ExpressVPN został oceniony przez zespół HushFleet i umieszczony w przedziale Niepolecane, z wynikiem bezpieczeństwa 14/100 i wynikiem użyteczności 70/100. W ogólnym rankingu bezpieczeństwa dostawców VPN zajmuje 16 miejsce z 68. Komercyjna VPN, jurysdykcja firmy: Brytyjskie Wyspy Dziewicze. Ma niezależny audyt bezpieczeństwa: opublikowano pełny raport, poziom dowodu A.

Metodologia: 3.7.0
Schemat: 3.7.0
Opublikowano: 8 września 2026
Zaktualizowano: 14 września 2026

Specyfikacja

Przenoszone, nigdy nie wyceniane

7 pól znajduje się w tym rekordzie bez wpływu na wynik, a kontrakt mówi o tym wprost w samym polu: scored: false. Są tutaj, bo czytelnik pytający, kto jest właścicielem tej firmy albo kto podpisał audyt, pyta o coś, na co rekord odpowiada — a wartość, która nigdy nie dotyka działania arytmetycznego, powinna być widocznie poza nim, a nie po cichu wmieszana.

Kraje z węzłem wyjściowym

Każdy kraj, w którym dostawca oferuje lokalizację wyjściową, policzony z jego własnej strony serwerów: 106. Nie ma tu liczby serwerów w rozbiciu na kraje ani sumy floty nigdzie na stronie — kontrakt nie zawiera żadnego z tych danych, a liczba, której nikt nie może potwierdzić źródłem, jest gorsza niż jej brak. Kraje 7 oznaczone jako obowiązek nakładają retencję danych; to oznaczenie pochodzi z własnej tabeli krajów metodologii, nie od dostawcy.

Klasa: Komercyjna VPN Przedział: Niepolecane Jurysdykcja: Brytyjskie Wyspy Dziewicze Retencja: Metadane sesji Protokół: Protokół dostawcy z opublikowanym kodem źródłowym Grupa właścicielska: Kape Technologies

Autor: zespół HushFleet44 zmiany zarejestrowane w tym rekordzie

Co się zmieniło

Alternatywy

Jeśli ten nie jest odpowiedni

ExpressVPN — recenzja bezpieczeństwa od HushFleet

Klasa usługi	Komercyjna VPN — prowadzi bezpieczeństwo
Wynik bezpieczeństwa	14 na 100 · Niepolecane
Wynik użyteczności	70 na 100 · stan znane · potwierdzone: 92% · odczytano 94,1% wagi
Podmiot prawny	Express Technologies Ltd.
Jurysdykcja	Brytyjskie Wyspy Dziewicze
Właściciel ostateczny	Teddy Sagi, via Unikmind Holdings Limited (Isle of Man), sole shareholder of Kape Technologies plc since the May 2023 delisting; Kape owns ExpressVPN through Express Technologies Ltd.
Ekspozycja	Średni · kanał dominujący: integralność
Retencja	Metadane sesji
Najnowszy audyt	KPMG LLP · 28 lut 2025 · Seria roczna · Tak, a raport przeczytano
Kraje z węzłami wyjściowymi	106
Protokoły	Protokół dostawcy z opublikowanym kodem źródłowym WireGuard OpenVPN IKEv2
Działa pod aktywną cenzurą	Deklarowane jako działające
Najsłabszy wciąż oferowany protokół	nie dotyczy
Własny DNS wewnątrz tunelu	Tak, na słowo dostawcy
Platformy	Windows Android iOS macOS Linux Routery Android TV Rozszerzenie przeglądarki Apple TV Fire TV
Jednoczesne urządzenia	10
Wyłącznik awaryjny	Na każdej platformie
Tunelowanie dzielone	Dostępne
Rejestracja	Tylko adres e-mail
Wersja darmowa	Brak bezpłatnego poziomu usługi
P2P dozwolone	nieznane
Dostęp do głównych serwisów streamingowych	Dostępne
Cena, miesięcznie	$14.99 miesięcznie
Cena, rocznie	$59.85 rocznie przy odnowieniu, płatne jednorazowo

Oferowane kraje objęte obowiązkiem retencyjnymC09_mandate_countries	Zjednoczone Emiraty Arabskie Białoruś Chiny Indie Kazachstan Turcja Wietnam
Kraj ostatecznego beneficjenta rzeczywistegoM11_owner_jurisdiction	IM
Klucz klastra grupy właścicielskiejM15_owner_group	Kape Technologies
Data przejęcia kontroli przez obecnego właścicielaM16_control_since	2021-09
Rola tej marki w grupieM17_brand_role	acquired_brand
Infrastruktura współdzielona z innymi podmiotami klastraM18_shared_infrastructure	nieznane
Łączna liczba opublikowanych audytówV10_audit_count	5

Skąd bierze się wynik bezpieczeństwa

Osiem kanałów, z których każdy zadaje opublikowanemu rekordowi jedno pytanie i odczytuje nazwany zestaw pól, by na nie odpowiedzieć. Mnożą się, a nie sumują — czynnik obok kanału to to, co zostało po napięciu, jakie ten kanał znalazł; otwórz kanał, by zobaczyć każde odczytane pole, dokładnie tak, jak jest zapisane. Jak działa model

Pola bezpieczeństwa

67 55 z nich zasila jakiś kanał

Potwierdzone

57 9 pozostawiono jako unknown, 1 nie dotyczy

Kompletność

84% udział, jaki model mógł uwzględnić

Cytowania

91 w 32 dokumentach

Każda wartość niesie ze sobą to, na czym się opiera, a model waży cztery poziomy różnie. Waga, a potem liczba cytowań tego rekordu na danym poziomie:

A waga 1,00 · 15 tutajB waga 0,85 · 64 tutajC waga 0,70 · 11 tutajD waga 0,35 · 1 tutaj

Wagi pochodzą wprost z methodology.json; twierdzenie widoczne w samym artefakcie liczy się bardziej niż to samo twierdzenie zgłoszone z drugiej ręki. Data na końcu wiersza to dzień, w którym dana wartość została ostatnio odczytana.

Kanał nie wycenia każdego pola, które odczytuje. Te, które wycenił, są oznaczone wzdłuż krawędzi i niosą to, co dodały; wszystko inne zostało odczytane i nic nie kosztowało. Tylko kanał, który składa się pole po polu, może w ogóle oznaczyć pole — pozostałe wyceniają się same, na podstawie parametrów wydrukowanych nad ich wierszami.

Wciąż otwarte w tym rekordzie.

Pentest i ten, którego nie przeprowadzono. Pole pentestu opiera się na przeglądzie protokołu Lightway przeprowadzonym przez Cure53 w październiku i listopadzie 2024 r., który wykazał odmowę usługi przez fragment danych bez uwierzytelnienia, ocenioną jako High, oraz cztery mniej istotne problemy. Centrum zaufania ExpressVPN wymienia długą serię takich prac, więc regularność jest potwierdzona; nie zawiera jednak pentestu infrastruktury floty serwerów, odrębnego od prac KPMG dotyczących braku logów.

Dwie ceny, skorygowane. Strona cenowa sprzedaje teraz trzy odrębne długości planów — 1 miesiąc, 12 miesięcy i 2 lata — zamiast struktury wyłącznie 24–28-miesięcznej odczytanej 29.08.2026. U04_price_monthly=14.99 to plan Basic na 1 miesiąc, odnawiany automatycznie za tę samą kwotę 14,99 USD. U04b_price_yearly=59.85 to faktyczna opłata za pierwszy okres planu Basic na 12 miesięcy (rozliczanego jako 12 miesięcy plus 3-miesięczny bonus); później odnawia się on automatycznie za 99,95 USD/rok — tę wartość poprzedni rekord omyłkowo zapisał jako samą wartość pola rocznego.

reszta tego, co otwarte — jeszcze 380 słów

Raport przejrzystości. P05/P06/P08/P09 opierają się teraz na półrocznym raporcie przejrzystości ExpressVPN (lip.–gru. 2025: 155 wniosków rządowych i organów ścigania, 0 ujawnień, 3 nakazy wymienione osobno), dostępnym przez Trust Center — wcześniejszy przebieg nie uwzględnił żadnego z tych dwóch elementów.

Canary i reszta bloku. Nie znaleziono canary dotyczącego nakazów ExpressVPN i nie znaleziono żadnego pierwotnego oświadczenia, które by mu zaprzeczało, więc P07 pozostaje nieznane. P02/P03=none_known opierają się na serii raportów przejrzystości i stanowisku dotyczącym postępowań sądowych zawartym w polityce prywatności; P11=none_known — na oświadczeniu w tej polityce, że wszystkie żądania przechodzą przez sądy BVI. P04=withdrew_physical oznacza wycofanie się z Indii w czerwcu 2022 r.

Co nigdy nie jest publikowane. Liczba subskrybentów (M08) i łączna liczba serwerów (U03) nie są publikowane. Nie udało się potwierdzić na podstawie żadnej sprawdzonej strony, kto jest właścicielem sprzętu serwerowego (C08: własny czy dzierżawiony) ani jakie są identyfikatory urządzeń na poziomie aplikacji (C12).

106 krajów wobec deklarowanych 113. U02_server_countries odzwierciedla 105 stron docelowych krajów w sitemapie ExpressVPN oraz Chiny (potwierdzone jako „Available - Virtual Locations” na aktywnej stronie /vpn-server, ale bez odrębnej strony docelowej) — łącznie 106 kodów wobec własnej deklaracji marketingowej serwisu „113 Countries”; aktywna strona lokalizacji serwerów to bardzo duża tabela według protokołów, której nie przeanalizowano wyczerpująco, więc luka między 106 a 113 jest zaraportowana, a nie wyjaśniona.

Ustalenie audytu między dwiema kategoriami. V11_audit_findings zapisano jako session_metadata, a nie none_linkable ani aggregates_only: raport KPMG z 2025 r. opisuje ustrukturyzowany rekord dla każdego połączenia (kraj, ISP, data, protokół, ilość danych, stabilny pseudonim będący solonym hashem), który wykracza poza czystą agregację, ale nie zawiera adresu IP ani dokładnego czasu — jest to rzeczywiście niejednoznaczny przypadek dla czterech środkowych kategorii tego pola.

Nie sprawdzono w tej rundzie. Nie sprawdzono w tej rundzie, czy zasięg ExpressVPN istnieje poza stronami afiliacyjnymi (X08), jaki jest poziom wypłat afiliacyjnych (X10) ani czy media z recenzjami prowadzone przez właściciela sygnalizują powiązanie właścicielskie (X11).

P2P, poszukiwane i nieobecne. U12a_p2p_allowed pozostaje nieznane z innego powodu niż pozostałe pola: poszukiwano tej informacji, ale nie jest opublikowana. Ani sitemap (578 adresów URL stron i wsparcia), ani warunki świadczenia usługi nie wspominają nigdzie o P2P, BitTorrent ani udostępnianiu plików, podczas gdy każdy inny skatalogowany dostawca określa swoje stanowisko we własnych dokumentach. Artykuł wsparcia lub klauzula w warunkach zamknęłyby tę lukę; stwierdzenie serwisu z recenzjami, że usługa działa, nie.

O rekordzie jako całości.

Express Technologies Ltd., zarejestrowana na Brytyjskich Wyspach Dziewiczych od 2009 r., od przejęcia we wrześniu 2021 r. jest własnością Kape Technologies plc (936 mln USD, własna strona Kape o firmie). Architektura TrustedServer, wykorzystująca wyłącznie pamięć RAM, jest od 2022 r. corocznie audytowana przez KPMG (ISAE (UK) 3000 Type I, ostatnio 28 lutego 2025 r.) pod kątem zgodności z polityką prywatności, a ponadto była audytowana przez PwC Switzerland (2019, TrustedServer) i Cure53 (2019, rozszerzenia przeglądarek; 2021, protokół Lightway, udostępniony jako open source).

Raport KPMG z 2025 r. odczytano bezpośrednio (wiarygodność A): serwer zapisuje jedno pseudonimowe zdarzenie dla każdego połączenia (datę bez godziny, soloną i zahashowaną nazwę użytkownika, kraj i ISP ustalone przez GeoIP, ilość danych, grupę lokalizacji, protokół), ale nigdy nie rejestruje adresu IP ani dokładnego znacznika czasu; kompilacje opisano jako możliwe do odtworzenia w dwóch niezależnie obsługiwanych systemach kompilacji.

reszta tego, co otwarte — jeszcze 338 słów

W 2017 r. władze tureckie zajęły serwer ExpressVPN podczas śledztwa w sprawie zabójstwa rosyjskiego ambasadora Andrieja Karłowa i nie znalazły żadnych użytecznych logów (TorrentFreak, który zawiera informację o sponsorowaniu przez ExpressVPN — odnotowane, a nie wykluczone, ponieważ fakty można zewnętrznie sprawdzić, a własna strona z oświadczeniem ExpressVPN od tego czasu zwraca HTTP 410 i nie ma jej migawki w Wayback Machine).

We wrześniu 2021 r. upubliczniono zawartą przez DOJ umowę Deferred Prosecution Agreement z Danielem Gerickiem, dyrektorem ds. informacji w ExpressVPN, dotyczącą jego wcześniejszej roli w latach 2016–2018 w hakerskiej operacji „Project Raven” w ZEA; sam główny dokument DPA nigdy nie wymienia ExpressVPN (dotyczy wyłącznie jego wcześniejszego zatrudnienia w ZEA) — powiązanie z ExpressVPN wynika z własnych oświadczeń ExpressVPN i doniesień prasowych. ExpressVPN pozostawił Gerickego w zatrudnieniu i opublikował publiczną obronę tej decyzji.

C12 to resettable_ad_id na podstawie własnego opisu dostawcy, a nie kategorii sklepu. W akapicie dotyczącym marketingu w polityce prywatności stwierdzono, że Installation ID i XV User ID są zawsze zbierane, a identyfikatory reklamowe — IDFA lub Android Advertising ID — są przekazywane po uzyskaniu wyraźnej zgody; całość trafia do AppsFlyer. Formularz bezpieczeństwa danych w Google Play niezależnie deklaruje wykorzystywanie identyfikatorów urządzenia lub innych identyfikatorów do celów reklamowych lub marketingowych.

Mechanizm zgody oraz środek zaradczy, którego nie oferuje tu nikt inny — ruch kierowany do AppsFlyer przez dedykowaną pulę adresów IP ExpressVPN, dzięki czemu atrybucja nie może korelować na podstawie adresu IP — są rzeczywiste i zostały tu odnotowane, ponieważ dolna granica ocenia to, co można utrzymać, a nie to, jak dobrze zostało to wyjaśnione.

IntegralnośćCzy przyłapano go na mówieniu jednego i robieniu czegoś innego?odczytano 16 pól · 5 pozostawionych jako nieznane · 63,3 punktów nacisku×0,367

Co ten kanał wycenił w tym rekordzie:Monetyzacja 0.2Kupione publikacje 0.1Obsługa incydentów 0.2Nieprawdopodobny raport 0.15Historia grupy właścicielskiej 0.25

Skala bazy użytkowników (masowa >=10 mln, średnia >=1 mln, niszowa <1 mln)odczytywane też przez milczenieM08_user_scale

nieznane

nic nie opublikowano · zapisane jako asserted

Zgłoś problem z polem M08_user_scale

Inne firmy grupy właścicielskiejM10_owner_other_business

antivirusreview_directoryadtech_adware

Cen.wikipedia.org27 sie 2026

Zgłoś problem z polem M10_owner_other_business

Raport przejrzystościodczytywane też przez niewiedza, milczenieP05_transparency_report

fresh_with_numbers

Bexpressvpn.com

Obliczone

×0,144 czystego rekordu kompletność 84%

Skąd bierze się spadek: Integralność. To kanał, w którym koncentruje się ryzyko tego rekordu — sam w sobie sprowadza czysty rekord do ×0,367, a pasek powyżej jest wypełniony właśnie do tego poziomu.

Ekspozycja jest zapisana jako medium, a status integralności jako clean.

Na tle reszty rejestru ten rekord wyróżnia się najbardziej na plus w kanale Jurysdykcja — ×1,000 przy średniej rejestru ×0,680 — i najbardziej na minus w kanale Integralność, ×0,367 wobec ×0,658.

Opublikowany wynik

Każdy wiersz powyżej to jedno pole opublikowanego rekordu, i każde z nich można zakwestionować: każdy wiersz niesie przycisk Zgłoś, albo zgłoś coś dotyczącego rekordu jako całości. Korekta poparta źródłem jest wprowadzana tego samego dnia, a jeśli zmienia wynik, zmienia też pozycję w rankingu.

nie ma w rekordzie

wireguard

34 wcześniejsze zmiany

29 sie 202618 zmian

Nakaz sądowy dotyczący przymusowego przekazaniaP03_court_record

nie ma w rekordzie zmieniono na none_known

Odpowiedź na krajowy obowiązek retencyjnyP04_mandate_response

nie ma w rekordzie zmieniono na withdrew_physical

Raport przejrzystościP05_transparency_report

nie ma w rekordzie zmieniono na fresh_with_numbers

Zgłoszone liczby wiarygodne dla tej skaliP06_report_plausibility

nie ma w rekordzie zmieniono na plausible

Żądania otrzymane w okresieP08_requests_received

nie ma w rekordzie zmieniono na 155

Żądania, w przypadku których przekazano daneP09_data_provided

nie ma w rekordzie zmieniono na 0

Reżim tajnych nakazów w kraju rejestracjiP11_gag_order_regime

nie ma w rekordzie zmieniono na none_known

Miesięczna cena w USD, plan miesięczny, zgodnie z naliczeniemU04_price_monthly

nie ma w rekordzie zmieniono na 14.99

Cena planu rocznego w USD, pierwszy okres, zgodnie z naliczeniemU04b_price_yearly

nie ma w rekordzie zmieniono na 8.33

Wynik użytecznościusability.score

77 zmieniono na 70

Cena planu rocznego w USD, pierwszy okres, zgodnie z naliczeniemU04b_price_yearly

8.33 zmieniono na 99.95

Najsłabszy nadal oferowany protokółC13_weakest_protocol

wireguard zmieniono na nie ma w rekordzie

Oferowane protokołyU07_protocols

wireguard zmieniono na nie ma w rekordzie

Wynik użytecznościusability.score

70 zmieniono na 67

Najsłabszy nadal oferowany protokółC13_weakest_protocol

nie ma w rekordzie zmieniono na wireguard

Oferowane protokołyU07_protocols

nie ma w rekordzie zmieniono na wireguard, openvpn, ikev2

Wynik użytecznościusability.score

67 zmieniono na 70

Oferowane protokołyU07_protocols

wireguard, openvpn, ikev2 zmieniono na vendor_open, wireguard, openvpn, ikev2

28 sie 202616 zmian

Wynik użytecznościusability.score

84 zmieniono na 83

Dlaczego ten dostawca jest w kataloguM14_inclusion_basis

market_incumbent, adverse_record zmieniono na hand_picked, adverse_record

Wynik bezpieczeństwasecurity.score

15 zmieniono na 14

Werdykt bezpieczeństwasecurity.verdict

insufficient zmieniono na not_recommended

Siła opinii poświadczającejV15_assurance_strength

nie ma w rekordzie zmieniono na reasonable

Wynik bezpieczeństwasecurity.score

14 zmieniono na 15

Werdykt bezpieczeństwasecurity.verdict

not_recommended zmieniono na insufficient

Wynik bezpieczeństwasecurity.score

15

14

Specyfikacja

Przenoszone, nigdy nie wyceniane

Kraje z węzłem wyjściowym

Co się zmieniło

Jeśli ten nie jest odpowiedni

Porównanie z

ExpressVPN

Skąd bierze się wynik bezpieczeństwa

Proton VPN

Mullvad VPN

IVPN