ExpressVPN vs Opera VPN

Raportul de transparență. P05/P06/P08/P09 se bazează acum pe raportul semestrial de transparență al ExpressVPN (iulie–decembrie 2025: 155 de solicitări guvernamentale/de aplicare a legii, 0 divulgări, 3 mandate enumerate separat), accesat prin Trust Center — runda anterioară le-a omis pe ambele.

Canarul și restul blocului. Nu a putut fi găsit niciun canar de mandate al ExpressVPN și nicio declarație primară nu neagă existența unuia, astfel că P07 rămâne necunoscut. P02/P03=none_known se bazează pe seria de rapoarte de transparență și pe poziția politicii de confidențialitate privind litigiile; P11=none_known se bazează pe declarația politicii că toate cererile trec prin instanțele din BVI. P04=withdrew_physical este retragerea fizică din India din iunie 2022.

Ce nu este publicat niciodată. Numărul de abonați (M08) și numărul total de servere (U03) nu sunt publicate. Proprietatea asupra hardware-ului serverelor (C08: deținut vs închiriat) și identificatorii dispozitivelor la nivelul aplicației (C12) nu au putut fi dovedite din nicio pagină verificată.

106 țări în raport cu o declarație de 113. U02_server_countries reflectă cele 105 pagini de destinație pentru țări din sitemap-ul propriu al ExpressVPN, plus China (confirmată ca „Available - Virtual Locations” pe pagina live /vpn-server, dar fără o pagină de destinație dedicată) — 106 coduri în total, în raport cu propria declarație de marketing a site-ului, „113 Countries”; pagina live privind locațiile serverelor este un tabel foarte mare per protocol, care nu a fost analizat exhaustiv, astfel că lacuna dintre 106 și 113 este raportată, nu rezolvată.

O constatare de audit între două categorii. V11_audit_findings este înregistrat ca session_metadata, nu ca none_linkable sau aggregates_only: raportul KPMG din 2025 descrie o fișă structurată pentru fiecare conexiune (țară, ISP, dată, protocol, volum de date, un pseudonim stabil sub formă de hash cu salt) care depășește un simplu agregat, dar nu include IP-ul și ora exactă — un caz cu adevărat ambiguu pentru cele patru categorii intermediare ale acestui câmp.

Neverificat în această rundă. Nu au fost verificate în această rundă existența acoperirii ExpressVPN în afara site-urilor afiliate (X08), nivelul plăților către afiliați (X10) și dacă presa de recenzii administrată de proprietar semnalează legătura de proprietate (X11).

P2P, căutat și absent. U12a_p2p_allowed rămâne necunoscut dintr-un motiv diferit de restul: a fost căutat și nu este publicat. Nici sitemap-ul (578 de URL-uri de pagini și de asistență), nici condițiile de utilizare nu menționează nicăieri P2P, BitTorrent sau partajarea de fișiere, în timp ce fiecare alt furnizor catalogat își precizează poziția în propriile documente. Un articol de asistență sau o clauză din condiții ar clarifica situația; o recenzie care spune că funcționează nu ar clarifica-o.

De ce scorul nu depinde de aceasta. Atât curat, cât și necunoscut au prețul 0,000, astfel că nimic din scor nu depinde de aceasta; ceea ce lipsește este fișa, nu numărul, iar următoarea rundă ar trebui să înceapă cu documentele Kunlun și registrul federal, nu cu un rezumat al acestora.

Raportul care ar modifica patru câmpuri. Raportul Deloitte este celălalt document care ar modifica simultan mai multe câmpuri: V04, V07, V11 și V15 sunt toate necunoscute doar pentru că nu este publicat, iar V11 este în special câmpul pe care se bazează întreaga afirmație privind lipsa jurnalelor.

Ceea ce nu are document. U07 nu are document și nici C13 din spatele său: Opera numește AES-256 și un „tunel securizat” și nu numește niciodată un protocol, astfel că transportul cel mai slab oferit nu este dovedit. U08, U09 și U12b sunt necompletate din același motiv — tabelul de comparație a funcțiilor de pe pagina produsului marchează rândurile cu bife pe care marcajul preluat nu le conține, iar citirea bifelor dintr-o imagine redată nu constituie o sursă.

Servere descrise, nu dovedite. C02, C06 și C08 nu au nimic în spatele lor: Opera spune că serverele sunt fizice și proprii, ceea ce nu clarifică nici discurile, nici DNS-ul, nici cine deține hardware-ul. C09b nu poate primi răspuns cât timp U02 este necunoscut.

Un singur magazin, nu două. A fost citit doar formularul Google Play privind siguranța datelor; etichetele de confidențialitate din App Store pentru browserul iOS nu au fost citite, astfel că X12 se bazează pe un singur magazin, nu pe cel mai nefavorabil dintre două.

Două interpretări, nu afirmații. Linux din U01 este dedus din manualul de ajutor pentru desktop, care documentează VPN și acoperă împreună Windows, macOS și Linux, fără a le separa pe platforme; Android și iOS sunt menționate explicit în anunțul auditului. U10 este nelimitat deoarece nu există niciun cont și nicio limită de dispozitive care să impună una, ceea ce este o interpretare a produsului, nu o cifră declarată.

În 2017, autoritățile turce au confiscat un server ExpressVPN în timp ce investigau asasinarea ambasadorului Rusiei, Andrei Karlov, și nu au găsit jurnale utilizabile (TorrentFreak, care afișează un anunț de sponsorizare pentru ExpressVPN — menționat, nu exclus, deoarece faptele pot fi verificate extern, iar pagina proprie de declarații a ExpressVPN a returnat între timp HTTP 410, fără o captură în Wayback Machine).

În septembrie 2021, Acordul de amânare a urmăririi penale al DOJ cu Daniel Gericke, Chief Information Officer al ExpressVPN, privind rolul său anterior din 2016–2018 în operațiunea de hacking „Project Raven” din EAU a devenit public; documentul principal al acordului nu menționează niciodată ExpressVPN (acoperă doar angajarea sa anterioară în EAU) — legătura cu ExpressVPN provine din propriile declarații ale ExpressVPN și din declarații ale presei. ExpressVPN l-a menținut pe Gericke în funcție și a publicat o apărare publică a acestei decizii.

C12 este resettable_ad_id în textul propriu al furnizorului, nu într-o categorie a magazinului. Paragraful despre marketing din politica de confidențialitate precizează că un Installation ID și un XV User ID sunt colectate întotdeauna și că identificatorii de publicitate — IDFA sau Android Advertising ID — sunt utilizați după consimțământul explicit, toate acestea ajungând la AppsFlyer; formularul Play privind siguranța datelor declară independent Device sau other IDs pentru publicitate sau marketing.

Pragul consimțământului și o măsură de atenuare pe care nimeni altcineva de aici nu o oferă — traficul direcționat către AppsFlyer este rutat printr-un grup dedicat de adrese IP ExpressVPN, astfel încât atribuirea să nu poată corela prin IP — sunt reale și sunt consemnate aici, deoarece pragul punctează ceea ce poate fi reținut, nu cât de bine este explicat.

U07_protocols cuprinde întregul selector: Lightway UDP și TCP ca vendor_open, alături de WireGuard, OpenVPN UDP/TCP și IKEv2. Lightway este propriul protocol al ExpressVPN, iar sursa sa este publicată cu o evaluare independentă în spate (Cure53, 2021 și 2024), aceasta fiind distincția pentru care există vendor_open — proprietary punctează imposibilitatea de a spune dacă un transport este slab, iar aici acest lucru poate fi stabilit.

PPTP este retras din aplicațiile ExpressVPN, potrivit paginii proprii a furnizorului despre protocoale, iar L2TP și SSTP sunt explicate acolo fără a fi oferite.

Identitatea acelui terț a variat: anunțul auditului din 2024 spune că serverele VPN Pro sunt „furnizate în colaborare cu Nord”, iar explicația din 2026 spune că VPN Pro este „echipat cu protocolul Lightway de nouă generație”, care aparține ExpressVPN. Niciunul dintre documente nu spune că aranjamentul s-a schimbat.

X02 este constatarea de care depinde totul, iar ambele documente care o susțin sunt ale Opera. Anunțul din 2024 citează opinia Deloitte astfel: „configurația sistemelor informatice și gestionarea operațiunilor IT aferente au fost proiectate și implementate în mod adecvat, în toate privințele semnificative, pe baza criteriilor descrise în Management Assertion al Opera, la data de 10 august 2024”, și atribuie separat propoziția „Funcționalitatea de jurnalizare a datelor nu este integrată în serviciul VPN și nu se colectează absolut niciun fel de date” propriului Management Assertion al Opera.

Postarea din 2026 prezintă din nou aceeași misiune, descriind constatarea ca fiind realizată de Deloitte: „am oferit echipei Deloitte acces complet la VPN-ul și infrastructura noastră de servere, iar aceasta a putut verifica afirmația noastră ... De fapt, o funcție de jurnalizare a datelor nici măcar nu este integrată în VPN de la bun început.” Aceeași postare transformă un interval pe care postarea din 2024 îl datează între 18 iunie și 10 august 2024 în „acces complet”.

Opera își descrie propria afirmație ca fiind concluzia auditorului său. De aceea blocul VERIFY este împărțit astfel. V01 este yes_verified pe baza unui raport deschis efectiv — propriul rezumat public al conducerii întocmit de Cure53 pentru evaluarea din martie 2022 — nu pe baza anunțului Deloitte.

Raportul Deloitte în sine nu este publicat nicăieri, așadar V02 este press_only, iar fiecare câmp care reprezintă o constatare a acelui raport, nu un fapt despre angajament, rămâne necunoscut: acoperirea flotei (V04), standardul de asigurare (V07), ce afirmă raportul că este reținut (V11) și nivelul de forță al opiniei (V15).