ExpressVPN vs Mullvad VPN

カナリアと、ブロックの残り。 ExpressVPNの令状カナリアは見つからず、これを否定する一次声明もなかったため、P07は不明のままである。P02/P03=none_knownは透明性レポートのシリーズとプライバシーポリシーの訴訟に関する立場に基づいている。P11=none_knownは、すべての要求がBVIの裁判所を通るという同ポリシーの記載に基づいている。P04=withdrew_physicalは2022年6月のインドからの撤退である。

公開されないもの。 加入者数（M08）とサーバー総数（U03）は公開されていない。サーバーハードウェアの所有形態（C08：所有かリースか）と、アプリレベルのデバイス識別子（C12）は、確認したどのページからも確認済みとはできなかった。

113か国という主張に対する106か国。 U02_server_countriesは、ExpressVPN独自のサイトマップにある105か国のランディングページに、中国（稼働中の/vpn-serverページで「Available - Virtual Locations」を確認済みだが、専用ランディングページはない）を加えたものを反映している — コードは合計106件で、サイト独自のマーケティング上の主張「113 Countries」と対比される。稼働中のサーバー所在地ページはプロトコル別の非常に大きな表で、網羅的には解析されていないため、106と113の差は解消せずに報告されている。

2つのカテゴリーの間にある監査所見。 V11_audit_findingsはnone_linkableでもaggregates_onlyでもなく、session_metadataとして記録されている。2025年のKPMGレポートは、接続ごとの構造化された記録（国、ISP、日付、プロトコル、データ量、安定したソルト付きハッシュの仮名）を説明しており、純粋な集計を超える一方、IPと正確な時刻を欠いている — このフィールドの4つの中間カテゴリーにとって、実際に曖昧なケースである。

今回の確認では未確認。 ExpressVPNのカバレッジがアフィリエイトサイト外にも存在するか（X08）、そのアフィリエイト報酬ティア（X10）、そしてオーナー運営のレビュー媒体が所有関係を明示しているか（X11）は、今回の確認では確認されていない。

P2P、確認を試みたが不在。 U12a_p2p_allowedは、他とは異なる理由で不明のままである。確認を試みたが、公開されていない。サイトマップ（578件のページおよびサポートURL）にも利用規約にも、P2P、BitTorrent、ファイル共有への言及は一切なく、一方で、記録対象となった他のすべてのプロバイダーは独自の文書で立場を示している。サポート記事または利用規約の条項があれば解消するが、利用できると述べるレビューサイトでは解消しない。

どの業務も対象にしていないもの。 これらの業務のいずれもサーバーフリートを対象にしていない。いずれもアプリまたはトンネルプロトコルを調査しているため、フリートの対象範囲はサンプルではなく、該当なしとして記録されている。したがって、インフラ側のノーログ主張は監査に基づくものではなく、2023年4月の捜索令状、すなわちスウェーデン警察が顧客データを求めて来たものの、それを持たずに立ち去ったことにのみ基づいている。

再現可能ビルドはAndroidのみ。 再現可能ビルドはバージョン2025.2以降のAndroidのみであるため、フィールドは部分的なままである。デスクトップ版とiOS版のビルドはビット単位では検証できない。Turkeyは提供リスト上で唯一の義務国であり、その背後のホスティングは確認されていない。

要求について公開されたものはない。 レコード上、プロバイダーが受け取る要求についてプロバイダー自身が公開する情報に基づくものは何もない。透明性レポートもwarrant canaryもないため、2023年4月の押収だけがその根拠を担っている。キルスイッチの対象範囲とP2Pポリシーは確認されていない。最新の監査はノーログ業務ではなくプロトコルのコードレビューであるため、V11は沈黙しており、保持は自己申告に依拠している。

2021年9月、ExpressVPNの最高情報責任者であるDaniel Gerickeについて、UAEの「Project Raven」ハッキング作戦での過去の2016〜2018年の役割をめぐる、米国司法省とDaniel GerickeのDeferred Prosecution Agreementが公開された。主要なDPA文書自体はExpressVPNの名前を一度も挙げていない（この文書が対象とするのは彼のそれ以前のUAEでの雇用だけである） — ExpressVPNとの関連は、ExpressVPN自身および報道機関の声明によるものである。ExpressVPNはGerickeの雇用を継続し、その判断を公に擁護した。

C12はストアのカテゴリではなく、プロバイダー自身の記述におけるresettable_ad_idである。プライバシーポリシーのマーケティング段落には、Installation IDとXV User IDが常に収集され、広告識別子（IDFAまたはAndroid Advertising ID）は明示的な同意に続いて収集され、そのすべてがAppsFlyerに送られると記載されている。Play data-safetyフォームも、広告またはマーケティング目的のDeviceまたはその他のIDを独立して明記している。

同意ゲートと、ここで他のどのプロバイダーも提供していない軽減策――AppsFlyerに送られるトラフィックを専用のExpressVPN IPプール経由でルーティングし、アトリビューションがIPによって相関付けられないようにする仕組み――は実在し、ここに記録されている。下限が価格を付けるのは、どれだけ適切に説明されているかではなく、保持可能な内容だからである。

U07_protocolsには選択肢全体が含まれている。Lightway UDPおよびTCPはvendor_openとして、WireGuard、OpenVPN UDP/TCP、IKEv2と並んでいる。LightwayはExpressVPN独自のプロトコルであり、そのソースは独立レビュー（Cure53、2021年および2024年）を受けた状態で公開されている。これはvendor_openが存在する理由となる区別である。proprietaryは、トランスポートが弱いかどうかを判定できないことに対して価格を付けるが、ここでは判定できる。

PPTPは、プロバイダー自身のプロトコルページによればExpressVPNアプリで廃止されており、L2TPとSSTPはそこで説明されているものの、提供されていない。