D'où vient le score de sécurité
Huit canaux, chacun posant une question à la fiche publiée et lisant un ensemble nommé de champs pour y répondre. Ils se multiplient plutôt qu'ils ne s'additionnent — le facteur à côté d'un canal est ce qui reste après la pression qu'il a trouvée, et ouvrez un canal pour voir chaque champ qu'il a lu, tel qu'il est stocké. Comment fonctionne le modèle
Champs de sécurité
67 55 d'entre eux alimentent un canal
Établis
57 9 restent inconnu, 1 non applicable(s)
Complétude
84% la part que le modèle a pu pondérer
Citations
91 sur 32 documents
Chaque valeur porte ce sur quoi elle repose, et le modèle pondère différemment les quatre niveaux. Le poids, puis le nombre de citations de cette fiche à ce niveau :
A pèse 1,00 · 15 iciB pèse 0,85 · 64 iciC pèse 0,70 · 11 iciD pèse 0,35 · 1 ici
Les poids sont ceux de methodology.json lui-même ; une affirmation vue dans l’artefact lui-même compte plus que la même affirmation rapportée de seconde main. La date à la fin d’une ligne est le jour où cette valeur a été lue pour la dernière fois.
Un canal ne chiffre pas chaque champ qu'il lit. Ceux qu'il a chiffrés sont marqués sur leur bord et indiquent ce qu'ils ont ajouté ; tout le reste a été lu sans rien coûter. Seul un canal qui se compose champ par champ peut marquer un champ — les autres se chiffrent eux-mêmes par les paramètres affichés au-dessus de leurs lignes.
Encore ouvert sur cette fiche.
Le test d'intrusion, et celui qui n'a pas été réalisé. Le champ du test d'intrusion repose sur l'évaluation menée par Cure53 en octobre-novembre 2024 du protocole Lightway, qui a relevé un déni de service par fragment de données non authentifié, classé High, ainsi que quatre éléments de moindre importance. Le centre de confiance d'ExpressVPN répertorie une longue série de tels audits, la cadence est donc réelle ; ce qu'il ne contient pas, c'est un test d'intrusion de l'infrastructure de la flotte de serveurs distinct de l'audit KPMG sur l'absence de conservation des journaux.
Les deux prix, corrigés. La page des tarifs vend désormais trois durées d'offre distinctes — 1 mois, 12 mois et 2 ans — plutôt que la structure limitée à 24-28 mois relevée le 29 août 2026. U04_price_monthly=14,99 correspond à l'offre Basic de 1 mois, renouvelée automatiquement au même tarif de 14,99 $. U04b_price_yearly=59,85 est le montant effectivement facturé pour la première période de l'offre Basic de 12 mois (facturée comme 12 mois plus un bonus de 3 mois) ; elle est ensuite renouvelée automatiquement à 99,95 $/an, le montant que la fiche précédente avait enregistré par erreur comme le champ annuel lui-même.
le reste de ce qui est ouvert — 469 mots de plus
Le rapport de transparence. P05/P06/P08/P09 reposent désormais sur le rapport de transparence semestriel d'ExpressVPN (juillet-décembre 2025 : 155 demandes des autorités et des services répressifs, 0 communication, 3 mandats répertoriés séparément), consulté via le Trust Center — l'examen précédent n'avait trouvé aucun des deux.
Le canary, et le reste du bloc. Aucun warrant canary d'ExpressVPN n'a pu être trouvé et aucune déclaration primaire n'en nie l'existence ; P07 reste donc inconnu. P02/P03=none_known reposent sur la série de rapports de transparence et la position de la politique de confidentialité en matière de contentieux ; P11=none_known repose sur l'affirmation de la politique selon laquelle toutes les demandes passent par les tribunaux des BVI. P04=withdrew_physical correspond à la sortie d'Inde de juin 2022.
Ce qui n'est jamais publié. Le nombre d'abonnés (M08) et le nombre total de serveurs (U03) ne sont pas publiés. La propriété du matériel des serveurs (C08 : détenu ou loué) et les identifiants d'appareils au niveau de l'application (C12) n'ont pu être établis à partir d'aucune page vérifiée.
106 pays contre une affirmation de 113. U02_server_countries reflète les 105 pages d'atterrissage par pays du sitemap d'ExpressVPN lui-même, plus la Chine (confirmée comme « Available - Virtual Locations » sur la page /vpn-server en ligne, mais dépourvue de page d'atterrissage dédiée) — 106 codes au total, contre l'affirmation marketing du site de « 113 Countries » ; la page en ligne des emplacements de serveurs est un très grand tableau par protocole qui n'a pas été analysé de manière exhaustive, de sorte que l'écart entre 106 et 113 est signalé plutôt que résolu.
Un résultat d'audit entre deux catégories. V11_audit_findings est enregistré comme session_metadata plutôt que none_linkable ou aggregates_only : le rapport KPMG de 2025 décrit un enregistrement structuré par connexion (pays, FAI, date, protocole, volume de données, pseudonyme stable sous forme de hachage salé) qui dépasse le simple agrégat, mais ne contient ni adresse IP ni heure précise — un cas véritablement ambigu pour les quatre catégories intermédiaires de ce champ.
Non vérifié lors de ce passage. La question de savoir si la couverture d'ExpressVPN existe en dehors des sites affiliés (X08), son niveau de rémunération des affiliés (X10) et la question de savoir si les médias d'avis gérés par le propriétaire signalent le lien de propriété (X11) n'ont pas été vérifiées lors de ce passage.
P2P, recherché et absent. U12a_p2p_allowed reste inconnu pour une raison différente du reste : le sujet a été recherché et n'est pas publié. Ni le sitemap (578 URL de pages et d'assistance) ni les conditions d'utilisation ne mentionnent P2P, BitTorrent ou le partage de fichiers, tandis que chaque autre fournisseur catalogué indique sa position dans ses propres documents. Un article d'assistance ou une clause des conditions permettrait de le trancher ; un site d'avis affirmant que cela fonctionne ne le permettrait pas.
Sur la fiche dans son ensemble.
Express Technologies Ltd., constituée dans les Îles Vierges britanniques depuis 2009, appartient à Kape Technologies plc depuis l'acquisition de septembre 2021 (936 M$, selon la propre page « à propos » de Kape). L'architecture TrustedServer, limitée à la RAM, est auditée chaque année par KPMG (ISAE (UK) 3000 Type I, le plus récemment le 28 févr. 2025) depuis 2022 pour vérifier la conformité à la politique de confidentialité, ainsi que par PwC Switzerland (2019, TrustedServer) et Cure53 (2019, extensions de navigateur ; 2021, protocole Lightway, rendu open source).
Le rapport KPMG de 2025 a été lu directement (confiance A) : le serveur écrit un événement pseudonyme par connexion (date sans heure, nom d'utilisateur salé et haché, pays et FAI issus de GeoIP, volume de données, groupe d'emplacements, protocole), mais n'enregistre jamais l'adresse IP ni l'horodatage exact ; les versions compilées sont décrites comme reproductibles sur deux systèmes de compilation exploités indépendamment.
le reste de ce qui est ouvert — 392 mots de plus
En 2017, les autorités turques ont saisi un serveur ExpressVPN dans le cadre de l'enquête sur l'assassinat de l'ambassadeur russe Andrei Karlov et n'ont trouvé aucun journal exploitable (TorrentFreak, qui affiche un avis de sponsoring pour ExpressVPN — signalé, et non exclu, puisque les faits peuvent être vérifiés de manière externe et que la propre page de déclaration d'ExpressVPN renvoie depuis lors HTTP 410 sans instantané de Wayback Machine).
En septembre 2021, l'accord de poursuite différée du DOJ avec Daniel Gericke, Chief Information Officer d'ExpressVPN, concernant son rôle antérieur de 2016 à 2018 dans l'opération de piratage « Project Raven » des Émirats arabes unis est devenu public ; le document principal de l'accord lui-même ne nomme jamais ExpressVPN (il ne porte que sur son emploi antérieur aux Émirats arabes unis) — le lien avec ExpressVPN vient des déclarations d'ExpressVPN et de la presse. ExpressVPN a maintenu Gericke dans ses fonctions et publié une défense publique de cette décision.
C12 est resettable_ad_id dans le propre texte du fournisseur plutôt que dans une catégorie de boutique. Le paragraphe marketing de la politique de confidentialité indique qu'un Installation ID et un XV User ID sont toujours collectés et que les identifiants publicitaires — IDFA ou Android Advertising ID — sont ensuite collectés après consentement explicite, l'ensemble étant transmis à AppsFlyer ; le formulaire de sécurité des données de Play déclare indépendamment des identifiants d'appareil ou autres à des fins publicitaires ou marketing.
La demande de consentement et une mesure d'atténuation que personne d'autre ici ne propose — le trafic associé à AppsFlyer acheminé par un pool d'adresses IP ExpressVPN dédié afin que l'attribution ne puisse pas corréler par adresse IP — sont réelles et sont consignées ici, car le plancher évalue ce qui peut être conservé, pas la qualité de l'explication.
IntégritéA-t-il été pris à dire une chose et à en faire une autre ?16 champs lus · 5 laissés inconnus · 63,3 points de pression×0,367
Ce que ce canal a chiffré sur cette fiche :Monétisation 0.2Couverture achetée 0.1Gestion des incidents 0.2Rapport invraisemblable 0.15Historique du groupe propriétaire 0.25
Rapport de transparenceégalement lu par ignorance, silenceP05_transparency_report
fresh_with_numbers
Bexpressvpn.com
Calculé
×0,144 d'une fiche irréprochable complétude 84%
D'où vient la chute : Intégrité. C'est le canal où se concentre le risque de cette fiche — à lui seul, il ramène une fiche irréprochable à ×0,367, et sa barre ci-dessus est remplie jusque-là.
L'exposition est enregistrée comme medium et le statut d'intégrité comme clean.
Par rapport au reste du registre, cette fiche se situe le plus au-dessus sur Juridiction — ×1,000 là où le registre atteint en moyenne ×0,680 — et le plus en dessous sur Intégrité, ×0,367 contre ×0,658.
Chaque ligne ci-dessus est un champ de la fiche publiée, et chacune peut être contestée : chaque ligne porte Signaler, ou signaler quelque chose sur la fiche dans son ensemble. Une correction appuyée par une source est effectuée le jour même, et si elle fait bouger le score, elle fait bouger le rang.
