Как проверить заявление VPN об отсутствии логов: 5 проверок

Как проверить заявление VPN об отсутствии логов? Серверы проверить нельзя, но можно оценить, сколько доказательств стоит за обещанием: прочитайте, что на самом деле говорится в политике, найдите названного аудитора и отчёт, проверьте, что охватывал этот аудит и когда он проводился, поищите проверки реальными событиями, такими как рейды и судебные дела, и выясните, кому принадлежит компания и как она вела себя в случае плохих новостей.

Это важно, потому что VPN видит всё, что раньше видел ваш интернет-провайдер. В руководстве EFF по выбору VPN сказано прямо: хотя VPN скрывает ваш трафик от провайдера, всё это видно VPN-провайдеру¹. И там же предупреждается: «Даже если компания утверждает, что не логирует данные о подключениях, это не гарантия добросовестного поведения»¹. В пяти проверках ниже используются реальные примеры из числа рассматриваемых нами провайдеров, включая один случай, когда заявление не подтвердилось.

Что на самом деле означает «никаких логов»?

Обычно это значит, что VPN не записывает, что вы делаете внутри туннеля, и ничего, что связывало бы подключение с вами. Почти никогда это не означает, что компания не хранит никаких данных вообще.

Существует два основных вида логов. Логи активности фиксируют, что вы делаете: посещённые сайты, DNS-запросы, скачанные файлы. Логи подключений фиксируют метаданные сеанса: ваш реальный IP-адрес, использованный VPN-сервер, когда вы подключились и на какое время, сколько данных передали. VPN, который не ведёт логов активности, но ведёт логи подключений, всё равно может помочь связать вас с каким-то действием, если известны IP сервера и время, — именно это произошло в случае PureVPN ниже. Любой VPN также хранит некоторые данные об аккаунте и платежах, потому что должен выставлять вам счета.

Проверка 1: что на самом деле сказано в политике конфиденциальности?

Читайте политику, а не главную страницу. Надёжная политика перечисляет, что хранится, как долго и зачем; слабая крупным шрифтом пишет «никаких логов», а «данные о подключениях» или «данные об использовании» упоминает где-то дальше без пояснений.

EFF отмечает, что VPN-компания может логировать ваши данные, если в политике конфиденциальности это прямо не исключено¹. Поэтому ищите явные исключения. Политика Mullvad — хороший образец того, какой степени детализации стоит ожидать. В ней сказано, что «подключения не логируются, включая время подключения, отключения, длительность или любые временные метки»², а также что IP-адреса и DNS-запросы не логируются. Затем перечисляется то, что компания всё же хранит: номер аккаунта и дата его окончания, платёжные данные, зависящие от способа оплаты, и записи, которые шведские бухгалтерские правила обязывают хранить семь лет. Число активных подключений на аккаунт хранится только в оперативной памяти. Вам могут нравиться не все пункты этого списка, но вы их видите.

Сравните это с тем, что в 2017 году обнаружил TorrentFreak. PureVPN рекламировал себя как не ведущий логов, но в его политике конфиденциальности говорилось, что серверы автоматически записывают время подключений и объём трафика³. Когда ФБР расследовало дело жителя Массачусетса о кампании киберсталкинга, PureVPN смог сообщить агентам, что один из клиентов заходил в сервис с двух IP-адресов: один — по месту жительства, другой — по месту работы. Политика также обещала, что компания не хранит записей, «которые могли бы связать любую конкретную активность с конкретным пользователем». Оба утверждения были формально верны, и вместе их оказалось достаточно, чтобы установить подозреваемого. Позже PureVPN заявил, что изменил политику и провёл независимый аудит; на его странице об отсутствии логов⁴ теперь сказано, что он не логирует исходный IP пользователя, назначенный VPN IP и время подключения.

Проверка 2: проверял ли политику отсутствия логов named аудитор, и можно ли прочитать отчёт?

Заявление об аудите мало что значит без названия фирмы, даты и отчёта или краткого изложения, которые можно открыть. Если провайдер говорит о «независимом аудите», но не называет, кто его проводил, считайте это заявление непроверенным.

EFF описывает ценность такого подхода так: VPN-провайдеры могут проходить сторонние аудиты безопасности, результаты которых затем публикуются¹. Некоторые из рассматриваемых нами провайдеров делают именно это:

В этой таблице стоит обратить внимание на несколько деталей. Proton выкладывает все пять своих отчётов Securitum, с 2022 по 2026 год, на одной странице¹¹, так что утверждение легко проверить самостоятельно. Первые две проверки NordVPN на уровне assurance, в 2018 и 2020 годах, провела PwC¹², а затем компания перешла к Deloitte. На странице PIA об отсутствии логов перечислены аудиты Deloitte в 2022, 2024 и 2025 годах¹³, последний из них завершён 19 декабря 2025 года, однако PIA передаёт полные отчёты клиентам¹⁴, а не публикует их в открытом доступе. Сложнее всего с PureVPN. В 2020 году он опубликовал пост под названием «KPMG Validates PureVPN No-Log Claims»¹⁵, но на его нынешней странице о no-log⁴ описана проверка в феврале 2023 года, проведённая неназванной «well known audit firm», а PureVPN назван «always-on audit VPN», который эта фирма может проверить без предупреждения. Если текущий аудитор не назван, а отчёт не опубликован, оценить охват проверки нельзя, поэтому доверяйте такому заявлению меньше, чем отчёту, который можно прочитать.

Проверка 3: что охватывал аудит и когда он проводился?

Проверьте три момента: смотрел ли аудит на один момент времени или на период, проверял ли он заявление об отсутствии логов или общую безопасность, и насколько он старый. По всем трём пунктам аудиты сильно различаются.

Один день или месяцы?

Большинство аудитов политики отсутствия логов у VPN — это проверки уровня assurance по стандарту ISAE 3000, и многие из них описывают положение дел на одну конкретную дату. Отчёт KPMG за 2025 год по ExpressVPN проверял, как были устроены механизмы отсутствия логов по состоянию на 28 февраля 2025 года⁷. Отчёт Deloitte по PIA описывал конфигурации серверов по состоянию на 30 июня 2022 года⁸. Аудитор Proton называет свою проверку 2026 года проверкой на определённый момент времени, охватывающей выборку серверов⁵. Проверка на момент времени показывает, что в тот день механизмы были настроены правильно. О том, работали ли они так же весь год, она говорит меньше. Проверка, в которой тестируется работа механизмов за определённый период (на языке assurance её часто называют «Type 2»), — более весомое доказательство, поэтому ищите такую формулировку, когда читаете отчёт.

Аудит no-logs или аудит безопасности?

Они отвечают на разные вопросы. Аудит Mullvad от Cure53 в 2024 году проверял безопасность одного тестового сервера OpenVPN и одного тестового сервера WireGuard¹⁰ и кода развёртывания, выявил одну проблему среднего и одну низкого уровня (обе исправлены) и не нашёл способа нарушить анонимность пользователей. Это ценно и говорит о том, как устроены серверы, но это не отчёт, озаглавленный как проверка политики no-logs. Считайте полезными оба вида аудита, но не путайте их.

Насколько свежий?

Единственный аудит no-logs у IVPN провела Cure53 в 2019 году, и компания заявляет, что не будет заказывать новые аудиты no-logs, полагаясь вместо этого на ежегодные аудиты безопасности⁹. Это обоснованная позиция, высказанная открыто, но она означает, что для конкретного заявления вы опираетесь на более старые данные. Даже свежий и чистый аудит — это моментальный снимок: EFF отмечает, что нет уверенности, что практики не изменятся после аудита, особенно под принуждением¹ со стороны государства.

Проверка 4: выдержало ли заявление испытание реальностью?

Самое сильное доказательство — то, что произошло, когда с запросом пришёл человек с юридической властью: обыск, изъятие сервера или судебная повестка по делу. Такое случается редко, и организовать это нельзя, но когда такие случаи есть в открытых источниках, они весят больше любого аудита.

• Mullvad, 2023. Шведская полиция пришла в офис Mullvad в Гётеборге с ордером на обыск, чтобы изъять компьютеры с данными клиентов. Mullvad говорит, что таких данных не существовало¹⁶, и офицеры ушли, ничего не забрав.
• ExpressVPN, 2017. Власти Турции изъяли сервер ExpressVPN при расследовании убийства посла России. ExpressVPN заявила, что его изучение не дало полезной информации¹⁷, потому что компания не хранит логи подключений.
• Private Internet Access, 2016. По уголовному делу во Флориде о ложных сообщениях о минировании ФБР направило PIA повестку. Согласно обвинительному заявлению, как сообщал TorrentFreak, единственное, что PIA смогла сообщить, — что использованные IP-адреса относились к восточному побережью¹⁸ США. (TorrentFreak раскрыл, что PIA была одним из его спонсоров.) На федеральном процессе о взломе в Сан-Хосе в 2018 году главный юрисконсульт PIA показал, что PIA не хранит логи¹⁹ интернет-активности клиентов.
• Windscribe, 2025 год. Греческая прокуратура предъявила обвинения лично генеральному директору Windscribe после того, как один из серверов компании в Финляндии якобы использовали во вторжении 2023 года. Дело было прекращено 11 апреля 2025 года²⁰, при этом Windscribe заявила, что у неё нет логов, которые можно было бы передать. Windscribe также сообщает, что хранит только дату последнего использования аккаунта и суммарный объём трафика за 30 дней²¹.
• PureVPN, 2017: контрпример. Как описано в проверке 1, записи о подключениях PureVPN помогли ФБР³ связать подозреваемого в киберсталкинге с его домашним и рабочим IP-адресами, несмотря на маркетинг компании о no-logs.

Испытания реальностью могут также показать пределы закона, а не провайдера. В 2021 году Proton была вынуждена по обязательному решению швейцарских властей, после запроса французской полиции через Европол, записывать IP-адрес французского активиста²² в Proton Mail, своём почтовом сервисе. Гендиректор Proton заявил, что швейцарский закон нельзя использовать так же, чтобы принудить к ведению логов VPN. Вывод для вас: провайдер может выполнять обещание no-logs лишь в той мере, в какой это позволяет закон страны, где он работает. EFF говорит о том же: провайдер подчиняется законам этих стран, включая законы о запросах государственных органов¹.

Проверка 5: кто владелец и как компания поступала с плохими новостями?

Обещание no-logs стоит столько, сколько стоит компания, которая его даёт. Выясните, кому принадлежит провайдер, где он зарегистрирован юридически, а также насколько быстро и честно он раскрывал прошлые инциденты.

• Скорость раскрытия. В марте 2018 года злоумышленник получил доступ к одному серверу NordVPN в дата-центре в Финляндии через небезопасную систему удалённого управления, оставленную провайдером дата-центра. NordVPN сообщила, что на сервере не было логов активности пользователей, но взлом стал достоянием общественности в октябре 2019 года²³, спустя примерно полтора года.
• Смена владельца. Kape Technologies, ранее называвшаяся Crossrider, купила ExpressVPN в 2021 году²⁴ примерно за $936 млн и также владеет Private Internet Access и CyberGhost. Новый владелец наследует обещание no-logs, а аудиты, проведённые до продажи, описывают прежнюю компанию.
• Недавние инциденты. В 2026 году Surfshark сообщила, что неправильно настроенный внутренний тестовый сервер был доступен из интернета²⁵, как и прокси-сервер. Компания заявляет, что рабочая VPN-инфраструктура и данные клиентов не пострадали. То, как компания объясняет такой инцидент и что делает дальше, многое говорит о ней.

Ни один из этих фактов сам по себе не исключает провайдера. Утечки случаются и у добросовестных компаний, а смена владельца — обычное дело. Важно другое: сообщает ли компания об этом быстро и прямо. EFF добавляет человеческий критерий: «Если VPN основали люди, известные в сообществе специалистов по информационной безопасности, ему, скорее всего, можно доверять больше».¹

Как эти проверки сочетаются друг с другом?

Ни одна проверка по отдельности не доказывает, что VPN не ведёт логи. Провайдер, прошедший все пять, заслуживает больше доверия, чем тот, кто просто пишет «no logs» крупными буквами.

Вот быстрый способ ими воспользоваться. Начните с проверки 1: если политика расплывчатая, на этом остановитесь. Затем найдите названного аудитора (проверка 2) и посмотрите объём и дату аудита (проверка 3). Поищите имя провайдера вместе со словами «raid», «seizure», «subpoena» или «court», чтобы найти свидетельства для проверки 4, и изучите историю его инцидентов (проверка 5). В наших обзорах Mullvad, Proton VPN, NordVPN, ExpressVPN, PIA, Windscribe и PureVPN эти данные собраны по каждому провайдеру с источниками, а наш обзор VPN без логов сравнивает их между собой.

Если вы ещё не решили, нужен ли вам VPN вообще, начните с материала Нужен ли мне VPN?, а если присматриваетесь к бесплатному, сначала прочитайте о бесплатных и платных VPN: именно бесплатные сервисы чаще всего не проходят эти проверки.