ExpressVPN vs Proton VPN

ExpressVPN

このレコードでまだ未解決の点。

ペンテストと、実施されていないもの。 ペンテストのフィールドは、LightwayプロトコルについてCure53が2024年10月から11月に実施したレビューによって裏付けられている。このレビューでは、未認証データ断片によるサービス拒否がHighと評価され、これに加えて軽微な項目が4件見つかった。ExpressVPNのTrust Centerにはこの種の取り組みが長期にわたって列挙されており、その実施頻度が実在することは確認できる。一方、KPMGによるログなしに関する取り組みとは別個の、サーバーフリートを対象としたインフラストラクチャのペンテストは含まれていない。

訂正された2つの価格。 価格ページでは現在、24～28か月のみの構成ではなく、1か月、12か月、2年という3つの別個の契約期間を販売している。これは2026年8月29日に読み取られた構成である。U04_price_monthly=14.99はBasicの1か月プランの価格で、同じ$14.99で自動更新される。U04b_price_yearly=59.85は、Basicの12か月プラン（12か月に3か月のボーナスを加えたものとして請求）の初回期間に実際に請求される金額である。その後は年額$99.95で自動更新されるが、以前のレコードではこの金額が年額フィールド自体として誤って保存されていた。

透明性レポート。 P05/P06/P08/P09は現在、Trust Center経由で確認できるExpressVPNの半年ごとの透明性レポート（2025年7月～12月：政府および法執行機関からの要請155件、開示0件、別途記載された令状3件）に基づいている。以前の調査では、その両方を見落としていた。

Proton VPN

このレコードでまだ未解決の点。

監査で実際に確認されたこと。 ノーログの判定は、強力であると同時に範囲が狭い。Securitumは2025年8月に本番サーバーを現地で検査しており、2022年以降、毎年実施している。

レポート自身が示す限界。 これは特定時点での確認であり、監督なしのフォレンジック調査ではなく、Protonのエンジニアが実演したシステムを対象とする案内付きレビューであり、全フリートではなく代表サンプルを対象としている。CI/CD、ソースコード、アカウント管理システムは明示的に対象外であるため、ここから請求側が保持するものについては何も分からない。

申し立てと、そこから確定しないこと。 2021年10月22日の申し立ては、明確に述べておく価値のある但し書き付きでここに出典として示されている。Federal Administrative Courtは、メールサービスは電気通信プロバイダーではないと判断しており、判決に関する報道にもProton自身の説明にも、VPNへの言及はない。

実際に2つのフィールドを確定させるもの。 C10とC11を確定させるのは、カタログ独自の国リストでスイスに義務の根拠がないことである。上訴はスイス当局がProtonをどのように扱うかを裏付けるが、それだけでProton VPNについての判定になるわけではない。姉妹サービスに関する判決は、出典が示すほど強い根拠ではない。

最大の未解決項目。 Protonは、ログ保持義務を課す8か国に出口ロケーションを提供している。実際にハードウェアがそのいずれかに設置されているかは確認されていない。Protonは2022年にインドから物理サーバーを撤去し、別の場所から提供するロケーションについてSmart Routingを文書化しているため、仮想であることが示唆されるが、これはインドについてのみ検証された。C09b_mandate_hostingの確認が、このレコードにおける最大の未解決項目である。

ExpressVPN

レコード全体について。

Express Technologies Ltd.は2009年以降、英領ヴァージン諸島で設立されており、2021年9月の買収（$936M、Kape独自のabout-usページ）以降はKape Technologies plcが所有している。TrustedServerのRAMのみのアーキテクチャは、2022年以降、プライバシーポリシーへの準拠についてKPMGによる年次監査（ISAE (UK) 3000 Type I、直近は2025年2月28日）を受けており、加えてPwC Switzerland（2019年、TrustedServer）およびCure53（2019年、ブラウザー拡張機能、2021年、オープンソース化されたLightwayプロトコル）による監査も受けている。

2025年のKPMGレポートを直接確認した（確からしさA）。サーバーは接続ごとに1件の仮名イベント（日付、時刻なし、ソルト付き／ハッシュ化されたユーザー名、国＋ISPのGeoIP、データ量、ロケーショングループ、プロトコル）を書き込むが、IPアドレスや正確なタイムスタンプは決して記録しない。ビルドは、独立して運用される2つのビルドシステム間で再現可能だと説明されている。

2017年、トルコ当局はロシア大使Andrei Karlovの暗殺を捜査する中でExpressVPNのサーバーを押収したが、利用可能なログは見つからなかった（ExpressVPNのスポンサー表示があるTorrentFreak — 事実が外部から確認可能であり、ExpressVPN独自の声明ページはその後HTTP 410を返し、Wayback Machineのスナップショットもないため、注記はするが除外はしない）。

Proton VPN

レコード全体について。

2021年の、将来に向けたログ保持を強制したスイスの命令は、VPNではなくProton Mailを対象としたものであり、意図的にP12から除外している。姉妹製品に対する命令についてVPNに責任を負わせることは、Proton AGについての事実であって、このサービスについての事実ではない。

U08がall_platformsなのは、サポート文書がWindows、macOS、Linux（GUIおよびCLI）、Android、iOSの有効化手順を示しており、アプリのあるすべてのプラットフォームを網羅しているためである。同じ文書は、値には含められずこの注記には含められる2つの制限も記載している。macOSではサーバー切り替え中に実IPアドレスが短時間露出する可能性があり、iOSではキルスイッチがオンの場合でも一部のAppleサービスのDNSリクエストがトンネルを迂回する可能性がある。

U04b_price_yearlyは、1年のVPN Plusプランにおける初回期間の料金を記録する。初回12か月は$53.88（$4.49/月）で、料金ページ上の独自の更新行「その後は12か月ごとに$83.88で更新」（$6.99/月）の横に記載されている。この更新料金はこのフィールドの値ではない。