C'è una cosa di una VPN che non si può testare. Puoi verificare che il tuo IP sia mascherato, che il DNS non perda, che il kill switch scatti. Tutto questo avviene sulla tua macchina e puoi guardarlo. Quello che il fornitore annota su di te avviene sulle sue, e nessun test dal tuo lato lo mostrerà mai.
L'affermazione che non si può controllare da qui
"Nessun log" è la promessa universale del settore, e quell'universalità dovrebbe già dirti qualcosa: un'affermazione che ogni concorrente fa, senza che gli costi nulla, non porta in sé alcuna informazione.
L'Electronic Frontier Foundation lo dice senza giri di parole nella sua guida Surveillance Self-Defense: "Remember that a claim is not a guarantee, so be sure you verify these claims." E ancora più crudamente: "Even if a company claims not to log connection data, this is not a guarantee of good behavior."
Non è cinismo. È la descrizione corretta di una situazione asimmetrica. Ti si chiede di credere a un'assenza, e un'assenza non lascia tracce ispezionabili.
Che cosa fa un audit indipendente, e dove si ferma
Gli audit sono la risposta del settore, e valgono davvero qualcosa. Un terzo esamina configurazioni, server, talvolta codice sorgente, e pubblica ciò che ha trovato. L'EFF ne riconosce il valore: un audit può "reveal otherwise unknown security vulnerabilities".
Poi arriva la frase che la maggior parte dei riassunti tralascia. "There's no certainty that the practices aren't changed after the audit, especially if compelled to do so by a government."
Un audit è una fotografia, non un film. Descrive un perimetro, scelto in anticipo, in un momento, in un luogo. Non segue l'azienda dopo, non copre ciò che un ordine giudiziario potrebbe cambiare il mese seguente, e di norma non riguarda ogni server di ogni paese. Nulla di questo rende gli audit inutili. Li rende una prova su uno stato passato anziché una garanzia su uno futuro.
Leggere una policy senza fingere
Se l'affermazione non è verificabile, resta la lettura attenta. Tre punti la meritano.
Che cosa conta come log. Metadati di connessione, marche temporali, totali di banda e numero di dispositivi simultanei sono tutti dati, e un fornitore può conservarne alcuni dicendo sinceramente di non tenere log di attività. La domanda interessante non è mai "tenete log" ma "che cosa conservate esattamente, e per quanto".
Davanti a chi risponde l'azienda. La giurisdizione decide chi può imporre che cosa, e con quale obbligo di informarti. Una policy si scrive dentro un sistema giuridico, e quel sistema può prevalere su di essa.
Che cosa dice il passato. L'EFF consiglia di guardare ciò che è stato effettivamente riportato, notando che alcuni fornitori "have been caught misleading or lying to their customers". Il comportamento passato non prova quello futuro, ma è l'unica prova empirica disponibile in un campo costruito su affermazioni non verificabili.
Il consiglio che ne discende
La conclusione dell'EFF è breve e vale la pena farla propria: "Do not use a VPN that you do not trust." Aggiunge di non poter garantire per alcuna VPN né per alcuna classifica, un grado di onestà raro nelle pagine che si posizionano su questa ricerca.
In pratica, la decisione riguarda la fiducia e la struttura, non la frase di marketing. Che cos'è l'azienda, davanti a chi risponde, che cosa ha pubblicato, come si è comportata quando è stata messa alla prova. Il nostro confronto fra due fornitori costruiti sul minimo di dati mostra come può presentarsi questa struttura in pratica.
E per tutto ciò che è verificabile dal tuo lato, l'audit di sicurezza completo copre le nove verifiche che puoi davvero fare da solo.
La conclusione onesta
Una promessa no-log non è priva di valore, e non è una prova. È un impegno il cui valore dipende interamente da chi lo assume e da che cosa gli accade se si rivela falso. Chi ti dice di aver verificato che un fornitore non conserva log sta descrivendo qualcosa che non può aver fatto.
Proteggi la tua connessione con NordVPN
Threat Protection blocca tracker e malware · kill switch · 30 giorni di rimborso
