Jak sprawdzić deklarację braku logów w VPN-ie: 5 testów

Jak sprawdzić deklarację braku logów w VPN-ie? Nie możesz skontrolować jego serwerów, ale możesz ocenić, ile dowodów stoi za obietnicą: przeczytaj, co naprawdę mówi polityka, poszukaj wskazanego z nazwy audytora i raportu, sprawdź, co objął ten audyt i kiedy, poszukaj sprawdzianów w prawdziwym świecie, takich jak naloty i sprawy sądowe, oraz zbadaj, kto jest właścicielem firmy i jak radziła sobie ze złymi wiadomościami.

Ma to znaczenie, bo VPN widzi wszystko, co wcześniej widział twój dostawca internetu. Poradnik EFF o wyborze VPN-a mówi to wprost: choć VPN ukrywa twoje przeglądanie przed dostawcą internetu, wszystko to jest widoczne dla dostawcy VPN-a¹. I ostrzega: „Nawet jeśli firma twierdzi, że nie loguje danych o połączeniach, nie jest to gwarancja dobrego zachowania.”¹ Pięć poniższych testów korzysta z prawdziwych przykładów od omawianych przez nas dostawców, w tym jednego, w którym deklaracja zawiodła.

Co tak naprawdę znaczy „brak logów”?

Zwykle oznacza to, że VPN nie rejestruje tego, co robisz w tunelu, ani niczego, co wiąże połączenie z tobą. Prawie nigdy nie oznacza, że firma w ogóle nie przechowuje żadnych danych.

Istnieją dwa główne rodzaje logów. Logi aktywności rejestrują, co robisz: odwiedzane strony, zapytania DNS, pobrane pliki. Logi połączeń rejestrują metadane sesji: twój prawdziwy adres IP, użyty serwer VPN, kiedy się połączyłeś i na jak długo, ile danych przesłałeś. VPN, który nie prowadzi logów aktywności, ale prowadzi logi połączeń, nadal może pomóc komuś powiązać cię z jakimś działaniem, jeśli zna adres IP serwera i czas, co dokładnie wydarzyło się w opisanej niżej sprawie PureVPN. Każdy VPN przechowuje też jakieś dane konta i płatności, bo musi cię rozliczać.

Test 1: Co naprawdę mówi polityka prywatności?

Czytaj politykę, a nie stronę główną. Wiarygodna polityka wymienia, co jest przechowywane, jak długo i dlaczego; słaba pisze „brak logów” wielką czcionką, a „dane o połączeniach” lub „dane o użytkowaniu” wspomina dalej, bez wyjaśnień.

EFF zauważa, że firma VPN może logować twoje dane, jeśli nie wyklucza tego wprost w swojej polityce prywatności¹. Szukaj więc wyraźnych wyłączeń. Polityka Mullvad to dobry wzór szczegółowości, jakiej możesz oczekiwać. Mówi, że „nie loguje się połączeń, w tym tego, kiedy zostało nawiązane, kiedy się rozłączyło, na jak długo, ani żadnych znaczników czasu”², a także adresów IP czy zapytań DNS. Następnie wymienia, co przechowuje: numer konta i datę jego wygaśnięcia, dane płatności zależne od metody płatności oraz zapisy, które szwedzkie przepisy księgowe nakazują przechowywać przez siedem lat. Liczba aktywnych połączeń na konto jest trzymana wyłącznie w pamięci. Może ci nie odpowiadać każda pozycja z tej listy, ale ją widzisz.

Porównaj to z tym, co w 2017 roku odkrył TorrentFreak. PureVPN reklamował się jako usługa niezbierająca logów, ale jego polityka prywatności mówiła, że serwery automatycznie rejestrowały czasy połączeń i zużycie przepustowości³. Gdy FBI prowadziło śledztwo wobec mieszkańca Massachusetts w sprawie kampanii cyberstalkingu, PureVPN mógł powiedzieć agentom, że jeden klient łączył się z usługą z dwóch adresów IP, jednego w domu, a drugiego w pracy. Polityka obiecywała też, że nie przechowuje zapisów, „które mogłyby powiązać jakąkolwiek konkretną aktywność z konkretnym użytkownikiem”. Obie informacje były technicznie prawdziwe, a razem wystarczyły do zidentyfikowania podejrzanego. PureVPN powiedział później, że zmienił politykę i poddał ją niezależnemu audytowi; jego strona o braku logów⁴ mówi teraz, że nie loguje źródłowego adresu IP użytkownika, przydzielonego adresu IP VPN ani czasu połączenia.

Test 2: Czy nazwany audytor to sprawdził i czy możesz przeczytać raport?

Deklaracja audytu niewiele znaczy bez nazwanej firmy, daty i raportu lub streszczenia, które możesz otworzyć. Jeśli dostawca twierdzi, że został „niezależnie zaudytowany”, ale nie podaje przez kogo, traktuj tę deklarację jako niezweryfikowaną.

EFF opisuje wartość takiego podejścia: dostawcy VPN mogą poddać swoją usługę audytom bezpieczeństwa przeprowadzanym przez strony trzecie, a ich wyniki są następnie publikowane¹. Kilku opisywanych przez nas dostawców robi dokładnie to:

Warto zwrócić uwagę na kilka szczegółów z tej tabeli. Proton podlinkował wszystkie pięć raportów Securitum z lat 2022–2026 na jednej stronie¹¹, więc łatwo samemu zweryfikować jego deklaracje. Pierwsze dwa audyty NordVPN, z 2018 i 2020 roku, przeprowadziło PwC¹², zanim firma przeszła do Deloitte. Na własnej stronie o no-logs PIA wymienia audyty Deloitte z lat 2022, 2024 i 2025¹³, ostatni zakończony 19 grudnia 2025 r., ale PIA udostępnia pełne raporty klientom¹⁴, zamiast publikować je otwarcie. PureVPN to najbardziej niejednoznaczny przypadek. W 2020 roku opublikował wpis zatytułowany „KPMG Validates PureVPN No-Log Claims”¹⁵, jednak jego obecna strona o polityce no-log⁴ opisuje ocenę z lutego 2023 r. przeprowadzoną przez niewskazaną z nazwy „znaną firmę audytorską” i nazywa PureVPN „always-on audit VPN”, który ta firma może sprawdzić bez uprzedzenia. Skoro obecny audytor nie jest podany z nazwy, a raport nie jest publiczny, nie możesz ocenić jego zakresu, więc przypisz mu mniejszą wagę niż raportowi, który możesz przeczytać.

Test 3: Co obejmował audyt i kiedy?

Sprawdź trzy rzeczy: czy audyt dotyczył jednego momentu, czy okresu, czy testował deklarację no-logs, czy ogólne bezpieczeństwo, i jak jest stary. Audyty bardzo się różnią pod każdym z tych względów.

Jeden dzień czy miesiące?

Większość audytów no-logs dla VPN to zlecenia atestacyjne według standardu ISAE 3000, a wiele z nich opisuje stan rzeczy na jeden konkretny dzień. Raport KPMG dla ExpressVPN z 2025 roku sprawdzał, jak zaprojektowano mechanizmy no-logs na dzień 28 lutego 2025 r.⁷ Raport Deloitte dla PIA opisywał konfiguracje serwerów na dzień 30 czerwca 2022 r.⁸ Audytor Protona opisuje przegląd z 2026 roku jako wykonany na dany moment i obejmujący próbkę serwerów⁵. Kontrola na dany moment mówi ci, że mechanizmy były w tym dniu poprawnie skonfigurowane. Mniej mówi o tym, czy działały tak przez cały rok. Mocniejszym dowodem jest zlecenie, które testuje, jak mechanizmy działały w pewnym okresie – w języku audytorskim często nazywa się to „Type 2” – dlatego szukaj takiego sformułowania, czytając raport.

Audyt no-logs czy audyt bezpieczeństwa?

Odpowiadają na różne pytania. Audyt Mullvada z 2024 roku przeprowadzony przez Cure53 testował bezpieczeństwo jednego serwera stagingowego OpenVPN i jednego WireGuard¹⁰ oraz kodu wdrożeniowego, wykrył jedną usterkę średniego i jedną niskiego poziomu (obie naprawiono) i nie znalazł sposobu na naruszenie anonimowości użytkowników. To wartościowe i jest to dowód na to, jak zbudowane są serwery, ale nie jest to raport zatytułowany jako weryfikacja no-logs. Traktuj oba rodzaje jako przydatne i nie myl jednego z drugim.

Jak świeży jest audyt?

Jedyny audyt no-logs IVPN przeprowadziło Cure53 w 2019 roku, a firma twierdzi, że nie zleci kolejnych audytów no-logs, polegając zamiast tego na corocznych audytach bezpieczeństwa⁹. To stanowisko do obrony, otwarcie zakomunikowane, ale oznacza, że w kwestii tej konkretnej deklaracji opierasz się na starszych dowodach. Nawet świeży, czysty audyt to migawka: EFF zauważa, że nie ma pewności, że praktyki nie zostaną zmienione po audycie, zwłaszcza pod przymusem¹ ze strony rządu.

Test 4: Czy deklaracja przeszła sprawdzian w prawdziwym życiu?

Najmocniejszym dowodem jest to, co się stało, gdy ktoś z władzą prawną przyszedł z żądaniem: nalot, zajęcie serwera lub wezwanie sądowe w sprawie. Takie zdarzenia są rzadkie i nie da się ich zaaranżować, ale gdy są publicznie udokumentowane, warte są więcej niż jakikolwiek audyt.

• Mullvad, 2023. Swedish police arrived at Mullvad’s Gothenburg office with a search warrant to seize computers holding customer data. Mullvad says no such data existed¹⁶, and the officers left without taking anything.
• ExpressVPN, 2017. Tureckie władze zajęły serwer ExpressVPN podczas śledztwa w sprawie zabójstwa ambasadora Rosji. ExpressVPN oświadczył, że jego przeanalizowanie nie dostarczyło żadnych przydatnych informacji¹⁷, ponieważ firma nie przechowuje logów połączeń.
• Private Internet Access, 2016. W sprawie karnej na Florydzie dotyczącej fałszywych alarmów bombowych FBI wezwało PIA do przekazania danych. Według aktu oskarżenia, jak podał TorrentFreak, jedyną informacją, jaką PIA mogło dostarczyć, było to, że użyte adresy IP pochodziły z wschodniego wybrzeża¹⁸ USA. (TorrentFreak ujawnił, że PIA było jednym z jego sponsorów.) W federalnym procesie o włamanie komputerowe w San Jose w 2018 roku radca prawny PIA zeznał, że PIA nie przechowuje logów¹⁹ aktywności klientów w internecie.
• Windscribe, 2025. Greccy prokuratorzy postawili zarzuty osobiście dyrektorowi generalnemu Windscribe po tym, jak jeden z jego serwerów w Finlandii miał zostać użyty we włamaniu w 2023 roku. Sprawę umorzono 11 kwietnia 2025 r.²⁰, a Windscribe oświadczył, że nie miał logów do przekazania. Windscribe mówi też, że przechowuje tylko datę ostatniego użycia konta i sumę transferu z 30 dni²¹.
• PureVPN, 2017: kontrprzykład. Jak opisano w teście 1, rejestry połączeń PureVPN pomogły FBI³ powiązać podejrzanego o cyberstalking z jego domowym i służbowym adresem IP, mimo marketingowych zapewnień o braku logów.

Testy w prawdziwym życiu mogą też pokazać ograniczenia prawa, a nie dostawcy. W 2021 roku Proton został zmuszony wiążącym szwajcarskim nakazem, po wniosku francuskiej policji przekazanym przez Europol, do zapisania adresu IP francuskiego aktywisty²² w Proton Mail, swojej usłudze poczty e-mail. Dyrektor generalny Protona stwierdził, że prawo szwajcarskie nie może być w ten sam sposób użyte do wymuszenia logowania w VPN. Dla ciebie wniosek jest taki, że dostawca może dotrzymać obietnicy no-logs tylko w takim zakresie, na jaki pozwala prawo kraju, w którym działa. EFF mówi to samo: dostawca będzie podlegał prawu tych krajów, w tym przepisom dotyczącym żądań władz¹.

Test 5: Kto jest właścicielem i jak firma poradziła sobie ze złymi wiadomościami?

Obietnica no-logs jest tyle warta, co firma, która ją składa. Sprawdź, kto jest właścicielem dostawcy, gdzie ma siedzibę prawną i jak szybko i uczciwie ujawniał dawne incydenty.

• Szybkość ujawnienia. Atakujący uzyskał dostęp do jednego serwera NordVPN w centrum danych w Finlandii w marcu 2018 roku, przez niezabezpieczony system zdalnego zarządzania pozostawiony przez dostawcę centrum danych. NordVPN stwierdził, że serwer nie zawierał logów aktywności użytkowników, ale włamanie stało się publiczne w październiku 2019²³, półtora roku później.
• Zmiany właściciela. Kape Technologies, wcześniej nazywane Crossrider, kupiło ExpressVPN w 2021 roku²⁴ za około 936 mln dolarów i jest też właścicielem Private Internet Access i CyberGhost. Nowy właściciel dziedziczy obietnicę no-logs, a audyty sprzed sprzedaży opisują starą firmę.
• Niedawne incydenty. W 2026 roku Surfshark ujawnił, że źle skonfigurowany wewnętrzny serwer testowy był dostępny z internetu²⁵, razem z serwerem proxy. Firma twierdzi, że produkcyjna infrastruktura VPN i dane klientów nie zostały naruszone. To, jak firma tłumaczy taki incydent i co robi potem, wiele o niej mówi.

Żaden z tych faktów nie dyskwalifikuje dostawcy. Wycieki zdarzają się nawet ostrożnym firmom, a zmiany właściciela to normalna sprawa. Liczy się to, czy firma informuje o nich szybko i otwarcie. EFF dodaje test oparty na ludziach: „Jeśli VPN założyły osoby znane w środowisku bezpieczeństwa informacji, jest bardziej prawdopodobne, że można mu zaufać.”¹

Jak te kontrole się uzupełniają?

Żaden pojedynczy test nie dowodzi, że VPN nie prowadzi logów. Dostawca, który zalicza wszystkie pięć, zasłużył na większe zaufanie niż taki, który tylko wypisuje wielkimi literami „no logs”.

Oto szybki sposób, jak z nich korzystać. Zacznij od testu 1: jeśli polityka jest mętna, na tym poprzestań. Potem poszukaj audytora podanego z nazwy (test 2) i sprawdź zakres oraz datę (test 3). Wyszukaj nazwę dostawcy razem ze słowami „raid”, „seizure”, „subpoena” lub „court”, żeby znaleźć dowody do testu 4, i przeczytaj historię jego incydentów (test 5). W naszych recenzjach Mullvad, Proton VPN, NordVPN, ExpressVPN, PIA, Windscribe i PureVPN zebraliśmy te dowody dla każdego dostawcy, wraz ze źródłami, a nasze zestawienie VPN bez logów porównuje ich obok siebie.

Jeśli wciąż nie wiesz, czy w ogóle potrzebujesz VPN-a, zacznij od Do I need a VPN?, a jeśli rozważasz darmowy, najpierw przeczytaj free vs paid VPNs: to właśnie darmowe usługi najczęściej oblewają te testy.