ExpressVPN против NordVPN

Отчёт о прозрачности. Теперь P05/P06/P08/P09 основаны на полугодовом отчёте ExpressVPN о прозрачности (июль—декабрь 2025 года: 155 запросов от государственных органов и правоохранительных органов, 0 раскрытий, 3 ордера, перечисленных отдельно), который был найден через Trust Center; при предыдущей проверке не удалось найти ни то ни другое.

Канарейка и остальная часть блока. Канарейку ExpressVPN в отношении ордеров найти не удалось, и первичного заявления, отрицающего её наличие, нет, поэтому P07 остаётся неизвестно. P02/P03=none_known основаны на серии отчётов о прозрачности и позиции политики конфиденциальности по судебным разбирательствам; P11=none_known — на заявлении политики о том, что все требования проходят через суды BVI. P04=withdrew_physical — это уход из Индии в июне 2022 года.

Что никогда не публикуется. Число подписчиков (M08) и общее число серверов (U03) не публикуются. Владение аппаратным обеспечением серверов (C08: собственное или арендованное) и идентификаторы устройств на уровне приложения (C12) не удалось установить ни на одной проверенной странице.

106 стран против заявления о 113. U02_server_countries отражает 105 страниц стран в собственной карте сайта ExpressVPN плюс Китай (на действующей странице /vpn-server подтвержден статус 'Available - Virtual Locations', но отдельной страницы страны нет) — всего 106 кодов, тогда как собственный маркетинговый материал сайта заявляет «113 Countries»; действующая страница с расположением серверов представляет собой очень большую таблицу по протоколам, которая не была разобрана исчерпывающе, поэтому расхождение между 106 и 113 приводится как установленный пробел, а не устраняется.

Вывод аудита между двумя категориями. V11_audit_findings записано как session_metadata, а не как none_linkable или aggregates_only: в отчёте KPMG за 2025 год описана структурированная запись для каждого подключения (страна, ISP, дата, протокол, объём данных, стабильный псевдоним на основе хеша с солью), которая выходит за рамки чистого агрегирования, но не содержит IP-адрес и точное время — действительно неоднозначный случай для четырёх средних категорий этого поля.

В этой проверке не проверялось. Наличие покрытия ExpressVPN за пределами партнёрских сайтов (X08), уровень выплат партнёрам (X10) и то, отмечают ли обзорные СМИ, управляемые владельцем, связь с владельцем (X11), в этой проверке не проверялись.

P2P, искали и не обнаружили. U12a_p2p_allowed остаётся неизвестно по другой причине, чем остальные: это искали, но не опубликовано. Ни sitemap (578 страниц и URL поддержки), ни условия использования нигде не упоминают P2P, BitTorrent или обмен файлами, тогда как каждый другой учтённый провайдер излагает свою позицию в собственных документах. Статья поддержки или пункт условий использования устранили бы этот пробел; утверждение обзорного сайта о том, что это работает, — нет.

Канарейка и заменивший её квартал. На той же странице канарейка предписаний была отменена (P07=removed) в пользу ежеквартальных отчётов о прозрачности; последний завершённый квартал (апрель–июнь 2026 года) показывает 85 запросов от государственных органов и 0 раскрытий, поэтому P08/P09 относятся к этому периоду, а не к показателю за весь период.

Индия и режим тайных предписаний. P04=withdrew_physical — это уход из Индии в июне 2022 года. P11=none_known основан на заявлении страницы о том, что NordVPN не получал обязательных National Security letters или запретов на разглашение, а также на отсутствии такого режима в Панаме.

Уровень уверенности, который никто не может проверить. NordVPN описывает работу Deloitte Lithuania как аудит с reasonable уверенностью по ISAE 3000 (Revised), что было бы более сильной формой; в доступном для чтения отчёте PIA указано заключение об ограниченной уверенности.

Почему более сильная форма не засчитывается. Теперь модель учитывает эту разницу, но эта запись не получает выгоды от неё: V15_assurance_strength имеет значение unknown, поскольку единственное заявление об уровне принадлежит самому NordVPN и касается отчёта, который никто за пределами Nord Account открыть не может. Документ за страницей входа не является здесь доказательством ни на каком уровне, поэтому аудит засчитывается по рыночной норме, а не на уровне, которого, как заявлено, он достиг.

Отчёт, доступный только после входа. Сам отчёт можно прочитать только после входа в Nord Account, поэтому никто за пределами этих отношений не проверял его охват, и каждое поле аудита здесь основано на собственном резюме NordVPN, а не на документе. Именно это, а не вывод против сервиса, делает эту запись самой скудной в каталоге.

В 2017 году турецкие власти изъяли сервер ExpressVPN в ходе расследования убийства посла России Андрея Карлова и не обнаружили пригодных для использования журналов (TorrentFreak, на котором размещено уведомление о спонсорстве ExpressVPN — отмечено, но не исключено, поскольку факты можно проверить извне, а собственная страница заявления ExpressVPN с тех пор стала возвращать HTTP 410 без снимка в Wayback Machine).

В сентябре 2021 года стало публичным заключённое DOJ соглашение об отсрочке уголовного преследования с Daniel Gericke, директором по информационным технологиям ExpressVPN, в связи с его прежней ролью в хакерской операции ОАЭ «Project Raven» в 2016–2018 годах; сам основной документ DPA нигде не называет ExpressVPN (он касается только его прежней работы в ОАЭ) — связь с ExpressVPN следует из собственных заявлений ExpressVPN и сообщений прессы. ExpressVPN сохранила Gericke в штате и опубликовала публичную защиту этого решения.

C12 — это resettable_ad_id, установленный на основе собственного текста провайдера, а не категории магазина. В маркетинговом абзаце политики конфиденциальности указано, что Installation ID и XV User ID всегда собираются, а рекламные идентификаторы — IDFA или Android Advertising ID — передаются только при явном согласии; всё это поступает в AppsFlyer. Форма Play по безопасности данных независимо заявляет «идентификаторы устройства или другие идентификаторы» для рекламы или маркетинга.

Механизм согласия и единственная здесь мера снижения риска, которую не предлагает никто другой, — трафик, направленный в AppsFlyer и проходящий через выделенный пул IP-адресов ExpressVPN, чтобы атрибуция не могла сопоставлять данные по IP-адресу, — реальны и зафиксированы здесь, потому что нижний предел оценивает то, что можно подтвердить, а не то, насколько хорошо это объяснено.