ExpressVPN vs Mullvad VPN

V roce 2017 turecké úřady zabavily server ExpressVPN při vyšetřování atentátu na ruského velvyslance Andrei Karlova a nenašly žádné použitelné Logy (TorrentFreak, který uvádí oznámení o sponzorství ExpressVPN — zaznamenáno, nikoli vyloučeno, protože fakta lze externě ověřit a vlastní stránka ExpressVPN s vyjádřením od té doby vrací HTTP 410 bez snímku ve Wayback Machine).

V září 2021 se zveřejnila Deferred Prosecution Agreement ministerstva spravedlnosti USA s Danielem Gerickem, Chief Information Officer společnosti ExpressVPN, týkající se jeho předchozí role v letech 2016–2018 v hackerské operaci „Project Raven“ ve Spojených arabských emirátech; samotný primární dokument DPA ExpressVPN nikdy nejmenuje (týká se pouze jeho předchozího zaměstnání ve Spojených arabských emirátech) — vazba na ExpressVPN vychází z vlastních vyjádření ExpressVPN a tiskových vyjádření. ExpressVPN Gerickeho ponechala v zaměstnání a zveřejnila veřejnou obhajobu tohoto rozhodnutí.

C12 je resettable_ad_id v dokumentaci samotného poskytovatele, nikoli v kategorii obchodu. Marketingový odstavec zásad ochrany soukromí uvádí, že Installation ID a XV User ID se shromažďují vždy a že reklamní identifikátory — IDFA nebo Android Advertising ID — následují po výslovném souhlasu; vše se dostává do AppsFlyer. Formulář bezpečnosti dat v Google Play nezávisle deklaruje Device or other IDs pro reklamu nebo marketing.

Brána souhlasu i zde jediná nabízená mitigace — provoz směřující do AppsFlyer přes vyhrazený fond IP adres ExpressVPN, takže atribuce nemůže korelovat podle IP — jsou skutečné a jsou zde zaznamenány, protože práh oceňuje, co lze doložit, nikoli to, jak dobře je to vysvětleno.

U07_protocols obsahuje celý výběr: Lightway UDP a TCP jako vendor_open vedle WireGuard, OpenVPN UDP/TCP a IKEv2. Lightway je vlastní protokol ExpressVPN a jeho zdrojový kód je zveřejněn s nezávislým posouzením v pozadí (Cure53, 2021 a 2024), což je rozdíl, pro který vendor_open existuje — proprietary hodnotí nemožnost zjistit, zda je transport slabý, a zde to zjistit lze.

PPTP je v aplikacích ExpressVPN podle vlastní stránky poskytovatele s ukončenou podporou a L2TP a SSTP jsou tam vysvětleny, aniž by byly nabízeny.

Zpráva o transparentnosti. P05/P06/P08/P09 nyní vycházejí z pololetní zprávy ExpressVPN o transparentnosti (červenec–prosinec 2025: 155 žádostí vládních orgánů a orgánů činných v trestním řízení, 0 poskytnutí údajů, 3 soudní příkazy uvedené samostatně), která byla zpřístupněna prostřednictvím Trust Center — předchozí průchod přehlédl obojí.

Kanár a zbytek bloku. Nebyl nalezen žádný warrant canary ExpressVPN a žádné primární prohlášení jeho existenci nepopírá, takže P07 zůstává neznámo. P02/P03=none_known vycházejí z řady zpráv o transparentnosti a postoje zásad ochrany soukromí k soudním sporům; P11=none_known z prohlášení v zásadách, že všechny žádosti procházejí soudy BVI. P04=withdrew_physical je odchod z Indie v červnu 2022.

Co se nikdy nezveřejňuje. Počet předplatitelů (M08) a celkový počet serverů (U03) nejsou zveřejněny. Vlastnictví serverového hardwaru (C08: vlastněný vs. pronajatý) a identifikátory zařízení na úrovni aplikace (C12) nebylo možné doložit z žádné prověřené stránky.

106 zemí oproti deklarovaným 113. U02_server_countries odráží 105 stránek pro jednotlivé země ve vlastním sitemapu ExpressVPN plus Čínu (potvrzenou jako „Available - Virtual Locations“ na aktuální stránce /vpn-server, ale bez vlastní stránky pro danou zemi) — celkem 106 kódů oproti vlastnímu marketingovému tvrzení webu „113 Countries“; aktuální stránka s umístěními serverů je velmi rozsáhlá tabulka podle protokolů, která nebyla vyčerpávajícím způsobem analyzována, takže mezera mezi 106 a 113 je uvedena, nikoli vyřešena.

Zjištění z auditu mezi dvěma kategoriemi. V11_audit_findings je zaznamenáno jako session_metadata, nikoli jako none_linkable nebo aggregates_only: zpráva KPMG z roku 2025 popisuje strukturovaný záznam pro každé připojení (země, ISP, datum, protokol, objem dat, stabilní pseudonym se salted-hash), který je více než čistý agregát, ale neobsahuje IP ani přesný čas — skutečně nejednoznačný případ pro čtyři střední kategorie tohoto pole.

V tomto průchodu neověřeno. Zda pokrytí ExpressVPN existuje mimo partnerské weby (X08), jeho úroveň partnerských výplat (X10) a zda média s recenzemi provozovaná vlastníkem upozorňují na vazbu vlastnictví (X11), nebylo v tomto průchodu ověřeno.

P2P, hledáno a nenalezeno. U12a_p2p_allowed zůstává neznámo z jiného důvodu než u zbytku: bylo hledáno a není zveřejněno. Ani sitemap (578 stránek a podpůrných URL), ani podmínky služby nikde nezmiňují P2P, BitTorrent nebo sdílení souborů, zatímco každý další katalogizovaný poskytovatel uvádí svůj postoj ve vlastních dokumentech. Uzavřel by to podpůrný článek nebo ustanovení v podmínkách; tvrzení recenzního webu, že to funguje, nikoli.

Proč je počet osm. Počet auditů je osm, protože kontrola GotaTun stojí mimo vlastní seznam úložiště aplikace. Před nimi při kontrole X41 od D-Sec v rozsahu 30 člověkodnů napříč všemi pěti platformami bylo nalezeno šest zranitelností — tři s vysokou, dvě se střední a jedna s nízkou závažností, žádná kritická.

Co nepokrývá žádná zakázka. Žádná z těchto zakázek nepokrývá serverovou flotilu: každá zkoumá aplikaci nebo protokol tunelu, a proto je pokrytí flotily zaznamenáno jako nerelevantní, nikoli jako vzorek. Tvrzení o neuchovávání logů na straně infrastruktury se tedy opírá o příkaz k prohlídce z dubna 2023 — švédská policie přišla pro údaje zákazníků a odešla bez nich — a nikoli o audit.

Reprodukovatelná sestavení, pouze Android. Reprodukovatelná sestavení se týkají pouze Androidu, počínaje verzí 2025.2, takže pole zůstává částečné; sestavení pro desktop a iOS nelze ověřit bit po bitu. Turecko je jedinou zemí s mandátem na nabízeném seznamu a hosting, který za ním stojí, není doložen.

O žádostech není nic zveřejněno. Žádný záznam se neopírá o nic, co poskytovatel zveřejňuje o žádostech, které obdrží: neexistuje zpráva o transparentnosti ani warrant canary, takže zabavení z dubna 2023 poskytuje tuto oporu samo o sobě. Pokrytí nouzovým vypínačem a politika P2P nejsou doloženy; nejnovějším auditem je kontrola kódu protokolu, nikoli zakázka zaměřená na neuchovávání logů, takže V11 mlčí a uchovávání se opírá o deklaraci.