ExpressVPN vs Surfshark

2021年9月、ExpressVPNの最高情報責任者であるDaniel Gerickeについて、UAEの「Project Raven」ハッキング作戦での過去の2016〜2018年の役割をめぐる、米国司法省とDaniel GerickeのDeferred Prosecution Agreementが公開された。主要なDPA文書自体はExpressVPNの名前を一度も挙げていない（この文書が対象とするのは彼のそれ以前のUAEでの雇用だけである） — ExpressVPNとの関連は、ExpressVPN自身および報道機関の声明によるものである。ExpressVPNはGerickeの雇用を継続し、その判断を公に擁護した。

C12はストアのカテゴリではなく、プロバイダー自身の記述におけるresettable_ad_idである。プライバシーポリシーのマーケティング段落には、Installation IDとXV User IDが常に収集され、広告識別子（IDFAまたはAndroid Advertising ID）は明示的な同意に続いて収集され、そのすべてがAppsFlyerに送られると記載されている。Play data-safetyフォームも、広告またはマーケティング目的のDeviceまたはその他のIDを独立して明記している。

同意ゲートと、ここで他のどのプロバイダーも提供していない軽減策――AppsFlyerに送られるトラフィックを専用のExpressVPN IPプール経由でルーティングし、アトリビューションがIPによって相関付けられないようにする仕組み――は実在し、ここに記録されている。下限が価格を付けるのは、どれだけ適切に説明されているかではなく、保持可能な内容だからである。

U07_protocolsには選択肢全体が含まれている。Lightway UDPおよびTCPはvendor_openとして、WireGuard、OpenVPN UDP/TCP、IKEv2と並んでいる。LightwayはExpressVPN独自のプロトコルであり、そのソースは独立レビュー（Cure53、2021年および2024年）を受けた状態で公開されている。これはvendor_openが存在する理由となる区別である。proprietaryは、トランスポートが弱いかどうかを判定できないことに対して価格を付けるが、ここでは判定できる。

PPTPは、プロバイダー自身のプロトコルページによればExpressVPNアプリで廃止されており、L2TPとSSTPはそこで説明されているものの、提供されていない。

SurfsharkとNordVPNは同じ親会社（2022年以降はNord Security）を共有しているが、Surfshark自身の会社概要ページは、ブランドが別個のインフラで「独立して運営しながら」統合されたと記載している。この根拠によりM18は別個に設定され、nordvpn.comのレコードにも整合する。

U12aは、サーバー表自体のP2P列に基づくと「はい」ではなく部分的である。掲載された100か国のうち88か国に表示があり、12か国にはない（AU、CL、CO、HR、GR、IE、JP、MX、NZ、TW、TR、AE）。この列はクライアント側で描画されるため、すべての行にすべてのラベルが含まれる静的HTMLではなく、描画後の表から読み取った。

/transparency-reportにある透明性レポート（現在は/warrant-canaryからここへリダイレクトされる）は、2026年4月〜6月の四半期を表として掲載している。DMCA通知374,719件、政府機関からの照会33件、令状1件、国家安全保障書簡0件、秘密命令0件である。P08は法的要請34件を数え、DMCA通知は除外する。DMCA通知はトラフィックに関する著作権侵害の申し立てであり、ユーザーのデータに対する要請ではないためである。

同じページは、Surfsharkが令状カナリアを廃止し、四半期報告に移行すると記載している。そのためP07は「なし」ではなく削除となる。カナリアは存在しており、意図的に撤回されたためである。

U07_protocolsは、Surfshark自身の表現に基づき、Dausosについてproprietaryを持つ。そのプロトコルページはDausosを「Surfshark独自のプロトコル」と呼んでいるが、ソースを公開していない。この単一の値がC13_weakest_protocolと、それに続く衛生面の減点を設定する。Surfsharkが現在も文書化しているためIKEv2は保持するが、Surfshark自身のブログにはWindowsアプリから削除されたことが記録されている。Shadowsocksはサポートのインデックスから消えており、掲載されていない。

カナリアと、ブロックの残り。 ExpressVPNの令状カナリアは見つからず、これを否定する一次声明もなかったため、P07は不明のままである。P02/P03=none_knownは透明性レポートのシリーズとプライバシーポリシーの訴訟に関する立場に基づいている。P11=none_knownは、すべての要求がBVIの裁判所を通るという同ポリシーの記載に基づいている。P04=withdrew_physicalは2022年6月のインドからの撤退である。

公開されないもの。 加入者数（M08）とサーバー総数（U03）は公開されていない。サーバーハードウェアの所有形態（C08：所有かリースか）と、アプリレベルのデバイス識別子（C12）は、確認したどのページからも確認済みとはできなかった。

113か国という主張に対する106か国。 U02_server_countriesは、ExpressVPN独自のサイトマップにある105か国のランディングページに、中国（稼働中の/vpn-serverページで「Available - Virtual Locations」を確認済みだが、専用ランディングページはない）を加えたものを反映している — コードは合計106件で、サイト独自のマーケティング上の主張「113 Countries」と対比される。稼働中のサーバー所在地ページはプロトコル別の非常に大きな表で、網羅的には解析されていないため、106と113の差は解消せずに報告されている。

2つのカテゴリーの間にある監査所見。 V11_audit_findingsはnone_linkableでもaggregates_onlyでもなく、session_metadataとして記録されている。2025年のKPMGレポートは、接続ごとの構造化された記録（国、ISP、日付、プロトコル、データ量、安定したソルト付きハッシュの仮名）を説明しており、純粋な集計を超える一方、IPと正確な時刻を欠いている — このフィールドの4つの中間カテゴリーにとって、実際に曖昧なケースである。

今回の確認では未確認。 ExpressVPNのカバレッジがアフィリエイトサイト外にも存在するか（X08）、そのアフィリエイト報酬ティア（X10）、そしてオーナー運営のレビュー媒体が所有関係を明示しているか（X11）は、今回の確認では確認されていない。

P2P、確認を試みたが不在。 U12a_p2p_allowedは、他とは異なる理由で不明のままである。確認を試みたが、公開されていない。サイトマップ（578件のページおよびサポートURL）にも利用規約にも、P2P、BitTorrent、ファイル共有への言及は一切なく、一方で、記録対象となった他のすべてのプロバイダーは独自の文書で立場を示している。サポート記事または利用規約の条項があれば解消するが、利用できると述べるレビューサイトでは解消しない。

2件のレポートを発見、すべてとは限らない。 公開されているDeloitteのノーログレポートは2件（2022年12月、2025年6月）だけ見つかった。robots.txtからリンクされていない他のレポートが存在する可能性はあるが、この監査では別の手段による探索は行っていない。