ExpressVPN наспрам Mullvad VPN

Извештај о транспарентности. P05/P06/P08/P09 сада се ослањају на ExpressVPN-ов полугодишњи извештај о транспарентности (јул–децембар 2025: 155 захтева владиних органа и органа за спровођење закона, 0 откривања података, 3 налога наведена одвојено), до којег се дошло преко Trust Center-а — претходни пролаз је промашио оба.

Канаринац и остатак блока. Није могао да се пронађе канаринац за налоге компаније ExpressVPN, а ниједна примарна изјава не пориче његово постојање, па P07 остаје непознато. P02/P03=none_known ослањају се на серију извештаја о транспарентности и став политике приватности о парницама; P11=none_known на изјаву политике да сви захтеви пролазе кроз судове BVI. P04=withdrew_physical је излазак из Индије у јуну 2022.

Оно што се никада не објављује. Број претплатника (M08) и укупан број сервера (U03) нису објављени. Власништво над серверским хардвером (C08: у власништву или изнајмљен) и идентификатори уређаја на нивоу апликације (C12) нису могли да се утврде ни на једној провереној страници.

106 земаља наспрам тврдње о 113. U02_server_countries одражава 105 страница за земље у ExpressVPN-овој сопственој мапи сајта, плус Кину (потврђено као „Available - Virtual Locations“ на актуелној страници /vpn-server, али без посебне странице за ту земљу) — укупно 106 кодова, наспрам сопствене маркетиншке тврдње сајта о „113 Countries“; актуелна страница са локацијама сервера је веома велика табела по протоколима која није исцрпно рашчлањена, па се празнина између 106 и 113 наводи, а не разрешава.

Налаз ревизије између две категорије. V11_audit_findings је забележен као session_metadata, а не као none_linkable или aggregates_only: извештај KPMG-а из 2025. описује структуриран запис по вези (земља, ISP, датум, протокол, количина података, стабилан псеудоним заснован на хешу са додатом соли) који је више од чистог агрегата, али му недостају IP и прецизно време — заиста двосмислен случај за четири средње категорије овог поља.

Није проверено у овом пролазу. Да ли ExpressVPN-ова покривеност постоји изван партнерских сајтова (X08), његов ниво исплате партнерима (X10) и да ли медији за прегледе којима управљају власници указују на власничку повезаност (X11) нису проверени у овом пролазу.

P2P, тражено и одсутно. U12a_p2p_allowed остаје непознат из другог разлога у односу на остале: тражено је, али није објављено. Ни мапа сајта (578 URL адреса страница и подршке) ни услови коришћења не помињу P2P, BitTorrent или дељење датотека било где, док сваки други каталогизовани провајдер наводи свој став у сопственим документима. Чланак подршке или одредба у условима коришћења разрешили би ово; тврдња сајта за прегледе да функционише не би.

Зашто број износи осам. Број ревизија износи осам јер се преглед GotaTun-а налази изван сопствене листе репозиторијума апликације. Пре њих, 30 човек-дана X41 D-Sec прегледа на свих пет платформи утврдило је шест рањивости — три високе, две средње, једну ниску, без критичних.

Шта ниједан ангажман не обухвата. Ниједан од ових ангажмана не обухвата флоту сервера: сваки од њих испитује апликацију или протокол тунела, због чега се покривеност флоте бележи као није применљиво, а не као узорак. Тврдња о непостојању евиденција на инфраструктурној страни зато се ослања на налог за претрес из априла 2023. — шведска полиција је дошла по податке о корисницима и отишла без њих — а не на било коју ревизију.

Репродуцибилне компилације, само за Android. Репродуцибилне компилације постоје само за Android, почев од верзије 2025.2, па поље остаје делимично; desktop и iOS компилације не могу се проверити бит по бит. Турска је једина земља са мандатом на понуђеној листи, а хостинг који стоји иза ње није утврђен.

Ништа објављено о захтевима. Ништа у запису не ослања се на било шта што провајдер објављује о захтевима које прима: нема извештаја о транспарентности нити канаринца за налоге, па заплена из априла 2023. представља једини основ. Покривеност прекидачем везе и политика P2P нису утврђене; најновија ревизија је преглед кода протокола, а не ангажман о непостојању евиденција, па V11 не износи закључак, а задржавање података ослања се на изјаву.

2017. године турске власти су заплениле ExpressVPN сервер током истраге убиства руског амбасадора Andrei Karlov и нису пронашле употребљиве записе (TorrentFreak, који има обавештење о спонзорству ExpressVPN-а — наведено, није искључено, пошто се чињенице могу проверити из спољних извора, а страница са сопственом изјавом ExpressVPN-а је у међувремену вратила HTTP 410 без снимка у Wayback Machine-у).

У септембру 2021. постао је јаван Deferred Prosecution Agreement Министарства правде САД са Daniel Gericke-ом, директором за информације ExpressVPN-а, у вези са његовом претходном улогом од 2016. до 2018. у хакерској операцији „Project Raven“ у UAE; сам примарни DPA документ никада не именује ExpressVPN (односи се само на његово раније запослење у UAE) — веза са ExpressVPN-ом потиче из сопствених изјава ExpressVPN-а и изјава за медије. ExpressVPN је задржао Gericke-а у радном односу и објавио јавну одбрану те одлуке.

C12 је resettable_ad_id у сопственом тексту провајдера, а не у категорији продавнице. Став о маркетингу у политици приватности наводи да се Installation ID и XV User ID увек прикупљају, а да рекламни идентификатори — IDFA или Android Advertising ID — следе након изричите сагласности, при чему се све то прослеђује компанији AppsFlyer; образац безбедности података на Play-у независно наводи Device или друге ID-ове за оглашавање или маркетинг.

Праг сагласности и мера ублажавања коју овде нико други не нуди — саобраћај намењен компанији AppsFlyer усмерава се кроз посебан ExpressVPN IP опсег, тако да се приписивање не може повезивати по IP адреси — стварни су и овде су забележени, јер доња граница вреднује шта може да се поткрепи, а не колико је добро објашњено.

U07_protocols обухвата целокупни изборник: Lightway UDP и TCP као vendor_open, поред WireGuard, OpenVPN UDP/TCP и IKEv2. Lightway је сопствени протокол компаније ExpressVPN, а његов изворни код је објављен уз независну ревизију (Cure53, 2021. и 2024), што је разлика за коју постоји vendor_open — proprietary вреднује немогућност утврђивања да ли је транспорт слаб, а овде се то може утврдити.

PPTP је повучен из апликација компаније ExpressVPN, што провајдер наводи на сопственој страници о протоколима, а L2TP и SSTP су тамо објашњени без понуде за коришћење.