ExpressVPN vs Windscribe

O relatório de transparência. P05/P06/P08/P09 assentam agora no relatório de transparência semestral da ExpressVPN (jul.–dez. de 2025: 155 pedidos governamentais/de autoridades policiais, 0 divulgações, 3 mandados listados separadamente), acedido através do Trust Center — a análise anterior não encontrou nenhum dos dois.

O canário, e o resto do bloco. Não foi possível encontrar um canário de mandados da ExpressVPN e nenhuma declaração primária nega a sua existência, pelo que P07 permanece desconhecido. P02/P03=none_known assentam na série de transparência e na posição da política de privacidade sobre litígios; P11=none_known assenta na declaração da política de que todas as exigências passam pelos tribunais das BVI. P04=withdrew_physical é a saída da Índia em junho de 2022.

O que nunca é publicado. O número de subscritores (M08) e o número total de servidores (U03) não são publicados. A propriedade do hardware dos servidores (C08: próprio versus arrendado) e os identificadores de dispositivos ao nível da aplicação (C12) não puderam ser comprovados em nenhuma página consultada.

106 países contra uma alegação de 113. U02_server_countries reflete as 105 páginas de destino por país no próprio mapa do site da ExpressVPN, mais a China (confirmada como «Available - Virtual Locations» na página ativa /vpn-server, mas sem uma página de destino dedicada) — 106 códigos no total, contra a própria alegação de marketing do site de «113 Countries»; a página ativa de localizações de servidores é uma tabela muito extensa por protocolo que não foi analisada exaustivamente, pelo que a lacuna entre 106 e 113 é reportada, não resolvida.

Uma conclusão de auditoria entre duas categorias. V11_audit_findings é registado como session_metadata, em vez de none_linkable ou aggregates_only: o relatório da KPMG de 2025 descreve um registo estruturado por ligação (país, ISP, data, protocolo, volume de dados, um pseudónimo estável com hash salteado) que é mais do que um agregado puro, mas não contém IP nem hora precisa — um caso genuinamente ambíguo para as quatro categorias intermédias deste campo.

Não verificado nesta passagem. Não foram verificadas nesta passagem a existência da cobertura da ExpressVPN fora de sites afiliados (X08), o seu escalão de pagamento a afiliados (X10) e se os meios de análise geridos pelo proprietário assinalam a ligação de propriedade (X11).

P2P, procurado e ausente. U12a_p2p_allowed continua desconhecido por uma razão diferente da dos restantes: foi procurado e não está publicado. Nem o mapa do site (578 páginas e URLs de suporte) nem os termos de serviço mencionam P2P, BitTorrent ou partilha de ficheiros em qualquer parte, enquanto todos os outros fornecedores catalogados indicam a sua posição nos seus próprios documentos. Um artigo de suporte ou uma cláusula nos termos resolveria a questão; um site de análise que dissesse que funciona não resolveria.

Por que razão a retenção é pontuada com base na constatação. A retenção é, portanto, pontuada com base no que um auditor demonstrou estar acessível, e não no que a política declara, e o canal de integridade transporta a diferença entre os dois. Leia-se isto como uma constatação de há dois anos num nó, não como uma medição atual: o âmbito abrangia apenas ca-023.windscribe.com, e uma auditoria mais recente que abrangesse uma parte maior da frota é o que a resolveria.

A lista que nunca foi lida. A lista de países disponibilizada nunca foi lida, pelo que nem a pontuação de usabilidade dos países nem a interseção do mandato podem ser calculadas — Windscribe publica uma distinção entre físico e virtual, o que torna C09b respondível aqui assim que a lista o for. A escala de utilizadores também não está comprovada, deixando o escalão de exposição assente em menos do que deveria.

De onde os três eventos agora citam. AIN.UA ainda apresenta os servidores ucranianos apreendidos em 24 de junho de 2021, e o próprio blogue da Windscribe apresenta o caso grego arquivado em 11 de abril de 2025. A apreensão neerlandesa e o próprio campo de apreensão citam agora a própria página de no-logs da Windscribe, em vez da imprensa paga por afiliados que a noticiou primeiro: o relato de uma empresa sobre a sua própria apreensão é uma fonte primária, não o relato de outra pessoa sobre uma. O evento ucraniano é datado da própria apreensão, não do texto que a relata.

Em 2017, as autoridades turcas apreenderam um servidor da ExpressVPN ao investigarem o assassinato do embaixador russo Andrei Karlov e não encontraram registos utilizáveis (TorrentFreak, que apresenta um aviso de patrocínio da ExpressVPN — assinalado, não excluído, uma vez que os factos podem ser verificados externamente e a própria página de declaração da ExpressVPN desde então devolveu HTTP 410 sem qualquer captura na Wayback Machine).

Em setembro de 2021, o Deferred Prosecution Agreement do DOJ com Daniel Gericke, Chief Information Officer da ExpressVPN, relativo ao seu anterior cargo, entre 2016 e 2018, na operação de pirataria informática «Project Raven» dos EAU tornou-se público; o documento principal do DPA nunca menciona a ExpressVPN (abrange apenas o seu emprego anterior nos EAU) — a ligação à ExpressVPN provém das declarações da própria ExpressVPN e da imprensa. A ExpressVPN manteve Gericke empregado e publicou uma defesa pública dessa decisão.

C12 é resettable_ad_id no texto do próprio fornecedor, e não numa categoria da loja. O parágrafo de marketing da política de privacidade declara que um Installation ID e um XV User ID são sempre recolhidos e que os identificadores de publicidade — IDFA ou Android Advertising ID — são enviados após consentimento explícito, sendo tudo isso enviado para AppsFlyer; o formulário de segurança dos dados do Play declara de forma independente Device ou outros IDs para publicidade ou marketing.

A barreira de consentimento e uma mitigação que nenhum outro fornecedor aqui oferece — o tráfego destinado à AppsFlyer encaminhado através de um conjunto dedicado de IPs da ExpressVPN, para que a atribuição não possa fazer correlações por IP — são reais e estão registados aqui, porque a barreira avalia o que pode ser retido, não quão bem é explicado.

U07_protocols inclui todo o seletor: Lightway UDP e TCP como vendor_open, além de WireGuard, OpenVPN UDP/TCP e IKEv2. Lightway é o protocolo próprio da ExpressVPN e o seu código-fonte é publicado com uma análise independente que o sustenta (Cure53, 2021 e 2024), que é a distinção para a qual existe vendor_open — proprietary atribui pontuação à impossibilidade de determinar se um transporte é fraco, e aqui é possível determiná-lo.

O PPTP foi retirado das aplicações da ExpressVPN pela própria página de protocolos do fornecedor, e L2TP e SSTP são aí explicados sem serem disponibilizados.