ExpressVPN vs Mullvad VPN

Le rapport de transparence. P05/P06/P08/P09 reposent désormais sur le rapport de transparence semestriel d'ExpressVPN (juillet-décembre 2025 : 155 demandes des autorités et des services répressifs, 0 communication, 3 mandats répertoriés séparément), consulté via le Trust Center — l'examen précédent n'avait trouvé aucun des deux.

Le canary, et le reste du bloc. Aucun warrant canary d'ExpressVPN n'a pu être trouvé et aucune déclaration primaire n'en nie l'existence ; P07 reste donc inconnu. P02/P03=none_known reposent sur la série de rapports de transparence et la position de la politique de confidentialité en matière de contentieux ; P11=none_known repose sur l'affirmation de la politique selon laquelle toutes les demandes passent par les tribunaux des BVI. P04=withdrew_physical correspond à la sortie d'Inde de juin 2022.

Ce qui n'est jamais publié. Le nombre d'abonnés (M08) et le nombre total de serveurs (U03) ne sont pas publiés. La propriété du matériel des serveurs (C08 : détenu ou loué) et les identifiants d'appareils au niveau de l'application (C12) n'ont pu être établis à partir d'aucune page vérifiée.

106 pays contre une affirmation de 113. U02_server_countries reflète les 105 pages d'atterrissage par pays du sitemap d'ExpressVPN lui-même, plus la Chine (confirmée comme « Available - Virtual Locations » sur la page /vpn-server en ligne, mais dépourvue de page d'atterrissage dédiée) — 106 codes au total, contre l'affirmation marketing du site de « 113 Countries » ; la page en ligne des emplacements de serveurs est un très grand tableau par protocole qui n'a pas été analysé de manière exhaustive, de sorte que l'écart entre 106 et 113 est signalé plutôt que résolu.

Un résultat d'audit entre deux catégories. V11_audit_findings est enregistré comme session_metadata plutôt que none_linkable ou aggregates_only : le rapport KPMG de 2025 décrit un enregistrement structuré par connexion (pays, FAI, date, protocole, volume de données, pseudonyme stable sous forme de hachage salé) qui dépasse le simple agrégat, mais ne contient ni adresse IP ni heure précise — un cas véritablement ambigu pour les quatre catégories intermédiaires de ce champ.

Non vérifié lors de ce passage. La question de savoir si la couverture d'ExpressVPN existe en dehors des sites affiliés (X08), son niveau de rémunération des affiliés (X10) et la question de savoir si les médias d'avis gérés par le propriétaire signalent le lien de propriété (X11) n'ont pas été vérifiées lors de ce passage.

P2P, recherché et absent. U12a_p2p_allowed reste inconnu pour une raison différente du reste : le sujet a été recherché et n'est pas publié. Ni le sitemap (578 URL de pages et d'assistance) ni les conditions d'utilisation ne mentionnent P2P, BitTorrent ou le partage de fichiers, tandis que chaque autre fournisseur catalogué indique sa position dans ses propres documents. Un article d'assistance ou une clause des conditions permettrait de le trancher ; un site d'avis affirmant que cela fonctionne ne le permettrait pas.

Pourquoi le décompte est de huit. Le nombre d'audits est de huit parce que la revue de GotaTun est extérieure à la propre liste du dépôt de l'application. Auparavant, une revue X41 D-Sec de 30 jours-personne couvrant les cinq plateformes a trouvé six vulnérabilités — trois élevées, deux moyennes, une faible, aucune critique.

Ce qu'aucune mission ne couvre. Ce qu'aucune de ces missions ne couvre, c'est la flotte de serveurs : chacune examine l'application ou le protocole de tunnel, raison pour laquelle la couverture de la flotte est enregistrée comme non applicable plutôt que comme un échantillon. L'affirmation de non-conservation des journaux du côté de l'infrastructure repose donc sur le mandat de perquisition d'avril 2023 — la police suédoise est venue chercher les données des clients et est repartie sans elles — et non sur un audit.

Des versions reproductibles, sur Android uniquement. Les versions reproductibles concernent uniquement Android, à partir de la version 2025.2, donc le champ reste partiel ; les versions pour ordinateur et iOS ne sont pas vérifiables bit à bit. La Turquie est le seul pays soumis à un mandat sur la liste proposée et l'hébergement qui la sous-tend n'est pas établi.

Rien de publié sur les demandes. Rien dans la fiche ne repose sur ce que le fournisseur publie au sujet des demandes qu'il reçoit : il n'y a ni rapport de transparence ni warrant canary, de sorte que la saisie d'avril 2023 en constitue à elle seule le fondement. La couverture du kill switch et la politique P2P ne sont pas établies ; le dernier audit est une revue de code du protocole, et non une mission sur la non-conservation des journaux, donc V11 reste silencieux et la conservation repose sur la déclaration.

En 2017, les autorités turques ont saisi un serveur ExpressVPN dans le cadre de l'enquête sur l'assassinat de l'ambassadeur russe Andrei Karlov et n'ont trouvé aucun journal exploitable (TorrentFreak, qui affiche un avis de sponsoring pour ExpressVPN — signalé, et non exclu, puisque les faits peuvent être vérifiés de manière externe et que la propre page de déclaration d'ExpressVPN renvoie depuis lors HTTP 410 sans instantané de Wayback Machine).

En septembre 2021, l'accord de poursuite différée du DOJ avec Daniel Gericke, Chief Information Officer d'ExpressVPN, concernant son rôle antérieur de 2016 à 2018 dans l'opération de piratage « Project Raven » des Émirats arabes unis est devenu public ; le document principal de l'accord lui-même ne nomme jamais ExpressVPN (il ne porte que sur son emploi antérieur aux Émirats arabes unis) — le lien avec ExpressVPN vient des déclarations d'ExpressVPN et de la presse. ExpressVPN a maintenu Gericke dans ses fonctions et publié une défense publique de cette décision.

C12 est resettable_ad_id dans le propre texte du fournisseur plutôt que dans une catégorie de boutique. Le paragraphe marketing de la politique de confidentialité indique qu'un Installation ID et un XV User ID sont toujours collectés et que les identifiants publicitaires — IDFA ou Android Advertising ID — sont ensuite collectés après consentement explicite, l'ensemble étant transmis à AppsFlyer ; le formulaire de sécurité des données de Play déclare indépendamment des identifiants d'appareil ou autres à des fins publicitaires ou marketing.

La demande de consentement et une mesure d'atténuation que personne d'autre ici ne propose — le trafic associé à AppsFlyer acheminé par un pool d'adresses IP ExpressVPN dédié afin que l'attribution ne puisse pas corréler par adresse IP — sont réelles et sont consignées ici, car le plancher évalue ce qui peut être conservé, pas la qualité de l'explication.

U07_protocols couvre tout le sélecteur : Lightway UDP et TCP comme vendor_open, aux côtés de WireGuard, OpenVPN UDP/TCP et IKEv2. Lightway est le protocole propre à ExpressVPN et son code source est publié avec un examen indépendant à l'appui (Cure53, 2021 et 2024), ce qui constitue la distinction pour laquelle vendor_open existe — proprietary évalue l'impossibilité de déterminer si un transport est faible, et ici cela peut être déterminé.

PPTP est retiré des applications ExpressVPN selon la propre page des protocoles du fournisseur, et L2TP et SSTP y sont expliqués sans être proposés.