ExpressVPN vs Mullvad VPN

Laporan transparansi. P05/P06/P08/P09 sekarang bersandar pada laporan transparansi dua kali setahun ExpressVPN (Jul–Des 2025: 155 permintaan pemerintah/penegak hukum, 0 pengungkapan, 3 surat perintah yang dicantumkan secara terpisah) yang diakses melalui Trust Center — peninjauan sebelumnya melewatkan keduanya.

Canary, dan bagian blok lainnya. Canary surat perintah ExpressVPN tidak dapat ditemukan dan tidak ada pernyataan utama yang menyangkal keberadaannya, jadi P07 tetap tidak diketahui. P02/P03=none_known bersandar pada rangkaian laporan transparansi dan sikap kebijakan privasi terhadap litigasi; P11=none_known bersandar pada pernyataan kebijakan bahwa semua tuntutan diproses melalui pengadilan BVI. P04=withdrew_physical adalah keluarnya penyedia dari India pada Juni 2022.

Yang tidak pernah dipublikasikan. Jumlah pelanggan (M08) dan jumlah total server (U03) tidak dipublikasikan. Kepemilikan perangkat keras server (C08: dimiliki vs disewa) dan pengenal perangkat tingkat aplikasi (C12) tidak dapat dipastikan dari halaman mana pun yang diperiksa.

106 negara dibandingkan dengan klaim 113. U02_server_countries mencerminkan 105 halaman landing negara dalam sitemap milik ExpressVPN sendiri ditambah China (dikonfirmasi sebagai 'Available - Virtual Locations' pada halaman /vpn-server aktif, tetapi tidak memiliki halaman landing khusus) — total 106 kode, dibandingkan dengan klaim pemasaran situs itu sendiri, '113 Countries'; halaman lokasi server aktif adalah tabel per protokol yang sangat besar dan tidak diuraikan secara menyeluruh, sehingga celah antara 106 dan 113 dilaporkan, bukan diselesaikan.

Temuan audit di antara dua kategori. V11_audit_findings dicatat sebagai session_metadata, bukan none_linkable atau aggregates_only: laporan KPMG 2025 menjelaskan catatan terstruktur per koneksi (negara, ISP, tanggal, protokol, volume data, pseudonim salted-hash yang stabil) yang lebih dari sekadar agregat murni tetapi tidak memiliki IP dan waktu yang tepat — kasus yang benar-benar ambigu untuk empat kategori tengah bidang ini.

Belum diperiksa pada putaran ini. Apakah cakupan ExpressVPN ada di luar situs afiliasi (X08), tingkatan pembayaran afiliasinya (X10), dan apakah media ulasan yang dijalankan pemilik menandai hubungan kepemilikan tersebut (X11) belum diperiksa pada putaran ini.

P2P, dicari dan tidak ada. U12a_p2p_allowed tetap tidak diketahui karena alasan yang berbeda dari yang lain: hal itu dicari dan tidak dipublikasikan. Baik sitemap (578 URL halaman dan dukungan) maupun ketentuan layanan tidak menyebut P2P, BitTorrent, atau berbagi berkas di mana pun, sementara setiap penyedia lain yang dikatalogkan menyatakan posisinya dalam dokumen mereka sendiri. Artikel dukungan atau klausul dalam ketentuan akan menutupnya; situs ulasan yang menyatakan bahwa layanan tersebut berfungsi tidak akan menutupnya.

Mengapa jumlahnya delapan. Jumlah audit adalah delapan karena tinjauan GotaTun berada di luar daftar milik repositori aplikasi itu sendiri. Sebelum keduanya, tinjauan X41 D-Sec selama 30 hari-orang di kelima platform menemukan enam kerentanan — tiga tinggi, dua sedang, satu rendah, tidak ada yang kritis.

Yang tidak dicakup oleh penugasan mana pun. Tidak satu pun dari penugasan ini mencakup armada server: semuanya memeriksa aplikasi atau protokol terowongan, sehingga cakupan armada dicatat sebagai tidak berlaku, bukan sebagai sampel. Oleh karena itu, klaim tanpa log di sisi infrastruktur bertumpu pada surat perintah penggeledahan April 2023 — polisi Swedia datang untuk mengambil data pelanggan dan pergi tanpa mendapatkannya — dan bukan pada audit apa pun.

Build yang dapat direproduksi, hanya Android. Build yang dapat direproduksi hanya tersedia untuk Android, mulai versi 2025.2, sehingga bidang tersebut tetap sebagian; build desktop dan iOS tidak dapat diverifikasi bit demi bit. Turki adalah satu-satunya negara mandat dalam daftar yang ditawarkan dan hosting yang mendasarinya tidak dipastikan.

Tidak ada yang dipublikasikan tentang tuntutan. Tidak ada dalam berkas ini yang bertumpu pada apa pun yang dipublikasikan penyedia tentang tuntutan yang diterimanya: tidak ada laporan transparansi dan tidak ada warrant canary, sehingga penyitaan April 2023 menjadi satu-satunya dasar tersebut. Cakupan kill switch dan kebijakan P2P belum dipastikan; audit terbaru adalah tinjauan kode protokol, bukan penugasan tanpa log, sehingga V11 tidak memberikan keterangan dan retensi bertumpu pada deklarasi.

Pada 2017, otoritas Turki menyita server ExpressVPN saat menyelidiki pembunuhan Duta Besar Rusia Andrei Karlov dan tidak menemukan log yang dapat digunakan (TorrentFreak, yang memuat pemberitahuan sponsorship untuk ExpressVPN — dicatat, bukan dikecualikan, karena faktanya dapat diperiksa dari luar dan halaman pernyataan milik ExpressVPN sendiri sejak itu mengembalikan HTTP 410 tanpa snapshot Wayback Machine).

Pada September 2021, Deferred Prosecution Agreement DOJ dengan Daniel Gericke, Chief Information Officer ExpressVPN, mengenai perannya sebelumnya pada 2016-2018 dalam operasi peretasan 'Project Raven' di UAE menjadi publik; dokumen DPA utama itu sendiri tidak pernah menyebut ExpressVPN (dokumen tersebut hanya mencakup pekerjaannya sebelumnya di UAE) — hubungan dengan ExpressVPN berasal dari pernyataan ExpressVPN sendiri dan pernyataan pers. ExpressVPN mempertahankan Gericke sebagai karyawan dan menerbitkan pembelaan publik atas keputusan tersebut.

C12 adalah resettable_ad_id dalam uraian penyedia sendiri, bukan dalam kategori toko. Paragraf pemasaran dalam kebijakan privasi menyatakan bahwa Installation ID dan XV User ID selalu dikumpulkan dan bahwa pengenal iklan — IDFA atau Android Advertising ID — dikumpulkan setelah persetujuan eksplisit, yang semuanya sampai ke AppsFlyer; formulir keamanan data Play secara independen menyatakan Device atau other IDs untuk periklanan atau pemasaran.

Gerbang persetujuan dan mitigasi yang tidak ditawarkan penyedia lain di sini — lalu lintas yang terikat ke AppsFlyer dirutekan melalui kumpulan IP ExpressVPN khusus sehingga atribusi tidak dapat mengorelasikannya berdasarkan IP — benar-benar ada dan dicatat di sini, karena batas bawah menilai apa yang dapat ditahan, bukan seberapa baik hal itu dijelaskan.