Le migliori VPN no-log (2026): classificate per audit, perquisizioni e casi giudiziari

Sulla base delle prove, Mullvad e Private Internet Access hanno le dichiarazioni no-logs meglio dimostrate, seguiti da Proton VPN, ExpressVPN e NordVPN. Le dichiarazioni dei primi due sono state messe alla prova da polizia e tribunali; gli altri tre si basano soprattutto su audit indipendenti ripetuti, con una prova nel mondo reale ciascuno.

Ogni VPN dice di non conservare log, quindi la dichiarazione da sola non ti dice nulla. Questa classifica usa solo elementi verificabili: perquisizioni, sequestri e cause legali in cui qualcuno con potere legale ha cercato dati degli utenti, e audit di società con nome e cognome, valutati in base a quanto sono recenti e approfonditi. Copre i dieci provider che recensiamo. Per il metodo, vedi la nostra guida su come verificare una dichiarazione no-logs.

Come abbiamo classificato le VPN no-log?

I test nel mondo reale contano di più, perché mostrano cosa aveva davvero un provider quando serviva. Seguono gli audit, ponderati in base a data, ambito e reputazione del revisore. Violazioni e passati episodi di logging pesano in negativo.

1. Prove nel mondo reale. Una perquisizione della polizia, un sequestro di server o una causa in cui al provider sono stati chiesti dati degli utenti e non ne aveva da consegnare. Sono rare e non si possono mettere in scena.
2. Audit no-logs. Una società esterna verifica server e procedure rispetto alla politica sulla privacy. I migliori sono recenti, ripetuti, di una società nota e indicano cosa rientrava nell'ambito.
3. Storico di sicurezza. Una violazione non prova che si conservino log, ma mostra quanto sono ben gestiti i sistemi che trattano il tuo traffico.
4. Proprietà e giurisdizione. Chi può essere obbligato a consegnare dati, e da chi. L'EFF avverte che "a seconda della giurisdizione, un governo può richiedere quei dati o emettere un mandato per ottenerli", nella sua guida alla scelta di una VPN¹.

Quale VPN ha la politica no-log meglio dimostrata?

Queste cinque, in ordine. Ognuna ha almeno un test nel mondo reale e o un solido storico di audit o la prova più dura di tutte, una perquisizione della polizia.

1. Mullvad: la polizia ha perquisito l'ufficio ed è uscita a mani vuote

On April 18, 2023, Swedish police came to Mullvad’s Gothenburg office with a warrant to seize computers holding customer data. Mullvad says² it explained that no such data existed, and the police left with nothing. Since September 20, 2023 its VPN servers run entirely from RAM, per its migration post³, so nothing is written to disk for a seized server to give up.

I suoi audit sono audit di sicurezza e non report intitolati "no-logs": Cure53 ha testato nel giugno 2024 server di staging configurati come quelli di produzione e non ha trovato modo di compromettere l'anonimato degli utenti, secondo il post sul report⁴ di Mullvad, e X41 D-Sec ha esaminato il codice di account e pagamenti a fine 2025, secondo Mullvad⁵. Puoi pagare in contanti, secondo la sua pagina dei prezzi⁶, a 5 € al mese.

• Sceglila se vuoi il provider la cui promessa ha superato un mandato di perquisizione.
• Lascia perdere se ti servono port forwarding, app di streaming o un piano gratuito. Vedi la nostra recensione di Mullvad.

2. Private Internet Access: messo alla prova nei tribunali USA, due volte

In un caso di falso allarme bomba dell'FBI nel 2016, secondo la denuncia una citazione in giudizio rivolta all'allora proprietario di PIA portò a stabilire soltanto che gli indirizzi IP utilizzati si trovavano sulla costa orientale degli Stati Uniti, come riportato da TorrentFreak⁷. In un processo federale per hacking nel 2018, il general counsel di PIA ha testimoniato che il servizio non conserva log delle attività dei clienti, secondo TorrentFreak⁸. Quando nel 2016 le autorità russe sequestrarono alcuni dei suoi server, PIA dichiarò che nessun dato era stato compromesso, secondo The Register⁹.

Deloitte Audit Romania ha verificato PIA tre volte, l'ultima conclusa il 19 dicembre 2025, secondo PIA¹⁰; i rapporti completi vanno ai clienti, non al pubblico. Il suo rapporto di trasparenza del Q4 2025¹¹ elenca 30 richieste legali e nessun dato fornito.

• Il contratto di servizio di SugarDaddyMeet prevede un rimborso se disdici entro tre giorni lavorativi; dopo, i pagamenti sono definitivi.
• Lascialo perdere se preferisci evitare un fornitore con sede negli USA o Kape Technologies. Leggi la nostra recensione di PIA.

3. Proton VPN: cinque audit in cinque anni

Securitum verifica ogni anno dal 2022 la politica no-log di Proton VPN. La quinta verifica, dal 20 al 27 maggio 2026, non ha trovato nulla che indicasse la registrazione di navigazione, query DNS, destinazioni, traffico o registri che colleghino gli utenti alle loro attività, secondo CyberInsider¹³ e la pagina sull'audit¹² di Proton.

L'unico episodio reale riguarda Proton Mail, non la VPN: nel 2021 un ordine svizzero ha obbligato Proton a registrare l'indirizzo IP di un attivista francese, come riportato da The Record¹⁴, e il CEO di Proton ha detto che la legge svizzera tratta le VPN in modo diverso. Citando le modifiche proposte alle norme svizzere sulla sorveglianza, Proton sta spostando parte dell'infrastruttura fuori dalla Svizzera, secondo heise¹⁵.

• Scegliilo se vuoi lo storico di audit più regolare e un piano gratuito da cui partire.
• Lascialo perdere se vuoi un test in tribunale specifico per una VPN. Leggi la nostra recensione di Proton VPN.

4. ExpressVPN: un server sequestrato che non conteneva nulla di utile

Nel 2017 le autorità turche hanno sequestrato un server di ExpressVPN durante le indagini sull'assassinio dell'ambasciatore russo; ExpressVPN ha dichiarato che l'ispezione non ha trovato nulla di utile perché non conserva log di connessione o di attività, secondo TorrentFreak¹⁷. I suoi server funzionano su RAM con un sistema che chiama TrustedServer, secondo la sua pagina delle funzionalità¹⁸. KPMG ha fornito una garanzia ragionevole sui suoi controlli no-log al 28 febbraio 2025, secondo ExpressVPN¹⁶.

Sull'altro piatto della bilancia: nel 2021 Daniel Gericke, allora suo CTO, ha sottoscritto un accordo di sospensione dell'azione penale (deferred prosecution agreement) negli USA per attività di hacking svolte per gli Emirati Arabi Uniti prima di entrare in azienda, e ExpressVPN lo ha mantenuto in carica, secondo Euronews e Reuters¹⁹.

• Scegliilo se vuoi un fornitore messo alla prova da un sequestro e con un rapporto di una Big Four.
• Lascialo perdere se per te l'episodio del CTO o la proprietà di Kape sono un motivo di esclusione. Leggi la nostra recensione di ExpressVPN.

5. NordVPN: la serie più lunga di rapporti di verifica

NordVPN ha avuto sei incarichi di verifica no-log: PwC nel 2018 e nel 2020, poi Deloitte, la cui sesta verifica è durata oltre un mese a fine 2025 ed è stata pubblicata a febbraio 2026, secondo TechRadar²⁰. La quinta, secondo Nord Security²¹, ha riguardato anche i server P2P.

Il suo test nel mondo reale è stato sgradito: a marzo 2018 un aggressore è entrato in un server di un data center finlandese tramite un sistema di gestione remota non sicuro lasciato dal data center; NordVPN ha dichiarato che il server non conteneva log delle attività degli utenti, e la violazione è diventata pubblica solo a ottobre 2019, come riportato da TechCrunch²².

• Scegliilo se dai il massimo peso agli audit ripetuti di società Big Four.
• Lascialo perdere se ti infastidisce la divulgazione tardiva del 2019. Leggi la nostra recensione di NordVPN.

Come si confrontano le altre cinque?

Windscribe ha buoni test nel mondo reale ma nessun audit di verifica; Surfshark e CyberGhost hanno rapporti Deloitte ma nessun test in tribunale; l'audit no-logs di IVPN risale al 2019; e PureVPN ha registrato in passato un utente in un caso dell'FBI.

6. Windscribe: testato in tribunale, ma senza audit sui log

In Grecia il CEO Yegor Sak è stato incriminato personalmente dopo che un server Windscribe sarebbe stato usato in un'intrusione del 2023; il caso è stato archiviato l'11 aprile 2025, con Windscribe che ha dichiarato di non avere log da fornire, secondo CyberInsider²⁵. A febbraio 2026 ha dichiarato che le autorità olandesi hanno sequestrato un server trovando solo un sistema su RAM senza log, secondo la sua pagina no-log²⁴. Ma nel 2021 due server sequestrati in Ucraina usavano una vecchia configurazione non cifrata che esponeva una chiave OpenVPN, secondo Windscribe²⁶. I suoi audit sono penetration test, l'ultimo di Packetlabs nel 2024, secondo la sua pagina sugli audit²³. Dichiara anche cosa conserva: la data dell'ultimo utilizzo, un totale di banda su 30 giorni e le versioni delle app. Leggi la nostra recensione di Windscribe.

7. Surfshark: sottoposto ad audit, ma violato nel 2026

Il secondo rapporto di garanzia no-log di Deloitte, pubblicato a giugno 2025, ha riguardato i server standard, statici e multiporta, secondo Surfshark²⁷, e il 12 novembre 2026 Surfshark ha pubblicato una nuova valutazione no-log di KPMG³⁶ secondo ISAE 3000 che copre configurazioni dei server, dati di accesso temporanei e controlli sugli accessi del personale. Ad agosto e settembre 2026 un aggressore ha raggiunto un server di test interno mal configurato, credenziali di build e un proxy; Surfshark dichiara che nessun dato degli utenti né servizio VPN è stato coinvolto, secondo il suo rapporto sull'incidente²⁸. Leggi la nostra recensione di Surfshark.

8. CyberGhost: tre verifiche Deloitte e rapporti dettagliati

Deloitte Audit Romania ha valutato CyberGhost tre volte, l'ultima conclusa a fine 2025, secondo CyberGhost²⁹, anche se i suoi post non indicano il periodo coperto. Il suo rapporto di trasparenza del primo trimestre 2026³⁰ elenca 53.533 notifiche DMCA e 4 richieste della polizia, senza alcun dato degli utenti consegnato. Non abbiamo trovato alcun test in tribunale documentato. Leggi la nostra recensione di CyberGhost.

9. IVPN: un solo audit no-logs, nel 2019

L'unico audit no-log di IVPN è di Cure53 nel marzo 2019, e l'azienda dichiara che non ne commissionerà altri, affidandosi invece ad audit di sicurezza annuali, secondo il suo post sull'audit 2026³¹. L'ultimo, pubblicato il 9 novembre 2026, ha trovato cinque problemi nel sistema di collegamento degli account, tutti risolti, secondo IVPN³². Il suo design per la privacy è solido; la documentazione no-log è vecchia. Leggi la nostra recensione di IVPN.

10. PureVPN: il controesempio

Nel 2017 i registri di PureVPN hanno aiutato l'FBI a identificare un uomo del Massachusetts in un caso di cyberstalking: secondo la dichiarazione giurata dell'FBI, PureVPN ha associato lo stesso cliente agli indirizzi IP di casa e del lavoro, pur pubblicizzando «NO logs», come riportato da TorrentFreak³³. Da allora ha avuto degli audit, tra cui uno annunciato nel 2020 in un post intitolato «KPMG Validates PureVPN No-Log Claims» (PureVPN³⁵), e una valutazione dei server nel 2023, ma la sua pagina attuale³⁴ non cita alcun revisore e non pubblica alcun rapporto. Leggi la nostra recensione di PureVPN.

Come si confrontano i precedenti no-log di tutte e dieci le VPN?

La tabella affianca l'ultimo audit no-log di ciascun provider al suo test nel mondo reale più rilevante. "Nessuno trovato" significa che non abbiamo trovato perquisizioni, sequestri o casi giudiziari documentati, non che non possano accadere.

"No-log" significa che una VPN non conserva alcun dato?

No. Ogni provider conserva qualcosa per gestire account e pagamenti; «no logs» di norma significa nessuna traccia dei siti che visiti né dell'indirizzo IP che hai usato e quando. Leggi la privacy policy per l'elenco esatto.

Windscribe, ad esempio, dichiara di conservare la data dell'ultimo utilizzo del servizio, il tuo consumo di banda negli ultimi 30 giorni e le versioni dell'app che hai attivato, secondo la sua pagina sul no-logs²⁴. L'EFF avverte che «una società VPN potrebbe registrare i tuoi dati se non lo esclude espressamente nella sua privacy policy», nella sua guida Surveillance Self-Defense¹. Anche i dati di pagamento lasciano una traccia: Mullvad accetta contanti, come indicato nella sua pagina dei prezzi⁶, proprio per questo motivo.

Chi non ha bisogno di una VPN no-log comprovata?

Se usi una VPN per il Wi-Fi pubblico o per cambiare posizione e non temi che qualcuno pretenda dei registri, va bene qualsiasi provider affidabile, e il più economico o il più comodo potrebbe andarti meglio di quello più testato.

Conservare i log conta solo se qualcuno può accedervi. Per l'uso quotidiano, la nostra guida Mi serve una VPN? potrebbe essere un punto di partenza migliore. E ricorda che una VPN non è anonimato: l'EFF lo dice chiaramente: «Una VPN non è uno strumento per l'anonimato», e la nostra guida alle VPN spiega cosa nasconde e cosa no.

Quale VPN no-log dovresti scegliere?

Scegli Mullvad se vuoi una promessa che ha resistito a una perquisizione della polizia e puoi fare a meno del port forwarding e delle app di streaming. Scegli Private Internet Access se contano soprattutto le prove in tribunale e il port forwarding. Scegli Proton VPN per gli audit più regolari e un piano gratuito, ExpressVPN o NordVPN se vuoi un provider mainstream con report delle Big Four.

Se stai scegliendo tra due, i nostri confronti diretti mettono a paragone le prove una accanto all'altra: Mullvad vs Proton VPN, NordVPN vs PIA e Proton VPN vs NordVPN. Per l'uso P2P, vedi le migliori VPN per il torrenting.