Clase de servicio

VPN comercial — la seguridad va primero

Puntuación de seguridad

14 de 100 · No recomendada

Puntuación de usabilidad

70 de 100 · estado conocido · 92% establecido · 94,1% del peso leído

Entidad legal

Express Technologies Ltd.

Jurisdicción

Islas Vírgenes Británicas

Propietario final

Teddy Sagi, via Unikmind Holdings Limited (Isle of Man), sole shareholder of Kape Technologies plc since the May 2023 delisting; Kape owns ExpressVPN through Express Technologies Ltd.

Exposición

Medio · canal dominante: integridad

Retención

Metadatos de sesión

Última auditoría

KPMG LLP · 28 feb 2025 · Una serie anual · Sí, y se leyó el informe

Países con salidas

106

Protocolos

Un protocolo del proveedor con código fuente publicado WireGuard OpenVPN IKEv2

Funciona bajo censura activa

Declarado que funciona

Protocolo más débil que aún se ofrece

no aplica

DNS propio dentro del túnel

Sí, según la palabra del proveedor

Plataformas

Windows Android iOS macOS Linux Routers Android TV Extensión del navegador Apple TV Fire TV

Dispositivos simultáneos

Interruptor de emergencia

En todas las plataformas

Túnel dividido

Disponible

Registro

Solo una dirección de correo electrónico

Nivel gratuito

Sin nivel gratuito

P2P permitido

desconocido

Principales servicios de streaming accesibles

Accesibles

Precio, mensual

$14.99 al mes

Precio, anual

$59.85 al año en la renovación, facturado una vez

Países ofrecidos sujetos a un mandato de registroC09_mandate_countries

Emiratos Árabes Unidos Bielorrusia China India Kazajistán Turquía Vietnam

País del propietario efectivo últimoM11_owner_jurisdiction

Clave de clúster del grupo propietarioM15_owner_group

Kape Technologies

Fecha en que el propietario actual asumió el controlM16_control_since

2021-09

Papel de esta marca dentro del grupoM17_brand_role

acquired_brand

Infraestructura compartida con los miembros hermanos del clústerM18_shared_infrastructure

desconocido

Total de auditorías publicadasV10_audit_count

De dónde viene la puntuación de seguridad

Ocho canales, cada uno formulando una pregunta sobre la ficha publicada y leyendo un conjunto determinado de campos para responderla. Se multiplican en lugar de sumarse: el factor junto a un canal es lo que queda tras la presión que encontró, y al abrir un canal se ve cada campo que leyó, tal como está almacenado. Cómo funciona el modelo

Campos de seguridad

67 55 de ellos alimentan un canal

Establecido

57 9 quedaron en desconocido, 1 no aplican

Completitud

84% la parte que el modelo pudo ponderar

Citas

91 en 32 documentos

Todo valor indica en qué se sustenta, y el modelo pondera los cuatro niveles de forma distinta. Primero el peso, luego cuántas citas de esta ficha se ubican en ese nivel:

A pondera 1,00 · 15 aquíB pondera 0,85 · 64 aquíC pondera 0,70 · 11 aquíD pondera 0,35 · 1 aquí

Los pesos son los propios de methodology.json; una afirmación vista en el propio artefacto cuenta más que la misma afirmación referida de segunda mano. La fecha al final de una fila es el día en que ese valor se leyó por última vez.

Un canal no valora todos los campos que lee. Los que sí valoró están marcados en su borde y muestran lo que sumaron; todo lo demás se leyó y no costó nada. Solo un canal que se compone campo por campo puede marcar un campo; el resto se valora mediante los parámetros impresos encima de sus filas.

Aún abierto en esta ficha.

La prueba de penetración y la que no se realizó. El campo de prueba de penetración se basa en la revisión de Cure53 del protocolo Lightway realizada en octubre-noviembre de 2024, que detectó una denegación de servicio por fragmento de datos no autenticado, con una calificación de Alta, junto con otros cuatro elementos menores. El centro de confianza de ExpressVPN enumera una larga serie de encargos de este tipo, por lo que la periodicidad es real; lo que no contiene es una prueba de penetración de la infraestructura de la flota de servidores independiente del encargo de ausencia de registros de KPMG.

el resto de lo que está abierto — 581 palabras más

Los dos precios, corregidos. La página de precios vende ahora tres duraciones de plan separadas —1 mes, 12 meses y 2 años— en lugar de la estructura exclusiva de 24-28 meses que se había leído el 29-08-2026. U04_price_monthly=14.99 es el plan Basic de 1 mes, que se renueva automáticamente por los mismos 14,99 $. U04b_price_yearly=59.85 es lo que cobra realmente por su primer periodo el plan Basic de 12 meses (facturado como 12 meses más una bonificación de 3 meses); después se renueva automáticamente a 99,95 $/año, la cifra que la ficha anterior había almacenado erróneamente como el propio campo anual.

El informe de transparencia. P05/P06/P08/P09 se basan ahora en el informe de transparencia semestral de ExpressVPN (julio-diciembre de 2025: 155 solicitudes gubernamentales o de las fuerzas del orden, 0 divulgaciones y 3 órdenes judiciales enumeradas por separado), al que se llegó a través del Trust Center; la revisión anterior pasó por alto ambas cosas.

El canario y el resto del bloque. No se pudo encontrar ningún canario de órdenes judiciales de ExpressVPN y ninguna declaración primaria niega que exista, por lo que P07 sigue siendo desconocido. P02/P03=none_known se basan en la serie de informes de transparencia y en la postura sobre litigios de la política de privacidad; P11=none_known, en la declaración de la política de que todas las demandas pasan por los tribunales de BVI. P04=withdrew_physical es la salida de la India en junio de 2022.

Lo que nunca se publica. El número de suscriptores (M08) y el número total de servidores (U03) no se publican. La propiedad del hardware de los servidores (C08: propio frente a alquilado) y los identificadores de dispositivos a nivel de aplicación (C12) no pudieron establecerse a partir de ninguna página examinada.

106 países frente a una afirmación de 113. U02_server_countries refleja las 105 páginas de destino por país del propio sitemap de ExpressVPN más China (confirmada como «Available - Virtual Locations» en la página activa /vpn-server, pero sin una página de destino específica): 106 códigos en total, frente a la propia afirmación de marketing del sitio de «113 Countries»; la página activa de ubicaciones de servidores es una tabla muy grande por protocolo que no se analizó exhaustivamente, por lo que el vacío entre 106 y 113 se informa, pero no se resuelve.

Un hallazgo de auditoría entre dos categorías. V11_audit_findings se registra como session_metadata en lugar de none_linkable o aggregates_only: el informe de KPMG de 2025 describe un registro estructurado por conexión (país, ISP, fecha, protocolo, volumen de datos, un pseudónimo estable basado en un hash con sal) que es más que un agregado puro, pero carece de IP y hora precisa; un caso genuinamente ambiguo para las cuatro categorías intermedias de este campo.

Sobre la ficha en conjunto.

Express Technologies Ltd., constituida en las Islas Vírgenes Británicas desde 2009, es propiedad de Kape Technologies plc desde la adquisición de septiembre de 2021 ($936M, según la propia página about-us de Kape). La arquitectura TrustedServer, basada únicamente en RAM, ha sido auditada anualmente por KPMG (ISAE (UK) 3000 Type I, la más reciente el 28 feb 2025) desde 2022 para verificar el cumplimiento de la política de privacidad, además de PwC Switzerland (2019, TrustedServer) y Cure53 (2019, extensiones de navegador; 2021, protocolo Lightway, publicado como código abierto).

El informe de KPMG de 2025 se leyó directamente (confianza A): el servidor escribe un evento seudónimo por conexión (fecha sin hora, nombre de usuario con hash y sal, GeoIP de país+ISP, volumen de datos, grupo de ubicación, protocolo), pero nunca registra la dirección IP ni la marca de tiempo exacta; las compilaciones se describen como reproducibles en dos sistemas de compilación operados de forma independiente.

el resto de lo que está abierto — 373 palabras más

En 2017, las autoridades turcas incautaron un servidor de ExpressVPN mientras investigaban el asesinato del embajador ruso Andrei Karlov y no encontraron registros utilizables (TorrentFreak, que incluye un aviso de patrocinio de ExpressVPN —señalado, no excluido, ya que los hechos se pueden comprobar externamente y la propia página de declaraciones de ExpressVPN desde entonces devuelve HTTP 410 sin una instantánea de Wayback Machine).

En septiembre de 2021 se hizo público el Deferred Prosecution Agreement del DOJ con Daniel Gericke, Chief Information Officer de ExpressVPN, por su función anterior entre 2016 y 2018 en la operación de piratería «Project Raven» de los EAU; el propio documento principal del DPA nunca menciona ExpressVPN (solo cubre su empleo anterior en los EAU); el vínculo con ExpressVPN procede de declaraciones de ExpressVPN y de la prensa. ExpressVPN mantuvo a Gericke en su puesto y publicó una defensa pública de esa decisión.

C12 es resettable_ad_id en el texto propio del proveedor, no en una categoría de tienda. El párrafo de marketing de la política de privacidad declara que siempre se recopilan un Installation ID y un XV User ID, y que los identificadores publicitarios —IDFA o Android Advertising ID— se incorporan tras un consentimiento explícito; todo ello llega a AppsFlyer. El formulario de seguridad de datos de Play declara de forma independiente Device u otros ID para publicidad o marketing.

La barrera de consentimiento y una mitigación que nadie más ofrece aquí —el tráfico dirigido a AppsFlyer se enruta a través de un grupo de IP dedicado de ExpressVPN para que la atribución no pueda correlacionarse mediante la IP— son reales y se registran aquí, porque el umbral puntúa lo que puede retenerse, no lo bien que se explica.

U07_protocols contiene todo el selector: Lightway UDP y TCP como

Integridad¿Se le ha descubierto diciendo una cosa y haciendo otra?16 campos leídos · 5 quedaron en desconocido · 63,3 puntos de presión×0,367

Lo que este canal valoró en esta ficha:Monetización 0.2Cobertura comprada 0.1Gestión de incidentes 0.2Informe inverosímil 0.15Historial del grupo propietario 0.25

Escala de la base de usuarios (masiva >=10M, mediana >=1M, nicho <1M)también leído por silencioM08_user_scale

desconocido

nada publicado · registrado como asserted

Informar un problema con M08_user_scale

Otros negocios del grupo propietarioM10_owner_other_business

antivirusreview_directoryadtech_adware

Cen.wikipedia.org27 ago 2026

Informar un problema con M10_owner_other_business

Informe de transparenciatambién leído por desconocimiento, silencioP05_transparency_report

fresh_with_numbers

Bexpressvpn.com

Calculado

×0,144 de una ficha limpia completitud 84%

De dónde viene la caída: Integridad. Es el canal en el que se concentra el riesgo de esta ficha: por sí solo lleva una ficha limpia a ×0,367, y su barra de arriba está rellena hasta ahí.

La exposición se registra como medium y el estado de integridad como clean.

Frente al resto del registro, esta ficha se sitúa más por encima en Jurisdicción — ×1,000 donde el registro promedia ×0,680 — y más por debajo en Integridad, ×0,367 frente a ×0,658.

Puntuación publicada

Cada fila anterior es un campo de la ficha publicada, y todas pueden impugnarse: cada fila lleva Informar, o plantear algo sobre la ficha en conjunto. Una corrección respaldada por una fuente se aplica el mismo día, y si mueve la puntuación, mueve el puesto.

No recomendada

ExpressVPN

VPN comercialIslas Vírgenes BritánicasPuesto 16 de 68

Pago mensual

$14.99 al mes

Pago anual

$59.85 facturado una vez al año

Cobertura

106 países con salida

Nivel gratuito

No solo planes de pago

14 sobre 100

Seguridad

70 sobre 100

Usabilidad

Visitar sitio

Especificación

Presente, nunca puntuado

Países con una salida

Comparado con

Qué cambió

Si esta no es la adecuada

De dónde viene la puntuación de seguridad

ExpressVPN

Proton VPN

Mullvad VPN

IVPN