ExpressVPN - Surfshark

2017'de Türk makamları, Rusya Büyükelçisi Andrei Karlov'un suikastını soruştururken bir ExpressVPN sunucusuna el koydu ve kullanılabilir kayıt bulamadı (ExpressVPN için sponsorluk bildirimi taşıyan TorrentFreak — olgular dışarıdan kontrol edilebilir olduğu ve ExpressVPN'in kendi açıklama sayfası o zamandan beri Wayback Machine anlık görüntüsü olmadan HTTP 410 döndürdüğü için not edildi, hariç tutulmadı).

Eylül 2021'de, ExpressVPN'in Chief Information Officer'ı Daniel Gericke ile, kendisinin BAE'deki "Project Raven" hackleme operasyonundaki önceki 2016-2018 rolü hakkında yapılan DOJ'nin Deferred Prosecution Agreement'ı kamuya açık hale geldi; birincil DPA belgesinin kendisi ExpressVPN'in adını hiçbir zaman anmaz (belge yalnızca onun önceki BAE istihdamını kapsar) — ExpressVPN bağlantısı, ExpressVPN'in kendi açıklamalarından ve basın açıklamalarından kaynaklanır. ExpressVPN, Gericke'i çalıştırmaya devam etti ve bu kararı kamuya açık biçimde savundu.

C12, bir mağaza kategorisinde değil, sağlayıcının kendi metninde resettable_ad_id olarak geçiyor. Gizlilik politikasının pazarlama paragrafı, bir Installation ID ile bir XV User ID'nin her zaman toplandığını ve reklam tanımlayıcılarının — IDFA veya Android Advertising ID — açık rıza sonrasında alındığını; bunların tümünün AppsFlyer'a ulaştığını belirtiyor. Play veri güvenliği formu da reklamcılık veya pazarlama amacıyla Device or other IDs bilgisini bağımsız olarak beyan ediyor.

Rıza eşiği ve buradaki başka hiçbir sağlayıcının sunmadığı bir azaltım — ilişkilendirme IP üzerinden korelasyon kuramasın diye AppsFlyer'a yönlendirilen trafiğin özel bir ExpressVPN IP havuzundan geçirilmesi — gerçek ve burada kayıtlı; çünkü taban, ne kadar iyi açıklandığını değil, elde tutulabilecek şeyi fiyatlandırıyor.

U07_protocols bütün seçiciyi taşıyor: vendor_open olarak Lightway UDP ve TCP'nin yanında WireGuard, OpenVPN UDP/TCP ve IKEv2. Lightway, ExpressVPN'in kendi protokolü ve kaynağı bağımsız incelemeyle desteklenerek yayımlanmış durumda (Cure53, 2021 ve 2024); vendor_open tam da bu ayrım için var — proprietary, bir aktarımın zayıf olup olmadığını söylemenin imkânsızlığını fiyatlandırıyor ve burada bu söylenebiliyor.

PPTP, sağlayıcının kendi protokol sayfasına göre ExpressVPN uygulamalarında kullanımdan kaldırılmış; L2TP ve SSTP ise orada sunulmadan açıklanıyor.

Bu kayıt daha önce iki kez okunmuştu — V11'deki connection_timestamps denetim ifadesinden, C01'deki source_ip politika ifadesinden — ve iki değerden daha kötüsü üzerinden puanlanmıştı; bu da on beş dakikalık arabelleğin hiç kayıt bulunmamasından daha fazla maliyet yaratmasına yol açtı: C01 için boş değer piyasa öncülü 0.550, source_ip ise 0.750'dir.

R29 artık ayrımı yapıyor: oturumun sonuna bağlı olarak beyan edilmiş bir süre içinde silinen durum, bunun kaydı değil bağlantının kendisidir; bu nedenle aynı cümlede her iki alan da connection_timestamps olarak okunuyor. Puanlamaya hâlâ dahil edilen, oturumdan sonra varlığını sürdüren şeylerdir — politika bölümündeki 2.3.1'de yer alan son giriş tarihi ve denetçinin adlandırdığı bağlantı zaman damgaları.

Surfshark ve NordVPN aynı sahibi paylaşıyor (2022'den beri Nord Security); ancak Surfshark'ın kendi hakkımızda sayfası, markaların ayrı altyapıyla 'bağımsız olarak faaliyet gösterirken' birleştiğini belirtiyor — nordvpn.com kaydındaki yaklaşımı yansıtan M18, bu temelde ayrı olarak ayarlanıyor.

Sunucu tablosunun kendi P2P sütununda U12a, evet yerine kısmi: listelenen 100 ülkenin 88'inde bu işaret var ve on ikisinde yok (AU, CL, CO, HR, GR, IE, JP, MX, NZ, TW, TR, AE). Sütun istemci tarafında oluşturuluyor; bu nedenle her satırın her etiketi taşıdığı statik HTML'den değil, oluşturulmuş tablodan okunuyor.

/warrant-canary adresinin artık yönlendirdiği /transparency-report adresindeki şeffaflık raporu, Nisan-Haziran 2026 çeyreğini bir tablo olarak içeriyor: 374.719 DMCA bildirimi, devlet kurumlarından 33 soruşturma, 1 arama emri, 0 ulusal güvenlik mektubu ve 0 ifşa yasağı. P08, 34 yasal talebi sayıyor ve DMCA bildirimlerini dışarıda bırakıyor: bunlar kullanıcının verilerine yönelik talepler değil, trafik hakkındaki telif hakkı şikâyetleri.

Aynı sayfa, Surfshark'ın warrant canary uygulamasını üç aylık raporlama lehine sonlandırdığını belirtiyor; bu nedenle P07 hiç yokmuş gibi değil, kaldırılmış olarak işleniyor — canary vardı ve kasten geri çekildi.

Şeffaflık raporu. P05/P06/P08/P09 artık Trust Center üzerinden ulaşılan ExpressVPN'in altı aylık şeffaflık raporuna dayanıyor (Tem-Ara 2025: 155 hükûmet/kolluk talebi, 0 ifşa, ayrı olarak listelenen 3 arama emri); önceki çalışma ikisini de kaçırmıştı.

Kanarya ve bloğun geri kalanı. Hiçbir ExpressVPN arama emri kanaryası bulunamadı ve bunu reddeden birincil bir açıklama yok; bu nedenle P07 bilinmiyor olarak kalıyor. P02/P03=none_known, şeffaflık dizisine ve gizlilik politikasının davalara ilişkin tutumuna dayanıyor; P11=none_known ise politikanın tüm taleplerin BVI mahkemelerinden geçtiğine ilişkin açıklamasına dayanıyor. P04=withdrew_physical, Haziran 2022'de Hindistan'dan çıkıştır.

Hiç yayımlanmayanlar. Abone sayısı (M08) ve toplam sunucu sayısı (U03) yayımlanmamıştır. Sunucu donanımının sahipliği (C08: sahip olunan mı kiralanmış mı) ve uygulama düzeyindeki cihaz tanımlayıcıları (C12), kontrol edilen hiçbir sayfadan kanıtlanamamıştır.

113'lük bir beyana karşı 106 ülke. U02_server_countries, ExpressVPN'in kendi site haritasındaki 105 ülke açılış sayfasını ve canlı /vpn-server sayfasında "Available - Virtual Locations" olarak doğrulanan, ancak kendine ait bir açılış sayfası bulunmayan Çin'i yansıtır — toplam 106 kod; bu, sitenin kendi "113 Countries" pazarlama beyanına karşıdır. Canlı sunucu konumu sayfası, ayrıntılı olarak ayrıştırılmamış çok büyük bir protokol başına tablodur; bu nedenle 106 ile 113 arasındaki boşluk çözümlenmek yerine raporlanır.