I giornalisti affrontano un modello di minaccia che la maggior parte degli utenti VPN non incontra mai: sorveglianza mirata da parte di attori statali, obblighi di protezione delle fonti, ambienti di rete ostili in paesi autoritari e esposizione legale che può attraversare i confini. Scegliere la VPN sbagliata non è solo un inconveniente — può significare esporre una fonte, perdere comunicazioni cifrate o far consegnare i metadati a un'agenzia governativa.
I criteri che contano di più per i giornalisti sono fondamentalmente diversi da quelli che contano per lo streaming o l'uso generale della privacy. La giurisdizione è fondamentale — si desidera un fornitore con sede al di fuori delle alleanze di condivisione di intelligence Five Eyes, Nine Eyes e Fourteen Eyes. Una politica no-logs verificata e sottoposta a audit indipendenti non è negoziabile, idealmente testata in condizioni reali da un evento legale piuttosto che solo da un PDF. La creazione di account anonimi e le opzioni di pagamento contano per i reporter che non possono permettersi di lasciare una traccia di fatturazione. Il codice open-source consente la verifica indipendente che il software faccia ciò che dichiara.
Velocità e numero di server sono preoccupazioni secondarie. Un giornalista che trasmette da una zona di conflitto ha bisogno di una VPN che non ceda sotto pressione legale, non di una che sblocchi Disney+.
Dopo aver valutato dozzine di fornitori rispetto a questi standard, cinque si distinguono. hide.me è in testa con una politica no-logs verificata da DefenseCode e Securitum, giurisdizione malese al di fuori di ogni alleanza di intelligence e un livello gratuito genuinamente utile. Mullvad è il bersaglio più difficile: nessuna email, nessun dato di fatturazione e un raid della polizia nel 2023 che ha confermato la sua politica no-logs in condizioni reali. ProtonVPN porta proprietà senza scopo di lucro, quattro audit no-logs consecutivi e protezioni legali svizzere. ExpressVPN offre l'infrastruttura più tecnicamente verificata con 23 audit e server solo RAM, sebbene la sua proprietà aziendale sollevi legittime domande. IVPN completa la lista come l'opzione gestita con maggiore trasparenza, raccomandata da privacyguides.org con registrazione senza email e infrastruttura verificata da Cure53.