Porównanie VPN. Jurysdykcja, logi i audyty
Nie testuję tu pięćdziesięciu dostawców. Nie mam laboratorium prędkości i nie udaję, że mam. Stary ranking na tej domenie obiecywał niezależne pomiary i podium. Tego tekstu tam nie było. Zostawiam URL, bo ludzie nadal wpisują w Google "ranking VPN". Zmieniam treść na to, co da się sprawdzić w dokumentach: kto gdzie siedzi, czego nie loguje, kto to oglądał i czym VPN w ogóle nie jest.
Aktualizacja tylko wtedy, gdy zmieni się audyt, polityka, wyrok albo własność firmy. Nie "co kwartał, bo SEO".
Co tunel robi, a czego nie
VPN szyfruje odcinek od twojego urządzenia do serwera dostawcy. Dostawca internetu widzi, że idziesz do VPN-a, nie widzi adresów stron. Strona, na którą wchodzisz, widzi adres IP serwera VPN, nie twój domowy. To tyle. Reszta marketingu jest doklejana.
VPN nie kasuje ciasteczek, nie usuwa odcisku przeglądarki i nie zastępuje Tora. Nie skanuje załączników. Jeśli zalogujesz się na Gmaila przez tunel, Google i tak wie, że to ty. Jeśli strona żąda skanu dowodu, VPN tego nie zatrzyma. Przy ladzie IDScan też nie.
W Polsce korzystanie z VPN jest legalne. Nielegalne jest to, do czego ktoś go użyje, nie sam tunel.
Pięć, dziewięć, czternaście par oczu
Sojusze wywiadowcze UKUSA nie są wyrokiem na konkretną firmę. Są mapą, gdzie państwo może łatwiej żądać danych od lokalnego operatora. Jeśli operator tych danych nie ma, żądanie wraca puste. Jeśli ma, mapa zaczyna się liczyć.
Five Eyes: USA, Wielka Brytania, Kanada, Australia, Nowa Zelandia. Nine Eyes dokładają Danię, Francję, Holandię i Norwegię. Fourteen Eyes dokładają Niemcy, Belgię, Włochy, Hiszpanię i Szwecję.
Dlatego "poza 14 Eyes" na slajdzie marketingowym nie kończy sprawy. Mullvad siedzi w Szwecji i mimo to jest w tym porównaniu wysoko: 18 kwietnia 2023 szwedzka policja weszła do biura w Göteborgu z nakazem. Szukali komputerów z danymi klientów. Wyszli bez sprzętu i bez danych, bo według firmy takich danych nie było. To nie audyt. To test w polu, którego większość marek nigdy nie dostała.
Tabela, którą da się obronić
Ceny: cennik miesięczny na 4 września 2026, bez kuponów dwuletnich. NordVPN i ExpressVPN sprzedają głównie rok i dwa lata taniej niż miesiąc. Tego tu nie przeliczam, bo stawka zależy od landingu i od tego, czy wracasz po promocji.
| Usługa | Jurysdykcja | Konto | Płatność bez karty | Audyt no-logs | Port forwarding |
|---|---|---|---|---|---|
| Mullvad | Szwecja (14 Eyes) | numer, bez maila | gotówka, BTC, XMR | Cure53, X41, Assured | nie (od lipca 2023) |
| Proton VPN | Szwajcaria | konto Proton (mail) | krypto na części planów | Securitum, co roku od 2022 | tak, na płatnym, NAT-PMP |
| IVPN | Gibraltar | konto (mail przy starcie) | gotówka, Bitcoin | Cure53, audyty coroczne | nie (od września 2023) |
| NordVPN | Panama (Tefincom) | karta; krypto bywa | Deloitte i wcześniejsze PwC | nie na planie standard | |
| ExpressVPN | BVI, od 2021 Kape | karta, część krypto | KPMG, Cure53 (Lightway) | nie | |
| Windscribe | Kanada (Five Eyes) | mail albo użytkownik | krypto, karta | Cure53 2022, PacketLabs 2024 | tak, na płatnym |
Cena stała kontra cena z billboardu
Mullvad bierze 5 euro miesięcznie od 2009. IVPN Standard: 6 dolarów miesięcznie, 60 rocznie, 5 urządzeń. Proton Plus: 9,99 dolara za miesiąc z cennika; rok i dwa lata są tańsze. Reszta rynku żyje z "70 procent z niżej".
Mullvad
Konto to szesnastocyfrowy numer. Nie ma hasła w klasycznym sensie, nie ma maila przy starcie. Gotówkę można wysłać na adres w Göteborgu. Aplikacje są otwartym kodem. WireGuard jest domyślnym protokołem. Port forwarding firma wyłączyła 29 maja 2023 (istniejące porty zdjęto 1 lipca), bo przez otwarte porty szedł malware i inne nadużycia, a adresy IP Mullvada lądowały na czarnych listach.
Cure53 oglądało infrastrukturę przekaźników w czerwcu 2024, czwarty taki audyt. X41 D-Sec oglądało aplikacje jesienią 2024. Assured AB oglądało aplikację webową w sierpniu 2025. Audyt nie jest przysięgą. Jest zdjęciem stanu z konkretnego tygodnia. Nalot z kwietnia 2023 waży tu więcej niż slajd "no logs".
Mullvad nie optymalizuje sieci pod Netflix US. To nie wada ukryta. To decyzja firmy.
Proton VPN
Proton AG, Zurych i Genewa, prawo szwajcarskie. Konto wiąże się z adresem mailowym ekosystemu Proton. Jest darmowy plan: jedno urządzenie, serwery z ograniczonej puli krajów, bez limitu transferu. Plus: do 10 urządzeń, Secure Core, Tor over VPN, NetShield.
Securitum, polska firma, robi coroczny audyt no-logs od 2022. W 2025 audytorzy siedzieli w Zurychu od 18 do 20 sierpnia. Raport z 2026 (maja) jest piątym z rzędu. Audytorzy piszą, że na oglądanej infrastrukturze nie znaleźli logów aktywności użytkownika ani metadanych połączenia dających się do niego przypisać. Secure Core to skok przez serwery Proton w Szwajcarii, Islandii albo Szwecji, zanim ruch wyjdzie dalej. Szwecja w tym łańcuchu znowu jest w 14 Eyes. Rdzeń ma być pod kontrolą Proton, nie lokalnego hostera.
IVPN
IVPN Limited, Gibraltar. Firma publikuje zespół z nazwiskami, wytyczne dla służb i coroczny raport transparentności. Gotówka od 2010. Cure53 wraca co rok; w marcu 2024 oglądali stronę klienta i serwery, w maju 2025 osobno nowe usługi DNS i przekierowania maila. Port forwarding zniknął 30 września 2023, krótko po Mullvadzie, z podobnego powodu.
Standard: 6 dolarów miesięcznie, 5 urządzeń, multi-hop w cenie. Plus i Pro Suite dokładają Mailx, modDNS i Portmaster. Gibraltar nie jest Szwajcarią. Jest powiązany z prawem brytyjskim. IVPN stoi na architekturze "nie mamy czego oddać", nie na obietnicy, że UK nie poprosi.
NordVPN i ExpressVPN
NordVPN (Tefincom S.A., Panama) jest dużą siecią z protokołem NordLynx, czyli WireGuardem we własnej obudowie. W marcu 2018 ktoś wszedł na jeden serwer w fińskim centrum danych przez zdalne zarządzanie, którego hoster postawił bez wiedzy Norda. Firma ujawniła to w październiku 2019. Logów aktywności na serwerze, według Norda, nie było. The Verge cytowało doradcę firmy: atakujący mógł widzieć, na jakie strony szedł ruch w oknie, gdy serwer był skompromitowany. To nie jest to samo co kradzież bazy haseł. To też nie jest "nic się nie stało".
Od tamtej pory Nord publikuje audyty no-logs (PwC, potem Deloitte) i mówi o serwerach w RAM. Panama jest poza 14 Eyes. Marketing Norda jest agresywny. To osobna cecha, nie argument kryptograficzny.
ExpressVPN jest zarejestrowany na Brytyjskich Wyspach Dziewiczych. Od września 2021 należy do Kape Technologies, tej samej grupy co CyberGhost i Private Internet Access. Protokół własny: Lightway (kod otwarty, audyty Cure53 i Praetorian). WireGuard doszedł później, w 2025 z wariantem post-kwantowym. KPMG oglądało politykę no-logs. Własność Kape nie unieważnia audytu Lightway. Zmienia pytanie, komu płacisz i jak wygląda grupa kapitałowa.
Windscribe i darmowe plany
Windscribe siedzi w Kanadzie. Five Eyes. Ma darmowy limit transferu i płatny Build a Plan. Cure53 oglądało infrastrukturę w 2022, PacketLabs produkcję FreshScribe w 2024. Osobnego certyfikatu no-logs od wielkiej czwórki księgowych nie ma. W 2021 ukraińskie służby zajęły serwery Windscribe; na dysku został stary klucz prywatny. Logów użytkowników, według firmy, na tych maszynach nie było. Potem przeszli na serwery w RAM. Kanada plus tamten incydent ważą więcej niż liczba lokalizacji w reklamie.
Darmowy VPN jako model biznesowy zwykle znaczy: ktoś inny płaci, często danymi albo ruchem. Wyjątek, który da się nazwać z dokumentu, to Proton VPN Free: ten sam audyt no-logs, okrojona sieć, jedno urządzenie. To nie jest "darmowy VPN z Chrome Web Store".
Hola i podobne wtyczki peer-to-peer to nie VPN w tym sensie. Udostępniasz swoje łącze obcym. Nie polecam tego nawet żartem.
Co z tego wynika przy wyborze
Jeśli chcesz minimalnego śladu przy zakładaniu konta: Mullvad. Jeśli chcesz szwajcarskiej firmy z darmowym planem i Secure Core: Proton. Jeśli chcesz małej firmy z nazwiskami na stronie i gotówką: IVPN. Jeśli chcesz dużej sieci i aplikacji "klika się samo": Nord albo Express, ze świadomością 2018 i Kape.
Nie ma tu złota, srebra i brązu. Jest kilka osi, które nie chcą wejść w jedną ocenę /10. Ktoś, kto ogląda amerykański Netflix, i ktoś, kto nie chce zostawiać maila, kupują inny produkt pod tą samą nazwą "VPN".
W archiwum zostają starsze recenzje pojedynczych marek. Tamte teksty pisało się innym głosem. Ten URL ma być porównaniem z datą, nie kolejnym podium.