ExpressVPN наспрам NordVPN

Извештај о транспарентности. P05/P06/P08/P09 сада се ослањају на ExpressVPN-ов полугодишњи извештај о транспарентности (јул–децембар 2025: 155 захтева владиних органа и органа за спровођење закона, 0 откривања података, 3 налога наведена одвојено), до којег се дошло преко Trust Center-а — претходни пролаз је промашио оба.

Канаринац и остатак блока. Није могао да се пронађе канаринац за налоге компаније ExpressVPN, а ниједна примарна изјава не пориче његово постојање, па P07 остаје непознато. P02/P03=none_known ослањају се на серију извештаја о транспарентности и став политике приватности о парницама; P11=none_known на изјаву политике да сви захтеви пролазе кроз судове BVI. P04=withdrew_physical је излазак из Индије у јуну 2022.

Оно што се никада не објављује. Број претплатника (M08) и укупан број сервера (U03) нису објављени. Власништво над серверским хардвером (C08: у власништву или изнајмљен) и идентификатори уређаја на нивоу апликације (C12) нису могли да се утврде ни на једној провереној страници.

106 земаља наспрам тврдње о 113. U02_server_countries одражава 105 страница за земље у ExpressVPN-овој сопственој мапи сајта, плус Кину (потврђено као „Available - Virtual Locations“ на актуелној страници /vpn-server, али без посебне странице за ту земљу) — укупно 106 кодова, наспрам сопствене маркетиншке тврдње сајта о „113 Countries“; актуелна страница са локацијама сервера је веома велика табела по протоколима која није исцрпно рашчлањена, па се празнина између 106 и 113 наводи, а не разрешава.

Налаз ревизије између две категорије. V11_audit_findings је забележен као session_metadata, а не као none_linkable или aggregates_only: извештај KPMG-а из 2025. описује структуриран запис по вези (земља, ISP, датум, протокол, количина података, стабилан псеудоним заснован на хешу са додатом соли) који је више од чистог агрегата, али му недостају IP и прецизно време — заиста двосмислен случај за четири средње категорије овог поља.

Није проверено у овом пролазу. Да ли ExpressVPN-ова покривеност постоји изван партнерских сајтова (X08), његов ниво исплате партнерима (X10) и да ли медији за прегледе којима управљају власници указују на власничку повезаност (X11) нису проверени у овом пролазу.

P2P, тражено и одсутно. U12a_p2p_allowed остаје непознат из другог разлога у односу на остале: тражено је, али није објављено. Ни мапа сајта (578 URL адреса страница и подршке) ни услови коришћења не помињу P2P, BitTorrent или дељење датотека било где, док сваки други каталогизовани провајдер наводи свој став у сопственим документима. Чланак подршке или одредба у условима коришћења разрешили би ово; тврдња сајта за прегледе да функционише не би.

Канаринац, и квартал који га је заменио. Иста страница је повукла канаринца за налоге (P07=removed) у корист кварталних извештаја о транспарентности; последњи потпуни квартал (април–јун 2026) показује 85 упита влада и 0 откривања података, па се P08/P09 односе на тај период, а не на доживотни износ.

Индија и режим тајних налога. P04=withdrew_physical је повлачење из Индије у јуну 2022. P11=none_known заснива се на изјави странице да NordVPN није примио ниједно обавезујуће писмо о националној безбедности или забрану обавештавања, као и на одсуству таквог режима у Панами.

Ниво уверења који нико не може да провери. NordVPN описује ангажман Deloitte Lithuania као ангажман са разумним уверењем према стандарду ISAE 3000 (Revised), што би био јачи облик; у извештају PIA, који се може прочитати, наводи се закључак са ограниченим уверењем.

Зашто се јачи облик не признаје. Модел сада вреднује ту разлику, а овај запис од ње нема користи: V15_assurance_strength је непознато јер је једина изјава о нивоу NordVPN-ова, о извештају који нико изван Nord Account-а не може да отвори. Документ иза пријаве овде није доказ ни на једном нивоу, па се ангажман признаје према тржишној норми, а не према нивоу за који се тврди да је достигнут.

Извештај иза пријаве. Сам извештај је читљив тек након пријављивања на Nord Account, па нико изван тог односа није проверио његов обухват, а свако поље ревизије овде почива на NordVPN-овом сопственом сажетку, а не на документу. То, а не налаз против услуге, разлог је што је овај запис најмање поткрепљен у каталогу.

Поља о власнику. M11_owner_jurisdiction и X04_owner_group_history су непозната: nordvpn.com и nordsecurity.com наводе Nord Security као власника, али ниједан не наводи сопствену јурисдикцију оснивања Nord Security-а нити било какав претходни запис о групи; секундарни медијски извештаји повезују холдинг ентитет „Cyberspace“ са Холандијом након спајања из 2022. године, али то није потврђено на примарној страници Nord Security-а или NordVPN-а у расположивом времену.

2017. године турске власти су заплениле ExpressVPN сервер током истраге убиства руског амбасадора Andrei Karlov и нису пронашле употребљиве записе (TorrentFreak, који има обавештење о спонзорству ExpressVPN-а — наведено, није искључено, пошто се чињенице могу проверити из спољних извора, а страница са сопственом изјавом ExpressVPN-а је у међувремену вратила HTTP 410 без снимка у Wayback Machine-у).

У септембру 2021. постао је јаван Deferred Prosecution Agreement Министарства правде САД са Daniel Gericke-ом, директором за информације ExpressVPN-а, у вези са његовом претходном улогом од 2016. до 2018. у хакерској операцији „Project Raven“ у UAE; сам примарни DPA документ никада не именује ExpressVPN (односи се само на његово раније запослење у UAE) — веза са ExpressVPN-ом потиче из сопствених изјава ExpressVPN-а и изјава за медије. ExpressVPN је задржао Gericke-а у радном односу и објавио јавну одбрану те одлуке.

C12 је resettable_ad_id у сопственом тексту провајдера, а не у категорији продавнице. Став о маркетингу у политици приватности наводи да се Installation ID и XV User ID увек прикупљају, а да рекламни идентификатори — IDFA или Android Advertising ID — следе након изричите сагласности, при чему се све то прослеђује компанији AppsFlyer; образац безбедности података на Play-у независно наводи Device или друге ID-ове за оглашавање или маркетинг.

Праг сагласности и мера ублажавања коју овде нико други не нуди — саобраћај намењен компанији AppsFlyer усмерава се кроз посебан ExpressVPN IP опсег, тако да се приписивање не може повезивати по IP адреси — стварни су и овде су забележени, јер доња граница вреднује шта може да се поткрепи, а не колико је добро објашњено.

U07_protocols обухвата целокупни изборник: Lightway UDP и TCP као vendor_open, поред WireGuard, OpenVPN UDP/TCP и IKEv2. Lightway је сопствени протокол компаније ExpressVPN, а његов изворни код је објављен уз независну ревизију (Cure53, 2021. и 2024), што је разлика за коју постоји vendor_open — proprietary вреднује немогућност утврђивања да ли је транспорт слаб, а овде се то може утврдити.

PPTP је повучен из апликација компаније ExpressVPN, што провајдер наводи на сопственој страници о протоколима, а L2TP и SSTP су тамо објашњени без понуде за коришћење.

Повреда безбедности дата-центра у Финској из 2018. била је упад треће стране, а не заплена од стране органа за спровођење закона — забележена је у оквиру P12_case_history као kind=breach, а не P01_seizure_event. Сопствени извештај NordVPN-а (nordvpn.com/blog/official-response-datacenter-breach/) и истовремено извештавање Bloomberg-а слажу се да је обелодањивање уследило после навода спољних истраживача на Twitter-у, а не на сопствену иницијативу NordVPN-а — отуда third_party_disclosed, а не self_disclosed_late.

NordVPN и Surfshark имају исту матичну компанију (Nord Security), али сопствена објава обе компаније о спајању наводи одвојену инфраструктуру и планове развоја производа; M18 је на тој основи подешен на одвојено.