ExpressVPN vs IVPN

カナリアと、ブロックの残り。 ExpressVPNの令状カナリアは見つからず、これを否定する一次声明もなかったため、P07は不明のままである。P02/P03=none_knownは透明性レポートのシリーズとプライバシーポリシーの訴訟に関する立場に基づいている。P11=none_knownは、すべての要求がBVIの裁判所を通るという同ポリシーの記載に基づいている。P04=withdrew_physicalは2022年6月のインドからの撤退である。

公開されないもの。 加入者数（M08）とサーバー総数（U03）は公開されていない。サーバーハードウェアの所有形態（C08：所有かリースか）と、アプリレベルのデバイス識別子（C12）は、確認したどのページからも確認済みとはできなかった。

113か国という主張に対する106か国。 U02_server_countriesは、ExpressVPN独自のサイトマップにある105か国のランディングページに、中国（稼働中の/vpn-serverページで「Available - Virtual Locations」を確認済みだが、専用ランディングページはない）を加えたものを反映している — コードは合計106件で、サイト独自のマーケティング上の主張「113 Countries」と対比される。稼働中のサーバー所在地ページはプロトコル別の非常に大きな表で、網羅的には解析されていないため、106と113の差は解消せずに報告されている。

2つのカテゴリーの間にある監査所見。 V11_audit_findingsはnone_linkableでもaggregates_onlyでもなく、session_metadataとして記録されている。2025年のKPMGレポートは、接続ごとの構造化された記録（国、ISP、日付、プロトコル、データ量、安定したソルト付きハッシュの仮名）を説明しており、純粋な集計を超える一方、IPと正確な時刻を欠いている — このフィールドの4つの中間カテゴリーにとって、実際に曖昧なケースである。

今回の確認では未確認。 ExpressVPNのカバレッジがアフィリエイトサイト外にも存在するか（X08）、そのアフィリエイト報酬ティア（X10）、そしてオーナー運営のレビュー媒体が所有関係を明示しているか（X11）は、今回の確認では確認されていない。

P2P、確認を試みたが不在。 U12a_p2p_allowedは、他とは異なる理由で不明のままである。確認を試みたが、公開されていない。サイトマップ（578件のページおよびサポートURL）にも利用規約にも、P2P、BitTorrent、ファイル共有への言及は一切なく、一方で、記録対象となった他のすべてのプロバイダーは独自の文書で立場を示している。サポート記事または利用規約の条項があれば解消するが、利用できると述べるレビューサイトでは解消しない。

契約が対象としたもの。 アプリの侵入テスト（iOS、Android、Electron、デーモン）は2022年3月のもので、ゲートウェイ／サーバーOSのレビューは2023年2月のものである。どちらもログなしという主張自体を検証しておらず、2023年のレポートはそのことを明記している。そのため、保持はプライバシーポリシーの宣言だけを根拠としている。

最新のレポートは該当するものではない。 2024年4月のエンゲージメントは、IVPNに対するCure53の6回目のエンゲージメントであり、顧客アカウントのウェブサイト、API、ホスティングを検査した。Cure53自身のスコープページではクライアントアプリとVPNサーバーが対象外とされているため、アプリまたはゲートウェイのエビデンスを拡張するものではなく、V03_audit_subjectもその分を繰り越さずunknownと記録される。新しいメールおよびDNSサービスを対象とした7回目のエンゲージメントは、2025年5月に実施予定であると発表されただけであり、そのレポートは公開されていない。

一次サイトで確認できないこと。 RAMのみは、IVPNがテスト展開を進めている移行として説明しており、完了を発表していないため、部分的として記録される。サーバーハードウェアの所有（リースか所有か）、出口でのトラフィック変更、実質的所有者個人の法域は確認されていない。IVPNの一次ページにはこの3点のいずれを記載したものもなく、ユーザーベースの規模も記載されていない。

初回入力時に最初に読んだページではなく、ナレッジベースが回答する3つのフィールド。 IPの割り当ては設計上共有されている。「crowding」により、帰属を困難にするため、1つのアドレスにユーザーを集める。P2Pはどこでも許可されているが、IVPNは上流事業者からのDMCAの圧力を理由に、米国の出口を避けるよう顧客に求めている。ストリーミングの保証はないが、同社は多くの顧客が実際にアクセスできていると述べている。

2021年9月、ExpressVPNの最高情報責任者であるDaniel Gerickeについて、UAEの「Project Raven」ハッキング作戦での過去の2016〜2018年の役割をめぐる、米国司法省とDaniel GerickeのDeferred Prosecution Agreementが公開された。主要なDPA文書自体はExpressVPNの名前を一度も挙げていない（この文書が対象とするのは彼のそれ以前のUAEでの雇用だけである） — ExpressVPNとの関連は、ExpressVPN自身および報道機関の声明によるものである。ExpressVPNはGerickeの雇用を継続し、その判断を公に擁護した。

C12はストアのカテゴリではなく、プロバイダー自身の記述におけるresettable_ad_idである。プライバシーポリシーのマーケティング段落には、Installation IDとXV User IDが常に収集され、広告識別子（IDFAまたはAndroid Advertising ID）は明示的な同意に続いて収集され、そのすべてがAppsFlyerに送られると記載されている。Play data-safetyフォームも、広告またはマーケティング目的のDeviceまたはその他のIDを独立して明記している。

同意ゲートと、ここで他のどのプロバイダーも提供していない軽減策――AppsFlyerに送られるトラフィックを専用のExpressVPN IPプール経由でルーティングし、アトリビューションがIPによって相関付けられないようにする仕組み――は実在し、ここに記録されている。下限が価格を付けるのは、どれだけ適切に説明されているかではなく、保持可能な内容だからである。

U07_protocolsには選択肢全体が含まれている。Lightway UDPおよびTCPはvendor_openとして、WireGuard、OpenVPN UDP/TCP、IKEv2と並んでいる。LightwayはExpressVPN独自のプロトコルであり、そのソースは独立レビュー（Cure53、2021年および2024年）を受けた状態で公開されている。これはvendor_openが存在する理由となる区別である。proprietaryは、トランスポートが弱いかどうかを判定できないことに対して価格を付けるが、ここでは判定できる。

PPTPは、プロバイダー自身のプロトコルページによればExpressVPNアプリで廃止されており、L2TPとSSTPはそこで説明されているものの、提供されていない。