ExpressVPN vs Private Internet Access

Gennemsigtighedsrapporten. P05/P06/P08/P09 bygger nu på ExpressVPNs halvårlige gennemsigtighedsrapport (jul.–dec. 2025: 155 anmodninger fra myndigheder og retshåndhævende myndigheder, 0 videregivelser, 3 kendelser opført separat), som blev nået via Trust Center — den tidligere gennemgang overså begge dele.

Canaryen og resten af blokken. Der kunne ikke findes nogen ExpressVPN-warrant-canary, og ingen primær erklæring afviser, at der findes en, så P07 forbliver ukendt. P02/P03=none_known bygger på gennemsigtighedsserien og privatlivspolitikkens holdning til retssager; P11=none_known bygger på politikkens erklæring om, at alle påbud behandles gennem BVI-domstole. P04=withdrew_physical er udtrædelsen fra Indien i juni 2022.

Det, der aldrig offentliggøres. Antallet af abonnenter (M08) og det samlede antal servere (U03) offentliggøres ikke. Ejerskab af serverhardware (C08: ejet kontra lejet) og enhedsinstrumenter på appniveau (C12) kunne ikke dokumenteres ud fra nogen af de undersøgte sider.

106 lande mod en hævdet påstand om 113. U02_server_countries afspejler de 105 landelandingssider i ExpressVPN's eget sitemap plus Kina (bekræftet som 'Available - Virtual Locations' på den aktive /vpn-server-side, men uden en dedikeret landingsside) — 106 koder i alt mod webstedets egen markedsføringspåstand om '113 Countries'; den aktive serverlokationsside er en meget stor tabel pr. protokol, som ikke blev udtrukket udtømmende, så manglen mellem 106 og 113 rapporteres uden at blive afgjort.

Et auditfund mellem to kategorier. V11_audit_findings er registreret som session_metadata snarere end none_linkable eller aggregates_only: KPMG-rapporten fra 2025 beskriver en struktureret registrering pr. forbindelse (land, ISP, dato, protokol, datamængde, et stabilt pseudonym baseret på saltet hash), som er mere end et rent aggregat, men mangler IP og præcist tidspunkt — et reelt tvetydigt tilfælde for dette felts fire mellemkategorier.

Ikke kontrolleret i denne gennemgang. Om ExpressVPN's dækning findes uden for affiliatesider (X08), dets affiliate-udbetalingsniveau (X10), og om ejerdrevne anmeldelsesmedier markerer ejerskabsforbindelsen (X11), blev ikke kontrolleret i denne gennemgang.

P2P, undersøgt og fraværende. U12a_p2p_allowed forbliver ukendt af en anden grund end resten: Det blev undersøgt og er ikke offentliggjort. Hverken sitemap'et (578 sider og support-URL'er) eller servicevilkårene nævner P2P, BitTorrent eller fildeling noget sted, mens alle andre katalogiserede udbydere angiver deres holdning i deres egne dokumenter. En supportartikel eller en klausul i servicevilkårene ville afklare det; en anmeldelsesside, der siger, at det virker, ville ikke.

Hvad den ikke undersøgte. Rapporten dækker kun infrastruktur. C07a_app_sdk og C12_device_identifier er fakta på appsiden, som den aldrig undersøgte; de henviser nu i stedet til privatlivspolitikken, som beskriver analyse af besøgende på webstedet og opt-in-diagnoserapporter med platform og appversion. At læse nogen af delene som en erklæring om SDK'er, der er kompileret ind i appen, er det svageste led i dette register, og det er i open source-klienterne, at det faktisk ville blive afgjort.

Stævningen fra 2016 hviler på PIAs eget ord, ikke på sagsakterne. Den eneste detaljerede redegørelse for McWaters-sagen (S.D. Fla., 9:16-cr-80043) findes på et tilknyttet websted, som dette register ikke kan henvise til; CourtListeners sagsoversigt for sagen nævner ingen stævning, ingen udbyder og intet udfald. P03_court_record og P12_case_history bygger nu på PIAs egen erklæring i en transparensrapport om, at virksomheden blev stævnet i 2016-2017 og ikke udleverede noget — en selvdeklaration på B-niveau, ikke et verificeret retsdokument.

I 2017 beslaglagde tyrkiske myndigheder en ExpressVPN-server under efterforskningen af mordet på den russiske ambassadør Andrei Karlov og fandt ingen brugbare logs (TorrentFreak, som har en sponsoreringsmeddelelse for ExpressVPN — noteret, ikke udelukket, eftersom forholdene kan kontrolleres eksternt, og ExpressVPN's egen udtalelsesside siden er returneret med HTTP 410 uden et Wayback Machine-snapshot).

I september 2021 blev DOJ's Deferred Prosecution Agreement med Daniel Gericke, ExpressVPN's Chief Information Officer, om hans tidligere rolle i UAE's hackingsoperation 'Project Raven' i 2016-2018 offentligt kendt; selve det primære DPA-dokument nævner aldrig ExpressVPN (det omhandler kun hans tidligere ansættelse i UAE) — forbindelsen til ExpressVPN kommer fra ExpressVPN's egne udtalelser og pressemeddelelser. ExpressVPN lod Gericke fortsætte som ansat og offentliggjorde et offentligt forsvar for beslutningen.

C12 er resettable_ad_id baseret på udbyderens egen tekst frem for på en butikskategori. Privatlivspolitikkens afsnit om markedsføring angiver, at et Installation ID og et XV User ID altid indsamles, og at reklameidentifikatorer — IDFA eller Android Advertising ID — følger efter udtrykkeligt samtykke, hvor det hele når frem til AppsFlyer; Play-formularen om datasikkerhed angiver uafhængigt Device eller andre ID'er til reklame eller markedsføring.

Samtykkegrænsen og en afbødning, som ingen andre her tilbyder — AppsFlyer-bundet trafik dirigeret gennem en dedikeret ExpressVPN-IP-pulje, så attribution ikke kan korrelere efter IP — er reelle og registreres her, fordi bundniveauet vurderer, hvad der kan holdes, ikke hvor godt det forklares.