ExpressVPN vs IVPN

I 2017 beslaglagde tyrkiske myndigheder en ExpressVPN-server under efterforskningen af mordet på den russiske ambassadør Andrei Karlov og fandt ingen brugbare logs (TorrentFreak, som har en sponsoreringsmeddelelse for ExpressVPN — noteret, ikke udelukket, eftersom forholdene kan kontrolleres eksternt, og ExpressVPN's egen udtalelsesside siden er returneret med HTTP 410 uden et Wayback Machine-snapshot).

I september 2021 blev DOJ's Deferred Prosecution Agreement med Daniel Gericke, ExpressVPN's Chief Information Officer, om hans tidligere rolle i UAE's hackingsoperation 'Project Raven' i 2016-2018 offentligt kendt; selve det primære DPA-dokument nævner aldrig ExpressVPN (det omhandler kun hans tidligere ansættelse i UAE) — forbindelsen til ExpressVPN kommer fra ExpressVPN's egne udtalelser og pressemeddelelser. ExpressVPN lod Gericke fortsætte som ansat og offentliggjorde et offentligt forsvar for beslutningen.

C12 er resettable_ad_id baseret på udbyderens egen tekst frem for på en butikskategori. Privatlivspolitikkens afsnit om markedsføring angiver, at et Installation ID og et XV User ID altid indsamles, og at reklameidentifikatorer — IDFA eller Android Advertising ID — følger efter udtrykkeligt samtykke, hvor det hele når frem til AppsFlyer; Play-formularen om datasikkerhed angiver uafhængigt Device eller andre ID'er til reklame eller markedsføring.

Samtykkegrænsen og en afbødning, som ingen andre her tilbyder — AppsFlyer-bundet trafik dirigeret gennem en dedikeret ExpressVPN-IP-pulje, så attribution ikke kan korrelere efter IP — er reelle og registreres her, fordi bundniveauet vurderer, hvad der kan holdes, ikke hvor godt det forklares.

U07_protocols indeholder hele protokolvælgeren: Lightway UDP og TCP som vendor_open, ved siden af WireGuard, OpenVPN UDP/TCP og IKEv2. Lightway er ExpressVPN's egen protokol, og dens kildekode er offentliggjort med uafhængig gennemgang bag sig (Cure53, 2021 og 2024), hvilket er den skelnen, vendor_open findes for — proprietary prissætter umuligheden af at afgøre, om en transport er svag, og her kan det afgøres.

PPTP er udfaset i ExpressVPN-apps ifølge udbyderens egen protokolside, og L2TP og SSTP forklares dér uden at blive tilbudt.

Gennemsigtighedsrapporten. P05/P06/P08/P09 bygger nu på ExpressVPNs halvårlige gennemsigtighedsrapport (jul.–dec. 2025: 155 anmodninger fra myndigheder og retshåndhævende myndigheder, 0 videregivelser, 3 kendelser opført separat), som blev nået via Trust Center — den tidligere gennemgang overså begge dele.

Canaryen og resten af blokken. Der kunne ikke findes nogen ExpressVPN-warrant-canary, og ingen primær erklæring afviser, at der findes en, så P07 forbliver ukendt. P02/P03=none_known bygger på gennemsigtighedsserien og privatlivspolitikkens holdning til retssager; P11=none_known bygger på politikkens erklæring om, at alle påbud behandles gennem BVI-domstole. P04=withdrew_physical er udtrædelsen fra Indien i juni 2022.

Det, der aldrig offentliggøres. Antallet af abonnenter (M08) og det samlede antal servere (U03) offentliggøres ikke. Ejerskab af serverhardware (C08: ejet kontra lejet) og enhedsinstrumenter på appniveau (C12) kunne ikke dokumenteres ud fra nogen af de undersøgte sider.

106 lande mod en hævdet påstand om 113. U02_server_countries afspejler de 105 landelandingssider i ExpressVPN's eget sitemap plus Kina (bekræftet som 'Available - Virtual Locations' på den aktive /vpn-server-side, men uden en dedikeret landingsside) — 106 koder i alt mod webstedets egen markedsføringspåstand om '113 Countries'; den aktive serverlokationsside er en meget stor tabel pr. protokol, som ikke blev udtrukket udtømmende, så manglen mellem 106 og 113 rapporteres uden at blive afgjort.

Et auditfund mellem to kategorier. V11_audit_findings er registreret som session_metadata snarere end none_linkable eller aggregates_only: KPMG-rapporten fra 2025 beskriver en struktureret registrering pr. forbindelse (land, ISP, dato, protokol, datamængde, et stabilt pseudonym baseret på saltet hash), som er mere end et rent aggregat, men mangler IP og præcist tidspunkt — et reelt tvetydigt tilfælde for dette felts fire mellemkategorier.

Ikke kontrolleret i denne gennemgang. Om ExpressVPN's dækning findes uden for affiliatesider (X08), dets affiliate-udbetalingsniveau (X10), og om ejerdrevne anmeldelsesmedier markerer ejerskabsforbindelsen (X11), blev ikke kontrolleret i denne gennemgang.

P2P, undersøgt og fraværende. U12a_p2p_allowed forbliver ukendt af en anden grund end resten: Det blev undersøgt og er ikke offentliggjort. Hverken sitemap'et (578 sider og support-URL'er) eller servicevilkårene nævner P2P, BitTorrent eller fildeling noget sted, mens alle andre katalogiserede udbydere angiver deres holdning i deres egne dokumenter. En supportartikel eller en klausul i servicevilkårene ville afklare det; en anmeldelsesside, der siger, at det virker, ville ikke.

Hændelsen i august 2026. I august 2026 udnyttede en angriber en sårbarhed i den selvhostede BTCPay Server, før den blev offentliggjort, og tog IVPNs egne Lightning-driftsmidler. IVPN offentliggjorde redegørelsen fire dage senere uden opfordring og afgrænsede den til den maskine: VPN-gateways var ikke involveret, ingen kunderegistre blev tilgået, og ingen kundepenge gik tabt.

Hvorfor det ikke koster noget. Modellen opkræver ikke noget for dette, hvilket er pointen — en operatør, der siger det så hurtigt, handler på den måde, som feltet er tænkt til at belønne, og posten er her, så en læser ved, at det skete, ikke for at flytte et tal.

Hvad opgaverne omfattede. Applikations-pentest'en (iOS, Android, Electron, daemonen) er fra marts 2022, og gennemgangen af gatewayen/serverens OS er fra februar 2023; ingen af dem testede selve no-logs-hævdet, hvilket rapporten fra 2023 udtrykkeligt angiver, så opbevaring hviler alene på erklæringen i privatlivspolitikken.

Den seneste rapport er ikke den relevante. Engagemementet i april 2024, Cure53s sjette med IVPN, testede webstedet for kundekonti, API'et og hosting; dens egen scope-side angiver klientapps og VPN-servere som uden for scope, så den udvider hverken belægget for appen eller gatewayen, og V03_audit_subject er angivet som unknown for den i stedet for at føre den kredit videre. Det syvende engagement, om de nye e-mail- og DNS-tjenester, blev kun annonceret til maj 2025; ingen rapport om det er offentliggjort.

Det, som det primære websted aldrig dokumenterer. RAM-only er registreret som delvist, fordi IVPN beskriver det som en overgang med testinstallationer undervejs og ikke har annonceret, at den er afsluttet. Ejerskab af serverhardware (lejet kontra ejet), trafikændring ved exit og den reelle ejers personlige jurisdiktion er ikke dokumenteret: Ingen primær IVPN-side angiver nogen af de tre, og det gør brugerbasens størrelse heller ikke.