ExpressVPN vs Mullvad VPN

En 2017, las autoridades turcas incautaron un servidor de ExpressVPN mientras investigaban el asesinato del embajador ruso Andrei Karlov y no encontraron registros utilizables (TorrentFreak, que incluye un aviso de patrocinio de ExpressVPN —señalado, no excluido, ya que los hechos se pueden comprobar externamente y la propia página de declaraciones de ExpressVPN desde entonces devuelve HTTP 410 sin una instantánea de Wayback Machine).

En septiembre de 2021 se hizo público el Deferred Prosecution Agreement del DOJ con Daniel Gericke, Chief Information Officer de ExpressVPN, por su función anterior entre 2016 y 2018 en la operación de piratería «Project Raven» de los EAU; el propio documento principal del DPA nunca menciona ExpressVPN (solo cubre su empleo anterior en los EAU); el vínculo con ExpressVPN procede de declaraciones de ExpressVPN y de la prensa. ExpressVPN mantuvo a Gericke en su puesto y publicó una defensa pública de esa decisión.

C12 es resettable_ad_id en el texto propio del proveedor, no en una categoría de tienda. El párrafo de marketing de la política de privacidad declara que siempre se recopilan un Installation ID y un XV User ID, y que los identificadores publicitarios —IDFA o Android Advertising ID— se incorporan tras un consentimiento explícito; todo ello llega a AppsFlyer. El formulario de seguridad de datos de Play declara de forma independiente Device u otros ID para publicidad o marketing.

La barrera de consentimiento y una mitigación que nadie más ofrece aquí —el tráfico dirigido a AppsFlyer se enruta a través de un grupo de IP dedicado de ExpressVPN para que la atribución no pueda correlacionarse mediante la IP— son reales y se registran aquí, porque el umbral puntúa lo que puede retenerse, no lo bien que se explica.

U07_protocols contiene todo el selector: Lightway UDP y TCP como vendor_open, junto a WireGuard, OpenVPN UDP/TCP e IKEv2. Lightway es el protocolo propio de ExpressVPN y su código fuente está publicado con una revisión independiente detrás (Cure53, 2021 y 2024), que es la distinción para la que existe vendor_open: proprietary puntúa la imposibilidad de saber si un transporte es débil, y aquí puede saberse.

PPTP está retirado de las aplicaciones de ExpressVPN según la propia página de protocolos del proveedor, y allí se explican L2TP y SSTP sin ofrecerlos.

Los dos precios, corregidos. La página de precios vende ahora tres duraciones de plan separadas —1 mes, 12 meses y 2 años— en lugar de la estructura exclusiva de 24-28 meses que se había leído el 29-08-2026. U04_price_monthly=14.99 es el plan Basic de 1 mes, que se renueva automáticamente por los mismos 14,99 $. U04b_price_yearly=59.85 es lo que cobra realmente por su primer periodo el plan Basic de 12 meses (facturado como 12 meses más una bonificación de 3 meses); después se renueva automáticamente a 99,95 $/año, la cifra que la ficha anterior había almacenado erróneamente como el propio campo anual.

El informe de transparencia. P05/P06/P08/P09 se basan ahora en el informe de transparencia semestral de ExpressVPN (julio-diciembre de 2025: 155 solicitudes gubernamentales o de las fuerzas del orden, 0 divulgaciones y 3 órdenes judiciales enumeradas por separado), al que se llegó a través del Trust Center; la revisión anterior pasó por alto ambas cosas.

El canario y el resto del bloque. No se pudo encontrar ningún canario de órdenes judiciales de ExpressVPN y ninguna declaración primaria niega que exista, por lo que P07 sigue siendo desconocido. P02/P03=none_known se basan en la serie de informes de transparencia y en la postura sobre litigios de la política de privacidad; P11=none_known, en la declaración de la política de que todas las demandas pasan por los tribunales de BVI. P04=withdrew_physical es la salida de la India en junio de 2022.

Lo que nunca se publica. El número de suscriptores (M08) y el número total de servidores (U03) no se publican. La propiedad del hardware de los servidores (C08: propio frente a alquilado) y los identificadores de dispositivos a nivel de aplicación (C12) no pudieron establecerse a partir de ninguna página examinada.

106 países frente a una afirmación de 113. U02_server_countries refleja las 105 páginas de destino por país del propio sitemap de ExpressVPN más China (confirmada como «Available - Virtual Locations» en la página activa /vpn-server, pero sin una página de destino específica): 106 códigos en total, frente a la propia afirmación de marketing del sitio de «113 Countries»; la página activa de ubicaciones de servidores es una tabla muy grande por protocolo que no se analizó exhaustivamente, por lo que el vacío entre 106 y 113 se informa, pero no se resuelve.

Un hallazgo de auditoría entre dos categorías. V11_audit_findings se registra como session_metadata en lugar de none_linkable o aggregates_only: el informe de KPMG de 2025 describe un registro estructurado por conexión (país, ISP, fecha, protocolo, volumen de datos, un pseudónimo estable basado en un hash con sal) que es más que un agregado puro, pero carece de IP y hora precisa; un caso genuinamente ambiguo para las cuatro categorías intermedias de este campo.

No comprobado en esta revisión. No se comprobó en esta revisión si la cobertura de ExpressVPN existe fuera de los sitios de afiliados (X08), su nivel de pago a afiliados (X10), ni si los medios de reseñas gestionados por el propietario señalan el vínculo de propiedad (X11).

P2P, buscado y ausente. U12a_p2p_allowed permanece como desconocido por una razón distinta de la del resto: se buscó y no está publicado. Ni el sitemap (578 páginas y URLs de soporte) ni los términos de servicio mencionan P2P, BitTorrent o el intercambio de archivos en ningún lugar, mientras que todos los demás proveedores catalogados declaran su postura en sus propios documentos. Un artículo de soporte o una cláusula de los términos lo resolvería; un sitio de reseñas que dijera que funciona, no.

Por qué el recuento es ocho. El recuento de auditorías es ocho porque la revisión de GotaTun queda fuera de la lista propia del repositorio de la aplicación. Antes de ellas, una revisión de X41 D-Sec de 30 días-persona en las cinco plataformas encontró seis vulnerabilidades — tres altas, dos medias y una baja; ninguna crítica.

Lo que no cubre ningún encargo. Ninguno de estos encargos cubre la flota de servidores: todos examinan la aplicación o el protocolo del túnel, por lo que la cobertura de la flota se registra como no aplicable y no como una muestra. Por tanto, la declaración de ausencia de registros en el lado de la infraestructura se basa en la orden de registro de abril de 2023 — la policía sueca acudió a buscar datos de clientes y se fue sin ellos — y no en ninguna auditoría.

Compilaciones reproducibles, solo en Android. Las compilaciones reproducibles solo están disponibles en Android, desde la versión 2025.2, por lo que el campo sigue siendo parcial; las compilaciones de escritorio y de iOS no se pueden verificar bit a bit. Turquía es el único país con mandato de la lista ofrecida y el alojamiento que lo sustenta no está establecido.

Nada publicado sobre las exigencias. Nada de lo registrado se basa en algo que el proveedor publique sobre las exigencias que recibe: no hay informe de transparencia ni canario de orden judicial, por lo que la incautación de abril de 2023 constituye por sí sola ese fundamento. La cobertura del interruptor de emergencia y la política de P2P no están establecidas; la auditoría más reciente es una revisión de código del protocolo, no un encargo sobre ausencia de registros, por lo que V11 está en silencio y la retención se apoya en la declaración.