ExpressVPN vs NordVPN

Los dos precios, corregidos. La página de precios vende ahora tres duraciones de plan separadas —1 mes, 12 meses y 2 años— en lugar de la estructura exclusiva de 24-28 meses que se había leído el 29-08-2026. U04_price_monthly=14.99 es el plan Basic de 1 mes, que se renueva automáticamente por los mismos 14,99 $. U04b_price_yearly=59.85 es lo que cobra realmente por su primer periodo el plan Basic de 12 meses (facturado como 12 meses más una bonificación de 3 meses); después se renueva automáticamente a 99,95 $/año, la cifra que la ficha anterior había almacenado erróneamente como el propio campo anual.

El informe de transparencia. P05/P06/P08/P09 se basan ahora en el informe de transparencia semestral de ExpressVPN (julio-diciembre de 2025: 155 solicitudes gubernamentales o de las fuerzas del orden, 0 divulgaciones y 3 órdenes judiciales enumeradas por separado), al que se llegó a través del Trust Center; la revisión anterior pasó por alto ambas cosas.

El canario y el resto del bloque. No se pudo encontrar ningún canario de órdenes judiciales de ExpressVPN y ninguna declaración primaria niega que exista, por lo que P07 sigue siendo desconocido. P02/P03=none_known se basan en la serie de informes de transparencia y en la postura sobre litigios de la política de privacidad; P11=none_known, en la declaración de la política de que todas las demandas pasan por los tribunales de BVI. P04=withdrew_physical es la salida de la India en junio de 2022.

Lo que nunca se publica. El número de suscriptores (M08) y el número total de servidores (U03) no se publican. La propiedad del hardware de los servidores (C08: propio frente a alquilado) y los identificadores de dispositivos a nivel de aplicación (C12) no pudieron establecerse a partir de ninguna página examinada.

106 países frente a una afirmación de 113. U02_server_countries refleja las 105 páginas de destino por país del propio sitemap de ExpressVPN más China (confirmada como «Available - Virtual Locations» en la página activa /vpn-server, pero sin una página de destino específica): 106 códigos en total, frente a la propia afirmación de marketing del sitio de «113 Countries»; la página activa de ubicaciones de servidores es una tabla muy grande por protocolo que no se analizó exhaustivamente, por lo que el vacío entre 106 y 113 se informa, pero no se resuelve.

Un hallazgo de auditoría entre dos categorías. V11_audit_findings se registra como session_metadata en lugar de none_linkable o aggregates_only: el informe de KPMG de 2025 describe un registro estructurado por conexión (país, ISP, fecha, protocolo, volumen de datos, un pseudónimo estable basado en un hash con sal) que es más que un agregado puro, pero carece de IP y hora precisa; un caso genuinamente ambiguo para las cuatro categorías intermedias de este campo.

No comprobado en esta revisión. No se comprobó en esta revisión si la cobertura de ExpressVPN existe fuera de los sitios de afiliados (X08), su nivel de pago a afiliados (X10), ni si los medios de reseñas gestionados por el propietario señalan el vínculo de propiedad (X11).

P2P, buscado y ausente. U12a_p2p_allowed permanece como desconocido por una razón distinta de la del resto: se buscó y no está publicado. Ni el sitemap (578 páginas y URLs de soporte) ni los términos de servicio mencionan P2P, BitTorrent o el intercambio de archivos en ningún lugar, mientras que todos los demás proveedores catalogados declaran su postura en sus propios documentos. Un artículo de soporte o una cláusula de los términos lo resolvería; un sitio de reseñas que dijera que funciona, no.

El canario y el trimestre que lo sustituyó. La misma página retiró el canario de órdenes judiciales (P07=removed) para publicar informes de transparencia trimestrales; el último trimestre completo (abr.–jun. de 2026) muestra 85 consultas gubernamentales y 0 divulgaciones, por lo que P08/P09 corresponden a ese periodo, no a la cifra de toda la vigencia.

India y el régimen de órdenes secretas. P04=withdrew_physical es la salida de la India en junio de 2022. P11=none_known se basa en la declaración de la página de que NordVPN no ha recibido cartas vinculantes de National Security ni órdenes de mordaza, y en la ausencia de tal régimen en Panamá.

Un nivel de aseguramiento que nadie puede comprobar. NordVPN describe el encargo de Deloitte Lithuania como un encargo de aseguramiento razonable conforme a ISAE 3000 (Revised), que sería la modalidad más sólida; el informe de PIA, que se puede consultar, declara una conclusión de aseguramiento limitado.

Por qué no se acredita la forma más sólida. El modelo ahora valora esa diferencia, y esta ficha no obtiene ese beneficio: V15_assurance_strength es desconocido porque la única declaración del nivel es la de NordVPN, sobre un informe que nadie fuera de una Nord Account puede abrir. Un documento tras un inicio de sesión no es evidencia aquí en ningún nivel, por lo que el encargo se acredita conforme a la norma del mercado y no al nivel que se dice que ha alcanzado.

Un informe tras un inicio de sesión. El informe solo se puede leer después de iniciar sesión en una Nord Account, por lo que nadie fuera de esa relación ha comprobado su alcance, y todos los campos de auditoría aquí se basan en el propio resumen de NordVPN en lugar de en el documento. Eso, y no un hallazgo contra el servicio, es la razón por la que esta ficha es la más escasa del catálogo.

En 2017, las autoridades turcas incautaron un servidor de ExpressVPN mientras investigaban el asesinato del embajador ruso Andrei Karlov y no encontraron registros utilizables (TorrentFreak, que incluye un aviso de patrocinio de ExpressVPN —señalado, no excluido, ya que los hechos se pueden comprobar externamente y la propia página de declaraciones de ExpressVPN desde entonces devuelve HTTP 410 sin una instantánea de Wayback Machine).

En septiembre de 2021 se hizo público el Deferred Prosecution Agreement del DOJ con Daniel Gericke, Chief Information Officer de ExpressVPN, por su función anterior entre 2016 y 2018 en la operación de piratería «Project Raven» de los EAU; el propio documento principal del DPA nunca menciona ExpressVPN (solo cubre su empleo anterior en los EAU); el vínculo con ExpressVPN procede de declaraciones de ExpressVPN y de la prensa. ExpressVPN mantuvo a Gericke en su puesto y publicó una defensa pública de esa decisión.

C12 es resettable_ad_id en el texto propio del proveedor, no en una categoría de tienda. El párrafo de marketing de la política de privacidad declara que siempre se recopilan un Installation ID y un XV User ID, y que los identificadores publicitarios —IDFA o Android Advertising ID— se incorporan tras un consentimiento explícito; todo ello llega a AppsFlyer. El formulario de seguridad de datos de Play declara de forma independiente Device u otros ID para publicidad o marketing.

La barrera de consentimiento y una mitigación que nadie más ofrece aquí —el tráfico dirigido a AppsFlyer se enruta a través de un grupo de IP dedicado de ExpressVPN para que la atribución no pueda correlacionarse mediante la IP— son reales y se registran aquí, porque el umbral puntúa lo que puede retenerse, no lo bien que se explica.

U07_protocols contiene todo el selector: Lightway UDP y TCP como vendor_open, junto a WireGuard, OpenVPN UDP/TCP e IKEv2. Lightway es el protocolo propio de ExpressVPN y su código fuente está publicado con una revisión independiente detrás (Cure53, 2021 y 2024), que es la distinción para la que existe vendor_open: proprietary puntúa la imposibilidad de saber si un transporte es débil, y aquí puede saberse.

PPTP está retirado de las aplicaciones de ExpressVPN según la propia página de protocolos del proveedor, y allí se explican L2TP y SSTP sin ofrecerlos.

La vulneración del centro de datos de Finlandia de 2018 fue una intrusión de terceros, no una incautación por las fuerzas del orden; se registra en P12_case_history como kind=breach, no como P01_seizure_event. El propio relato de NordVPN (nordvpn.com/blog/official-response-datacenter-breach/) y la cobertura contemporánea de Bloomberg coinciden en que la divulgación siguió a acusaciones en Twitter de investigadores externos, no a una iniciativa propia de NordVPN; de ahí third_party_disclosed en lugar de self_disclosed_late.

NordVPN y Surfshark comparten una matriz (Nord Security), pero el anuncio de fusión de ambas empresas afirma que sus infraestructuras y hojas de ruta de productos son independientes; M18 se establece como separado sobre esa base.