Come verificare la dichiarazione no-log di una VPN: 5 test

Come si verifica la dichiarazione no-log di una VPN? Non puoi ispezionare i suoi server, ma puoi valutare quante prove sostengono la promessa: leggi cosa dice davvero la policy, cerca un auditor indicato per nome e un rapporto, controlla cosa ha coperto quell'audit e quando, cerca test nel mondo reale come perquisizioni e cause in tribunale, e verifica chi possiede l'azienda e come ha gestito le brutte notizie.

Conta perché una VPN vede tutto ciò che prima vedeva il tuo provider internet. La guida dell'EFF alla scelta di una VPN lo dice chiaramente: mentre una VPN nasconde la tua navigazione al tuo ISP, è tutto visibile al provider della VPN¹. E avverte che "Anche se un'azienda afferma di non registrare i dati di connessione, questa non è una garanzia di buona condotta."¹ I cinque test qui sotto usano esempi reali dei provider che trattiamo, incluso uno in cui la dichiarazione si è rivelata falsa.

Cosa significa davvero "no log"?

Di solito significa che la VPN non registra ciò che fai attraverso il tunnel né nulla che colleghi una connessione a te. Quasi mai significa che l'azienda non conservi alcun dato.

Esistono due grandi tipi di log. I log di attività registrano ciò che fai: siti visitati, richieste DNS, file scaricati. I log di connessione registrano metadati della sessione: il tuo indirizzo IP reale, il server VPN usato, quando ti sei connesso e per quanto tempo, quanti dati hai trasferito. Una VPN che non conserva log di attività ma conserva log di connessione può comunque aiutare qualcuno a collegarti a un'azione se conosce l'IP del server e l'orario, ed è esattamente ciò che è successo nel caso PureVPN qui sotto. Ogni VPN conserva anche alcuni dati di account e pagamento, perché deve fatturarti.

Test 1: Cosa dice davvero l'informativa sulla privacy?

Leggi la policy, non la homepage. Una policy affidabile elenca cosa viene conservato, per quanto tempo e perché; una debole scrive "no log" a caratteri grandi e menziona "dati di connessione" o "dati di utilizzo" più in basso senza spiegarli.

L'EFF osserva che un'azienda VPN potrebbe registrare i tuoi dati se non lo esclude espressamente nella sua informativa sulla privacy¹. Quindi cerca esclusioni esplicite. La policy di Mullvad è un buon modello del livello di dettaglio da aspettarsi. Dice che c'è "nessuna registrazione delle connessioni, incluso quando ne viene stabilita una, quando si disconnette, per quanto tempo, o qualsiasi tipo di timestamp"², e nessuna registrazione di indirizzi IP o richieste DNS. Poi elenca ciò che conserva: il numero di account e la sua data di scadenza, i dati di pagamento che variano a seconda del metodo, e i documenti che le norme contabili svedesi impongono di conservare per sette anni. Il conteggio delle connessioni attive per account è tenuto solo in memoria. Potrà non piacerti ogni voce di quell'elenco, ma puoi vederlo.

Confrontalo con quanto scoperto da TorrentFreak nel 2017. PureVPN si presentava come priva di log, ma la sua informativa sulla privacy diceva che i suoi server registravano automaticamente orari di connessione e banda utilizzata³. Quando l'FBI ha indagato su un uomo del Massachusetts per una campagna di cyberstalking, PureVPN è stata in grado di dire agli agenti che un cliente aveva usato il servizio da due indirizzi IP, uno a casa sua e uno sul posto di lavoro. La policy aveva anche promesso di non conservare registri "che potessero associare una specifica attività a uno specifico utente". Entrambe le affermazioni erano tecnicamente vere, e insieme sono bastate a identificare un sospettato. PureVPN ha poi dichiarato di aver cambiato la propria policy e di averla fatta sottoporre ad audit indipendente; la sua pagina no-log⁴ ora dice che non registra l'IP di origine dell'utente, l'IP VPN assegnato né l'orario di connessione.

Test 2: Un revisore indipendente l'ha verificato e puoi leggere il report?

Un'affermazione di audit vale poco senza un'azienda nominata, una data e un report o un riepilogo che tu possa aprire. Se un provider dice di essere stato «sottoposto ad audit indipendente» ma non dice da chi, considera l'affermazione non verificata.

L'EFF descrive il valore di tutto questo: i provider VPN possono sottoporre il proprio servizio ad audit di sicurezza di terze parti, con risultati che vengono poi resi pubblici¹. Diversi provider che trattiamo fanno proprio questo:

Alcuni dettagli di quella tabella meritano attenzione. Proton collega tutti e cinque i suoi report Securitum, dal 2022 al 2026, da un'unica pagina¹¹, e questo rende facile verificare l'affermazione da soli. I primi due incarichi di assurance di NordVPN, nel 2018 e nel 2020, sono stati svolti da PwC¹² prima del passaggio a Deloitte. La pagina no-logs di PIA elenca audit Deloitte nel 2022, 2024 e 2025¹³, l'ultimo concluso il 19 dicembre 2025, ma PIA fornisce i report completi ai clienti¹⁴ invece di pubblicarli apertamente. PureVPN è il caso più ambiguo. Nel 2020 ha pubblicato un articolo intitolato "KPMG Validates PureVPN No-Log Claims"¹⁵, ma la sua attuale pagina no-log⁴ descrive una valutazione del febbraio 2023 condotta da una non meglio precisata "well known audit firm" e definisce PureVPN una "always-on audit VPN" che la società può controllare senza preavviso. Quando il revisore attuale non è nominato e il report non è pubblico, non puoi giudicarne la portata, quindi dagli meno peso rispetto a un report che puoi leggere.

Test 3: Cosa ha coperto l'audit e quando?

Controlla tre cose: se l'audit ha guardato un singolo momento o un periodo, se ha verificato l'affermazione no-logs o la sicurezza in generale, e quanto è vecchio. Gli audit variano molto su tutti e tre i punti.

Un giorno o mesi?

La maggior parte degli audit no-logs delle VPN sono incarichi di assurance secondo uno standard chiamato ISAE 3000, e molti descrivono lo stato delle cose in una singola data. Il report KPMG 2025 di ExpressVPN ha verificato come erano progettati i suoi controlli no-logs al 28 febbraio 2025⁷. Il report Deloitte di PIA descriveva le configurazioni dei server al 30 giugno 2022⁸. Il revisore di Proton descrive la sua verifica 2026 come puntuale (point-in-time), su un campione di server⁵. Un controllo puntuale ti dice che i controlli erano configurati correttamente quel giorno. Dice meno su come abbiano funzionato durante tutto l'anno. Un incarico che verifica come i controlli hanno operato in un arco di tempo, spesso chiamato "Type 2" nel linguaggio dell'assurance, è una prova più solida, quindi cerca questa dicitura quando leggi un report.

Audit no-logs o audit di sicurezza?

Rispondono a domande diverse. L'audit Cure53 2024 di Mullvad ha testato la sicurezza di un server di staging OpenVPN e uno WireGuard¹⁰ e del codice di deployment, ha trovato un problema di gravità media e uno bassa (entrambi risolti) e nessun modo di compromettere l'anonimato degli utenti. È un risultato prezioso e dice come sono costruiti i server, ma non è un report presentato come verifica no-logs. Considera utili entrambi i tipi e non confondere l'uno con l'altro.

Quanto è recente?

L'unico audit no-logs di IVPN è stato svolto da Cure53 nel 2019, e l'azienda dichiara che non commissionerà ulteriori audit no-logs, affidandosi invece ad audit di sicurezza annuali⁹. È una posizione difendibile e dichiarata apertamente, ma significa che per quella specifica affermazione ti basi su prove più vecchie. Anche un audit recente e pulito è un'istantanea: l'EFF osserva che non c'è alcuna certezza che le pratiche non cambino dopo l'audit, soprattutto se costrette¹ da un governo.

Test 4: L'affermazione ha superato una prova nel mondo reale?

La prova più forte è ciò che è successo quando qualcuno con poteri legali è venuto a chiedere: un'irruzione, il sequestro di un server o un mandato di comparizione in una causa. Sono eventi rari e non si possono provocare, ma quando sono di dominio pubblico valgono più di qualsiasi audit.

• Mullvad, 2023. Swedish police arrived at Mullvad’s Gothenburg office with a search warrant to seize computers holding customer data. Mullvad says no such data existed¹⁶, and the officers left without taking anything.
• ExpressVPN, 2017. Le autorità turche hanno sequestrato un server di ExpressVPN durante le indagini sull'assassinio dell'ambasciatore russo. ExpressVPN ha dichiarato che l'ispezione non ha prodotto informazioni utili¹⁷ perché non conserva log di connessione.
• Private Internet Access, 2016. In un procedimento penale in Florida per false minacce di bomba, l'FBI ha notificato un mandato di comparizione a PIA. Secondo la denuncia penale, riportata da TorrentFreak, l'unica informazione che PIA ha potuto fornire era che gli indirizzi IP utilizzati provenivano dalla costa orientale¹⁸ degli Stati Uniti. (TorrentFreak ha dichiarato che PIA era uno dei suoi sponsor.) In un processo federale per hacking a San Jose nel 2018, il general counsel di PIA ha testimoniato che PIA non conserva log¹⁹ dell'attività internet dei clienti.
• Windscribe, 2025. I pubblici ministeri greci hanno incriminato personalmente il CEO di Windscribe dopo che uno dei suoi server in Finlandia sarebbe stato usato in un'intrusione nel 2023. Il caso è stato archiviato l'11 aprile 2025²⁰, con Windscribe che ha dichiarato di non avere log da consegnare. Windscribe afferma inoltre di conservare solo la data dell'ultimo utilizzo di un account e il totale della banda dei 30 giorni²¹.
• PureVPN, 2017: il controesempio. Come descritto nel test 1, i registri di connessione di PureVPN hanno aiutato l'FBI³ a collegare un sospettato di cyberstalking ai suoi indirizzi IP di casa e di lavoro, nonostante il marketing no-logs.

Le prove nel mondo reale possono anche mostrare i limiti della legge anziché quelli del provider. Nel 2021 Proton è stata obbligata da un ordine vincolante svizzero, in seguito a una richiesta della polizia francese tramite Europol, a registrare l'indirizzo IP di un attivista francese²² su Proton Mail, il suo servizio email. Il CEO di Proton ha detto che la legge svizzera non può essere usata allo stesso modo per imporre la registrazione dei log VPN. Per te, il punto è che un provider può mantenere una promessa no-logs solo nei limiti consentiti dalla legge del paese in cui opera. L'EFF sostiene la stessa cosa: il provider sarà soggetto alle leggi di quei paesi, comprese quelle che regolano le richieste dei governi¹.

Test 5: Di chi è e come ha gestito le cattive notizie?

Una promessa no-logs vale quanto l'azienda che la fa. Scopri chi possiede il provider, dove ha sede legale e con quanta rapidità e onestà ha reso noti gli incidenti passati.

• Velocità di comunicazione. Un aggressore ha avuto accesso a un server NordVPN in un data center in Finlandia a marzo 2018, tramite un sistema di gestione remota non sicuro lasciato dal fornitore del data center. NordVPN ha dichiarato che il server non conteneva log dell'attività degli utenti, ma la violazione è diventata pubblica a ottobre 2019²³, circa un anno e mezzo dopo.
• Cambi di proprietà. Kape Technologies, in precedenza chiamata Crossrider, ha acquistato ExpressVPN nel 2021²⁴ per circa 936 milioni di dollari, e possiede anche Private Internet Access e CyberGhost. Un nuovo proprietario eredita la promessa no-logs, e gli audit precedenti alla vendita descrivono la vecchia azienda.
• Incidenti recenti. Nel 2026 Surfshark ha comunicato che un server di test interno configurato in modo errato era stato raggiunto da internet²⁵, insieme a un server proxy. Afferma che l'infrastruttura VPN di produzione e i dati dei clienti non sono stati interessati. Il modo in cui un'azienda spiega un incidente come questo, e ciò che fa dopo, dice molto.

Nessuno di questi fatti esclude un provider a priori. Anche le aziende serie subiscono violazioni e i cambi di proprietà sono normali. Quello che devi valutare è se l'azienda ne parla in modo tempestivo e chiaro. L'EFF aggiunge un test umano: «Se la VPN è stata fondata da persone note nella comunità della sicurezza informatica, è più probabile che sia affidabile.»¹

Come si combinano questi controlli?

Nessun singolo test dimostra che una VPN non conserva log. Un provider che li supera tutti e cinque merita più fiducia di uno che scrive soltanto «no logs» a caratteri cubitali.

Ecco un modo rapido per usarli. Parti dal test 1: se la policy è vaga, fermati lì. Poi cerca un auditor indicato per nome (test 2) e controlla l'ambito e la data (test 3). Cerca il nome del provider insieme a «raid», «sequestro», «subpoena» o «tribunale» per trovare le prove del test 4, e leggi la sua storia di incidenti (test 5). Le nostre recensioni di Mullvad, Proton VPN, NordVPN, ExpressVPN, PIA, Windscribe e PureVPN raccolgono queste prove per ogni provider, con le fonti, e il nostro confronto sulle VPN no-logs le mette a confronto fianco a fianco.

Se sei ancora indeciso se ti serva davvero una VPN, parti da Ho bisogno di una VPN?, e se stai valutando una VPN gratuita, leggi prima VPN gratuite o a pagamento: i servizi gratuiti sono quelli in cui questi test falliscono più spesso.