ExpressVPN vs NordVPN

O relatório de transparência. P05/P06/P08/P09 assentam agora no relatório de transparência semestral da ExpressVPN (jul.–dez. de 2025: 155 pedidos governamentais/de autoridades policiais, 0 divulgações, 3 mandados listados separadamente), acedido através do Trust Center — a análise anterior não encontrou nenhum dos dois.

O canário, e o resto do bloco. Não foi possível encontrar um canário de mandados da ExpressVPN e nenhuma declaração primária nega a sua existência, pelo que P07 permanece desconhecido. P02/P03=none_known assentam na série de transparência e na posição da política de privacidade sobre litígios; P11=none_known assenta na declaração da política de que todas as exigências passam pelos tribunais das BVI. P04=withdrew_physical é a saída da Índia em junho de 2022.

O que nunca é publicado. O número de subscritores (M08) e o número total de servidores (U03) não são publicados. A propriedade do hardware dos servidores (C08: próprio versus arrendado) e os identificadores de dispositivos ao nível da aplicação (C12) não puderam ser comprovados em nenhuma página consultada.

106 países contra uma alegação de 113. U02_server_countries reflete as 105 páginas de destino por país no próprio mapa do site da ExpressVPN, mais a China (confirmada como «Available - Virtual Locations» na página ativa /vpn-server, mas sem uma página de destino dedicada) — 106 códigos no total, contra a própria alegação de marketing do site de «113 Countries»; a página ativa de localizações de servidores é uma tabela muito extensa por protocolo que não foi analisada exaustivamente, pelo que a lacuna entre 106 e 113 é reportada, não resolvida.

Uma conclusão de auditoria entre duas categorias. V11_audit_findings é registado como session_metadata, em vez de none_linkable ou aggregates_only: o relatório da KPMG de 2025 descreve um registo estruturado por ligação (país, ISP, data, protocolo, volume de dados, um pseudónimo estável com hash salteado) que é mais do que um agregado puro, mas não contém IP nem hora precisa — um caso genuinamente ambíguo para as quatro categorias intermédias deste campo.

Não verificado nesta passagem. Não foram verificadas nesta passagem a existência da cobertura da ExpressVPN fora de sites afiliados (X08), o seu escalão de pagamento a afiliados (X10) e se os meios de análise geridos pelo proprietário assinalam a ligação de propriedade (X11).

P2P, procurado e ausente. U12a_p2p_allowed continua desconhecido por uma razão diferente da dos restantes: foi procurado e não está publicado. Nem o mapa do site (578 páginas e URLs de suporte) nem os termos de serviço mencionam P2P, BitTorrent ou partilha de ficheiros em qualquer parte, enquanto todos os outros fornecedores catalogados indicam a sua posição nos seus próprios documentos. Um artigo de suporte ou uma cláusula nos termos resolveria a questão; um site de análise que dissesse que funciona não resolveria.

O canário, e o trimestre que o substituiu. A mesma página retirou o canário de mandado (P07=removed) em favor de relatórios de transparência trimestrais; o último trimestre completo (abr.–jun. de 2026) mostra 85 pedidos governamentais e 0 divulgações, pelo que P08/P09 correspondem a esse período, e não ao valor de sempre.

A Índia e o regime de ordens secretas. P04=withdrew_physical corresponde à saída da Índia em junho de 2022. P11=none_known baseia-se na afirmação da página de que a NordVPN não recebeu cartas vinculativas de Segurança Nacional nem ordens de mordaça e na ausência de tal regime no Panamá.

Um nível de garantia que ninguém pode verificar. A NordVPN descreve o trabalho da Deloitte Lithuania como um trabalho de garantia razoável ao abrigo da ISAE 3000 (Revised), que seria a forma mais forte; o relatório da PIA, que pode ser consultado, declara uma conclusão de garantia limitada.

Por que a forma mais forte não é creditada. O modelo atribui agora um valor a essa diferença, e esta ficha não beneficia dela: V15_assurance_strength é desconhecido porque a única afirmação sobre o nível é da própria NordVPN, acerca de um relatório que ninguém fora de uma Nord Account pode abrir. Um documento protegido por início de sessão não é prova aqui a nenhum nível, pelo que a análise é creditada segundo a norma de mercado, e não segundo o nível que se diz ter alcançado.

Um relatório protegido por início de sessão. O próprio relatório só pode ser lido depois de iniciar sessão numa Nord Account, pelo que ninguém fora dessa relação verificou o seu âmbito, e todos os campos de auditoria aqui assentam no resumo que a própria NordVPN faz dele, e não no documento. Isso, e não uma conclusão contra o serviço, é a razão por que esta ficha é a mais incompleta do catálogo.

Em 2017, as autoridades turcas apreenderam um servidor da ExpressVPN ao investigarem o assassinato do embaixador russo Andrei Karlov e não encontraram registos utilizáveis (TorrentFreak, que apresenta um aviso de patrocínio da ExpressVPN — assinalado, não excluído, uma vez que os factos podem ser verificados externamente e a própria página de declaração da ExpressVPN desde então devolveu HTTP 410 sem qualquer captura na Wayback Machine).

Em setembro de 2021, o Deferred Prosecution Agreement do DOJ com Daniel Gericke, Chief Information Officer da ExpressVPN, relativo ao seu anterior cargo, entre 2016 e 2018, na operação de pirataria informática «Project Raven» dos EAU tornou-se público; o documento principal do DPA nunca menciona a ExpressVPN (abrange apenas o seu emprego anterior nos EAU) — a ligação à ExpressVPN provém das declarações da própria ExpressVPN e da imprensa. A ExpressVPN manteve Gericke empregado e publicou uma defesa pública dessa decisão.

C12 é resettable_ad_id no texto do próprio fornecedor, e não numa categoria da loja. O parágrafo de marketing da política de privacidade declara que um Installation ID e um XV User ID são sempre recolhidos e que os identificadores de publicidade — IDFA ou Android Advertising ID — são enviados após consentimento explícito, sendo tudo isso enviado para AppsFlyer; o formulário de segurança dos dados do Play declara de forma independente Device ou outros IDs para publicidade ou marketing.

A barreira de consentimento e uma mitigação que nenhum outro fornecedor aqui oferece — o tráfego destinado à AppsFlyer encaminhado através de um conjunto dedicado de IPs da ExpressVPN, para que a atribuição não possa fazer correlações por IP — são reais e estão registados aqui, porque a barreira avalia o que pode ser retido, não quão bem é explicado.

U07_protocols inclui todo o seletor: Lightway UDP e TCP como vendor_open, além de WireGuard, OpenVPN UDP/TCP e IKEv2. Lightway é o protocolo próprio da ExpressVPN e o seu código-fonte é publicado com uma análise independente que o sustenta (Cure53, 2021 e 2024), que é a distinção para a qual existe vendor_open — proprietary atribui pontuação à impossibilidade de determinar se um transporte é fraco, e aqui é possível determiná-lo.

O PPTP foi retirado das aplicações da ExpressVPN pela própria página de protocolos do fornecedor, e L2TP e SSTP são aí explicados sem serem disponibilizados.

A violação do centro de dados na Finlândia em 2018 foi uma intrusão de terceiros, não uma apreensão por autoridades policiais — registada em P12_case_history como kind=breach, e não como P01_seizure_event. O próprio relato da NordVPN (nordvpn.com/blog/official-response-datacenter-breach/) e a cobertura contemporânea da Bloomberg concordam que a divulgação se seguiu a alegações no Twitter feitas por investigadores externos, e não a uma iniciativa da NordVPN — daí third_party_disclosed, em vez de self_disclosed_late.

A NordVPN e a Surfshark partilham um proprietário (Nord Security), mas o anúncio da fusão das próprias empresas afirma infraestruturas e roteiros de produtos separados; M18 é definido como separado com base nisso.