fórum, confirmou que a empresa não tinha conhecimento da escuta nem estava envolvida nela e que o dispositivo teve de ser instalado fora dos próprios sistemas da AirVPN.

Isto é registado em P12_case_history como um evento court_order/nothing_produced, com fonte na confirmação do próprio fórum da AirVPN (não nos PDFs do PACER, que devolveram 403 a recolhas automatizadas e foram lidos apenas através de um resumo secundário).

O que os tópicos do fórum mostram. Os tópicos do fórum mostram utilizadores a pedirem repetidamente à AirVPN um canário de mandado, sem confirmação da equipa de que exista um, o que é sugestivo, mas não constitui uma negação primária; por isso, P07 permanece desconhecido em vez de «none».

Contagens que ninguém publica. As contagens de pedidos/entrega de dados são, consequentemente, também desconhecidas (P08, P09), e a contagem total de subscritores nunca é divulgada (M08 desconhecido) — a AirVPN publica apenas um contador em tempo real de utilizadores ligados em simultâneo, não um total de utilizadores registados ou subscritores, pelo que o silêncio/a falta de conhecimento têm aqui um peso real.

Compilações e testes de penetração. As compilações reproduzíveis não estão documentadas na própria página da AirVPN sobre compilação a partir do código-fonte (eddie.website/support/build/), e não foi possível encontrar qualquer teste de penetração dedicado ao cliente/à infraestrutura (V13, V14 desconhecido). O âmbito do interruptor de emergência e o comportamento da divisão de túnel têm como fonte uma análise de terceiros, e não a documentação da própria AirVPN (U08, U09 com confiança C), porque não foi possível aceder diretamente às páginas de FAQ relevantes através do encaminhamento do site (são renderizadas via JavaScript e devolveram apenas uma estrutura de carregamento a um pedido simples).

Cobertura fora dos afiliados. A cobertura na imprensa não se limita a afiliados: a BleepingComputer, um meio de comunicação generalista fora da lista de agregadores de afiliados, publicou uma análise independente com o seu próprio aviso de divulgação de afiliado, em vez de estar confinada a diretórios de afiliados (X08=no). A mesma análise também concluiu que a AirVPN falhou em todos os serviços de streaming que testou — Netflix, Hulu, HBO Max, Amazon Prime Video, Disney+, ABC, NBC, CBS — razão pela qual U12b_streaming_works passou a registar no, em vez de partial, que antes provinha de addictivetips.com, até esse anfitrião ser considerado proibido.

O preço anual. U04b_price_yearly=4,08 é a taxa mensal efetiva em EUR do plano de um ano (49 EUR/ano) em airvpn.org/buy/, sem alteração na renovação, como acontece com todos os planos da AirVPN.

A marca nominativa. A AirVPN apresenta a sua marca nominativa apenas em PNG (/static/img/logo/web_header.png, logo_horiz.png) e não tem uma página de imprensa ou de marca, pelo que logos/airvpn.svg fica ausente de acordo com AUDITOR.md §1, em vez de se vetorizar uma imagem rasterizada.

O incidente de agosto de 2026. Em agosto de 2026, um atacante explorou uma vulnerabilidade no BTCPay Server auto-hospedado, antes de esta se tornar pública, e apoderou-se dos fundos operacionais próprios da IVPN em Lightning. A IVPN publicou o relato quatro dias depois, sem que ninguém lho solicitasse, e limitou-o a essa máquina: os gateways VPN não estiveram envolvidos, não foram alcançados registos de clientes e não se perdeu dinheiro de clientes.

Porque não custa nada. O modelo não cobra nada por isto, que é precisamente o objetivo — um operador que o afirma prontamente está a agir da forma que o campo pretende recompensar, e a ficha está aqui para que o leitor saiba que aconteceu, e não para alterar um número.

O que os trabalhos abrangeram. O pentest das aplicações (iOS, Android, Electron, o daemon) é de março de 2022 e a análise do gateway/sistema operativo do servidor é de fevereiro de 2023; nenhum dos dois testou a própria alegação de não retenção, como o relatório de 2023 afirma explicitamente, pelo que a retenção assenta apenas na declaração da política de privacidade.

O relatório mais recente não é o relevante. A auditoria de abril de 2024, a sexta da Cure53 com a IVPN, testou o site da conta de cliente, a API e o alojamento; a própria página de âmbito indica que as aplicações cliente e os servidores VPN estavam fora do âmbito, pelo que não amplia a prova relativa à aplicação nem ao gateway, e V03_audit_subject aparece como unknown para ela, em vez de transportar esse crédito. A sétima auditoria, sobre os novos serviços de email e DNS, foi apenas anunciada para maio de 2025; não foi publicado nenhum relatório relativo a ela.