ExpressVPN vs Proton VPN

Los dos precios, corregidos. La página de precios vende ahora tres duraciones de plan separadas —1 mes, 12 meses y 2 años— en lugar de la estructura exclusiva de 24-28 meses que se había leído el 29-08-2026. U04_price_monthly=14.99 es el plan Basic de 1 mes, que se renueva automáticamente por los mismos 14,99 $. U04b_price_yearly=59.85 es lo que cobra realmente por su primer periodo el plan Basic de 12 meses (facturado como 12 meses más una bonificación de 3 meses); después se renueva automáticamente a 99,95 $/año, la cifra que la ficha anterior había almacenado erróneamente como el propio campo anual.

El informe de transparencia. P05/P06/P08/P09 se basan ahora en el informe de transparencia semestral de ExpressVPN (julio-diciembre de 2025: 155 solicitudes gubernamentales o de las fuerzas del orden, 0 divulgaciones y 3 órdenes judiciales enumeradas por separado), al que se llegó a través del Trust Center; la revisión anterior pasó por alto ambas cosas.

El canario y el resto del bloque. No se pudo encontrar ningún canario de órdenes judiciales de ExpressVPN y ninguna declaración primaria niega que exista, por lo que P07 sigue siendo desconocido. P02/P03=none_known se basan en la serie de informes de transparencia y en la postura sobre litigios de la política de privacidad; P11=none_known, en la declaración de la política de que todas las demandas pasan por los tribunales de BVI. P04=withdrew_physical es la salida de la India en junio de 2022.

Lo que nunca se publica. El número de suscriptores (M08) y el número total de servidores (U03) no se publican. La propiedad del hardware de los servidores (C08: propio frente a alquilado) y los identificadores de dispositivos a nivel de aplicación (C12) no pudieron establecerse a partir de ninguna página examinada.

106 países frente a una afirmación de 113. U02_server_countries refleja las 105 páginas de destino por país del propio sitemap de ExpressVPN más China (confirmada como «Available - Virtual Locations» en la página activa /vpn-server, pero sin una página de destino específica): 106 códigos en total, frente a la propia afirmación de marketing del sitio de «113 Countries»; la página activa de ubicaciones de servidores es una tabla muy grande por protocolo que no se analizó exhaustivamente, por lo que el vacío entre 106 y 113 se informa, pero no se resuelve.

Un hallazgo de auditoría entre dos categorías. V11_audit_findings se registra como session_metadata en lugar de none_linkable o aggregates_only: el informe de KPMG de 2025 describe un registro estructurado por conexión (país, ISP, fecha, protocolo, volumen de datos, un pseudónimo estable basado en un hash con sal) que es más que un agregado puro, pero carece de IP y hora precisa; un caso genuinamente ambiguo para las cuatro categorías intermedias de este campo.

No comprobado en esta revisión. No se comprobó en esta revisión si la cobertura de ExpressVPN existe fuera de los sitios de afiliados (X08), su nivel de pago a afiliados (X10), ni si los medios de reseñas gestionados por el propietario señalan el vínculo de propiedad (X11).

P2P, buscado y ausente. U12a_p2p_allowed permanece como desconocido por una razón distinta de la del resto: se buscó y no está publicado. Ni el sitemap (578 páginas y URLs de soporte) ni los términos de servicio mencionan P2P, BitTorrent o el intercambio de archivos en ningún lugar, mientras que todos los demás proveedores catalogados declaran su postura en sus propios documentos. Un artículo de soporte o una cláusula de los términos lo resolvería; un sitio de reseñas que dijera que funciona, no.

La apelación y lo que no resuelve. La apelación del 22 de octubre de 2021 se cita aquí con una salvedad que conviene expresar claramente: Federal Administrative Court resolvió que los servicios de correo electrónico no son proveedores de telecomunicaciones, y ni la cobertura de la sentencia ni el propio relato de Proton mencionan la VPN.

Lo que realmente establece los dos campos. Lo que establece C10 y C11 es que Suiza no tiene ninguna base de mandato en la propia lista de países del catálogo; la apelación corrobora cómo las autoridades suizas tratan a Proton y no constituye por sí sola una conclusión sobre Proton VPN. Una resolución sobre un servicio hermano es un fundamento más débil de lo que hace parecer la cita.

El único asunto pendiente más importante. Proton ofrece ubicaciones de salida en ocho países que imponen un mandato de registro de datos. No está establecido que haya hardware físicamente en alguno de ellos: Proton retiró los servidores físicos de la India en 2022 y documenta Smart Routing para las ubicaciones a las que presta servicio desde otro lugar, lo que apunta a ubicaciones virtuales, pero eso solo se verificó para la India. Establecer C09b_mandate_hosting es el único asunto pendiente más importante de esta ficha.

En 2017, las autoridades turcas incautaron un servidor de ExpressVPN mientras investigaban el asesinato del embajador ruso Andrei Karlov y no encontraron registros utilizables (TorrentFreak, que incluye un aviso de patrocinio de ExpressVPN —señalado, no excluido, ya que los hechos se pueden comprobar externamente y la propia página de declaraciones de ExpressVPN desde entonces devuelve HTTP 410 sin una instantánea de Wayback Machine).

En septiembre de 2021 se hizo público el Deferred Prosecution Agreement del DOJ con Daniel Gericke, Chief Information Officer de ExpressVPN, por su función anterior entre 2016 y 2018 en la operación de piratería «Project Raven» de los EAU; el propio documento principal del DPA nunca menciona ExpressVPN (solo cubre su empleo anterior en los EAU); el vínculo con ExpressVPN procede de declaraciones de ExpressVPN y de la prensa. ExpressVPN mantuvo a Gericke en su puesto y publicó una defensa pública de esa decisión.

C12 es resettable_ad_id en el texto propio del proveedor, no en una categoría de tienda. El párrafo de marketing de la política de privacidad declara que siempre se recopilan un Installation ID y un XV User ID, y que los identificadores publicitarios —IDFA o Android Advertising ID— se incorporan tras un consentimiento explícito; todo ello llega a AppsFlyer. El formulario de seguridad de datos de Play declara de forma independiente Device u otros ID para publicidad o marketing.

La barrera de consentimiento y una mitigación que nadie más ofrece aquí —el tráfico dirigido a AppsFlyer se enruta a través de un grupo de IP dedicado de ExpressVPN para que la atribución no pueda correlacionarse mediante la IP— son reales y se registran aquí, porque el umbral puntúa lo que puede retenerse, no lo bien que se explica.

U07_protocols contiene todo el selector: Lightway UDP y TCP como vendor_open, junto a WireGuard, OpenVPN UDP/TCP e IKEv2. Lightway es el protocolo propio de ExpressVPN y su código fuente está publicado con una revisión independiente detrás (Cure53, 2021 y 2024), que es la distinción para la que existe vendor_open: proprietary puntúa la imposibilidad de saber si un transporte es débil, y aquí puede saberse.

PPTP está retirado de las aplicaciones de ExpressVPN según la propia página de protocolos del proveedor, y allí se explican L2TP y SSTP sin ofrecerlos.