ExpressVPN против Proton VPN

Отчёт о прозрачности. Теперь P05/P06/P08/P09 основаны на полугодовом отчёте ExpressVPN о прозрачности (июль—декабрь 2025 года: 155 запросов от государственных органов и правоохранительных органов, 0 раскрытий, 3 ордера, перечисленных отдельно), который был найден через Trust Center; при предыдущей проверке не удалось найти ни то ни другое.

Канарейка и остальная часть блока. Канарейку ExpressVPN в отношении ордеров найти не удалось, и первичного заявления, отрицающего её наличие, нет, поэтому P07 остаётся неизвестно. P02/P03=none_known основаны на серии отчётов о прозрачности и позиции политики конфиденциальности по судебным разбирательствам; P11=none_known — на заявлении политики о том, что все требования проходят через суды BVI. P04=withdrew_physical — это уход из Индии в июне 2022 года.

Что никогда не публикуется. Число подписчиков (M08) и общее число серверов (U03) не публикуются. Владение аппаратным обеспечением серверов (C08: собственное или арендованное) и идентификаторы устройств на уровне приложения (C12) не удалось установить ни на одной проверенной странице.

106 стран против заявления о 113. U02_server_countries отражает 105 страниц стран в собственной карте сайта ExpressVPN плюс Китай (на действующей странице /vpn-server подтвержден статус 'Available - Virtual Locations', но отдельной страницы страны нет) — всего 106 кодов, тогда как собственный маркетинговый материал сайта заявляет «113 Countries»; действующая страница с расположением серверов представляет собой очень большую таблицу по протоколам, которая не была разобрана исчерпывающе, поэтому расхождение между 106 и 113 приводится как установленный пробел, а не устраняется.

Вывод аудита между двумя категориями. V11_audit_findings записано как session_metadata, а не как none_linkable или aggregates_only: в отчёте KPMG за 2025 год описана структурированная запись для каждого подключения (страна, ISP, дата, протокол, объём данных, стабильный псевдоним на основе хеша с солью), которая выходит за рамки чистого агрегирования, но не содержит IP-адрес и точное время — действительно неоднозначный случай для четырёх средних категорий этого поля.

В этой проверке не проверялось. Наличие покрытия ExpressVPN за пределами партнёрских сайтов (X08), уровень выплат партнёрам (X10) и то, отмечают ли обзорные СМИ, управляемые владельцем, связь с владельцем (X11), в этой проверке не проверялись.

P2P, искали и не обнаружили. U12a_p2p_allowed остаётся неизвестно по другой причине, чем остальные: это искали, но не опубликовано. Ни sitemap (578 страниц и URL поддержки), ни условия использования нигде не упоминают P2P, BitTorrent или обмен файлами, тогда как каждый другой учтённый провайдер излагает свою позицию в собственных документах. Статья поддержки или пункт условий использования устранили бы этот пробел; утверждение обзорного сайта о том, что это работает, — нет.

Апелляция и то, чего она не устанавливает. Апелляция от 22 октября 2021 года приводится здесь с оговоркой, которую стоит сформулировать прямо: Federal Administrative Court постановил, что услуги email не являются поставщиками телекоммуникационных услуг, и ни освещение решения, ни собственное описание Proton не упоминают VPN.

Что действительно устанавливает эти два поля. C10 и C11 устанавливаются тем, что Швейцария не имеет основания для предписания в собственном списке стран каталога; апелляция подтверждает, как швейцарские органы относятся к Proton, и сама по себе не является выводом о Proton VPN. Решение по родственному сервису — менее веское основание, чем это выглядит по источнику.

Самый крупный открытый пункт. Proton предлагает точки выхода в восьми странах, устанавливающих предписание о ведении журналов. Установлено не было, находится ли оборудование фактически хотя бы в одной из них: Proton вывел физические серверы из Индии в 2022 году и документирует Smart Routing для местоположений, которые обслуживает из других мест, что указывает на виртуальные местоположения, но это было проверено только для Индии. Установление C09b_mandate_hosting — самый крупный открытый пункт в этой записи.

В 2017 году турецкие власти изъяли сервер ExpressVPN в ходе расследования убийства посла России Андрея Карлова и не обнаружили пригодных для использования журналов (TorrentFreak, на котором размещено уведомление о спонсорстве ExpressVPN — отмечено, но не исключено, поскольку факты можно проверить извне, а собственная страница заявления ExpressVPN с тех пор стала возвращать HTTP 410 без снимка в Wayback Machine).

В сентябре 2021 года стало публичным заключённое DOJ соглашение об отсрочке уголовного преследования с Daniel Gericke, директором по информационным технологиям ExpressVPN, в связи с его прежней ролью в хакерской операции ОАЭ «Project Raven» в 2016–2018 годах; сам основной документ DPA нигде не называет ExpressVPN (он касается только его прежней работы в ОАЭ) — связь с ExpressVPN следует из собственных заявлений ExpressVPN и сообщений прессы. ExpressVPN сохранила Gericke в штате и опубликовала публичную защиту этого решения.

C12 — это resettable_ad_id, установленный на основе собственного текста провайдера, а не категории магазина. В маркетинговом абзаце политики конфиденциальности указано, что Installation ID и XV User ID всегда собираются, а рекламные идентификаторы — IDFA или Android Advertising ID — передаются только при явном согласии; всё это поступает в AppsFlyer. Форма Play по безопасности данных независимо заявляет «идентификаторы устройства или другие идентификаторы» для рекламы или маркетинга.

Механизм согласия и единственная здесь мера снижения риска, которую не предлагает никто другой, — трафик, направленный в AppsFlyer и проходящий через выделенный пул IP-адресов ExpressVPN, чтобы атрибуция не могла сопоставлять данные по IP-адресу, — реальны и зафиксированы здесь, потому что нижний предел оценивает то, что можно подтвердить, а не то, насколько хорошо это объяснено.