AirVPN vs ExpressVPN

AirVPN

このレコードでまだ未解決の点。

誰にも確認されていない保持。 独立監査が委託されたことは一度もない（V01=なし。これは、AirVPNによる一次的な否定ではなく、レビュアー間の合意と、AirVPNがそのような監査を発表していないことに基づく）ため、保持（C01）はプロバイダー自身のプライバシー通知だけに全面的に依拠しており、外部の第三者による確認を一度も受けていない。

透明性レポートもカナリアもない。 政府または法的要請に関する透明性レポートも、令状カナリアもairvpn.org上では見つけられなかった（P05、P07は不明）。このサイトは定期的な「mission」レポートを公開しているが、それらはNGOへの寄付を扱うものであり、法執行機関からの要請を扱うものではないため、P05の確認にはならない。

フォーラムスレッドが示すこと。 フォーラムスレッドでは、ユーザーがAirVPNに令状カナリアを繰り返し求めている一方、それが存在するとのスタッフからの確認はないことが示されている。これは示唆的ではあるが、一次的な否定ではないため、P07は「なし」ではなく不明のままである。

誰も公開していない件数。 したがって、要請件数とデータ引き渡し件数も不明であり（P08、P09）、総加入者数も開示されていない（M08は不明）。AirVPNが公開しているのは、同時接続中のユーザー数を示すライブカウンターだけであり、登録ユーザー数や加入者総数ではないため、ここでは沈黙や情報不足にも実質的な重みがある。

ExpressVPN

このレコードでまだ未解決の点。

ペンテストと、実施されていないもの。 ペンテストのフィールドは、LightwayプロトコルについてCure53が2024年10月から11月に実施したレビューによって裏付けられている。このレビューでは、未認証データ断片によるサービス拒否がHighと評価され、これに加えて軽微な項目が4件見つかった。ExpressVPNのTrust Centerにはこの種の取り組みが長期にわたって列挙されており、その実施頻度が実在することは確認できる。一方、KPMGによるログなしに関する取り組みとは別個の、サーバーフリートを対象としたインフラストラクチャのペンテストは含まれていない。

訂正された2つの価格。 価格ページでは現在、24～28か月のみの構成ではなく、1か月、12か月、2年という3つの別個の契約期間を販売している。これは2026年8月29日に読み取られた構成である。U04_price_monthly=14.99はBasicの1か月プランの価格で、同じ$14.99で自動更新される。U04b_price_yearly=59.85は、Basicの12か月プラン（12か月に3か月のボーナスを加えたものとして請求）の初回期間に実際に請求される金額である。その後は年額$99.95で自動更新されるが、以前のレコードではこの金額が年額フィールド自体として誤って保存されていた。

透明性レポート。 P05/P06/P08/P09は現在、Trust Center経由で確認できるExpressVPNの半年ごとの透明性レポート（2025年7月～12月：政府および法執行機関からの要請155件、開示0件、別途記載された令状3件）に基づいている。以前の調査では、その両方を見落としていた。

AirVPN

レコード全体について。

AirVPNはイタリアのペルージャで登録された個人事業（"AirVPN di Paolo Brini"）であり、イタリアの居住者へのサービス提供を明示的に拒否している（すべてのページのフッターおよびTerms of Service §1に記載）—実際上の効果として、自国の法域は自国の居住顧客のログを保持するよう強制できないが、これはより広範なログ保持義務の免除を示すエビデンスではない。

AirVPNの価格はEURのみで表示される（airvpn.org/buy/）：月額7.00 EUR、年額49 EUR（月額4.08 EUR）で、更新時も定額。U04_price_monthly（8.11）は月額7.00 EUR、U04b_price_yearly（56.74）は年額49 EURの合計であり、いずれも1.158 EUR/USDでUSDに換算した—同じ日付のMullvad自身の価格ページで公開されているレートで、そこでは5 EURが5.79 USDと表示されている—したがって確からしさはCであり、レートの第2の出典となる。複数年プランでは月額2.75 EURまで下がる。

注目すべき実務上のデータポイント：United States v. Klyushin（D. Mass.、事件番号61629108、文書#183および#217）の公開された米国連邦裁判所の記録（CourtListener/RECAP経由で発見）には、2020年1月〜2月にAirVPNのサーバーのIPを監視するため、法執行機関のペンレジスターがAirVPNではなくホスティング会社（DediPath）に直接設置されたことが示されている。AirVPNのスタッフはフォーラム上で回答し、同社は盗聴について知らされておらず関与もしていなかったこと、また装置はAirVPN自身のシステムの外部に設置する必要があったことを確認した。

ExpressVPN

レコード全体について。

Express Technologies Ltd.は2009年以降、英領ヴァージン諸島で設立されており、2021年9月の買収（$936M、Kape独自のabout-usページ）以降はKape Technologies plcが所有している。TrustedServerのRAMのみのアーキテクチャは、2022年以降、プライバシーポリシーへの準拠についてKPMGによる年次監査（ISAE (UK) 3000 Type I、直近は2025年2月28日）を受けており、加えてPwC Switzerland（2019年、TrustedServer）およびCure53（2019年、ブラウザー拡張機能、2021年、オープンソース化されたLightwayプロトコル）による監査も受けている。

2025年のKPMGレポートを直接確認した（確からしさA）。サーバーは接続ごとに1件の仮名イベント（日付、時刻なし、ソルト付き／ハッシュ化されたユーザー名、国＋ISPのGeoIP、データ量、ロケーショングループ、プロトコル）を書き込むが、IPアドレスや正確なタイムスタンプは決して記録しない。ビルドは、独立して運用される2つのビルドシステム間で再現可能だと説明されている。

2017年、トルコ当局はロシア大使Andrei Karlovの暗殺を捜査する中でExpressVPNのサーバーを押収したが、利用可能なログは見つからなかった（ExpressVPNのスポンサー表示があるTorrentFreak — 事実が外部から確認可能であり、ExpressVPN独自の声明ページはその後HTTP 410を返し、Wayback Machineのスナップショットもないため、注記はするが除外はしない）。