ExpressVPN — análise de segurança por HushFleet

ExpressVPN foi avaliado pela equipa da HushFleet e colocado no escalão Não recomendada, com uma pontuação de segurança de 14/100 e uma pontuação de usabilidade de 70/100. Na classificação geral de segurança dos fornecedores de VPN, ocupa a posição 16 de 68. VPN comercial, jurisdição da empresa Ilhas Virgens Britânicas. Tem uma auditoria de segurança independente: o relatório completo está publicado, nível de prova A.

Metodologia: 3.7.0
Esquema: 3.7.0
Publicado: 8 de setembro de 2026
Atualizado: 14 de setembro de 2026

Especificação

Presente, nunca pontuado

7 campos figuram nesta ficha sem entrarem na pontuação, e o contrato di-lo no próprio campo: scored: false. Estão aqui porque quem lê e pergunta quem é o proprietário desta empresa, ou quem assinou a auditoria, está a perguntar algo a que a ficha responde — e porque um valor que nunca toca na aritmética deve estar visivelmente fora dela, em vez de misturado em silêncio.

Países com saída

Todos os países em que o fornecedor oferece uma localização de saída, contados a partir da sua própria página de servidores: 106. Não há aqui contagens de servidores por país nem um total de frota em qualquer parte do site — o contrato não traz nenhum dos dois, e um número que ninguém consegue justificar é pior do que a sua ausência. Os 7 países marcados mandato impõem retenção de dados; essa marca vem da própria tabela de países da metodologia, não do fornecedor.

Classe: VPN comercial Escalão: Não recomendada Jurisdição: Ilhas Virgens Britânicas Retenção: Metadados de sessão Protocolo: Um protocolo do fornecedor com código-fonte publicado Grupo proprietário: Kape Technologies

Pela equipa da HushFleet44 alterações registadas nesta ficha

O que mudou

Alternativas

Se este não for o indicado

Países oferecidos abrangidos por um mandato de retençãoC09_mandate_countries	Emirados Árabes Unidos Bielorrússia China Índia Cazaquistão Turquia Vietnã
País do proprietário efetivo finalM11_owner_jurisdiction	IM
Chave do cluster do grupo proprietárioM15_owner_group	Kape Technologies
Data em que o proprietário atual assumiu o controloM16_control_since	2021-09
Função desta marca dentro do grupoM17_brand_role	acquired_brand
Infraestrutura partilhada com os membros do clusterM18_shared_infrastructure	desconhecido
Total de auditorias publicadasV10_audit_count	5

De onde vem a pontuação de segurança

Oito canais, cada um colocando uma pergunta à ficha publicada e lendo um conjunto nomeado de campos para lhe responder. Multiplicam-se em vez de se somarem — o fator ao lado de um canal é o que resta depois da pressão que encontrou, e abra um canal para ver cada campo que leu, tal como está armazenado. Como funciona o modelo

Campos de segurança

67 55 deles alimentam um canal

Comprovados

57 9 ficaram desconhecido, 1 não aplicável

Completude

84% a parcela que o modelo conseguiu ponderar

Citações

91 em 32 documentos

Cada valor traz consigo aquilo em que se baseia, e o modelo pondera os quatro níveis de forma diferente. Peso, depois quantas citações desta ficha se situam nesse nível:

A pesa 1,00 · 15 aquiB pesa 0,85 · 64 aquiC pesa 0,70 · 11 aquiD pesa 0,35 · 1 aqui

Os pesos são os próprios do methodology.json; uma alegação vista no próprio artefacto conta mais do que a mesma alegação reportada em segunda mão. A data no final de uma linha é o dia em que esse valor foi lido pela última vez.

Um canal não cobra por cada campo que lê. Os que cobrou estão assinalados ao longo da margem e indicam o que acrescentaram; tudo o resto foi lido e não custou nada. Só um canal que se compõe campo a campo pode sequer assinalar um campo — os restantes cobram-se pelos parâmetros impressos acima das suas linhas.

Ainda em aberto nesta ficha.

O pentest, e aquele que não foi feito. O campo de pentest é sustentado pela análise da Cure53 ao protocolo Lightway, realizada em outubro-novembro de 2024, que encontrou uma negação de serviço por fragmento de dados não autenticado, classificada como Alta, juntamente com quatro itens de menor gravidade. O centro de confiança da ExpressVPN lista uma longa série de trabalhos deste tipo, pelo que a cadência é real; o que não contém é um pentest da infraestrutura da frota de servidores separado do trabalho da KPMG sobre ausência de registos.

Os dois preços, corrigidos. A página de preços vende agora três durações de plano separadas — 1 mês, 12 meses e 2 anos — em vez da estrutura exclusivamente de 24–28 meses lida em 29/08/2026. U04_price_monthly=14,99 é o plano Basic de 1 mês, renovado automaticamente pelo mesmo valor de 14,99 $. U04b_price_yearly=59,85 é o que o plano Basic de 12 meses (cobrado como 12 meses mais um bónus de 3 meses) cobra efetivamente pelo seu primeiro período; depois, é renovado automaticamente a 99,95 $/ano, o valor que a ficha anterior tinha armazenado por engano como o próprio campo anual.

o resto do que está em aberto — mais 446 palavras

O relatório de transparência. P05/P06/P08/P09 assentam agora no relatório de transparência semestral da ExpressVPN (jul.–dez. de 2025: 155 pedidos governamentais/de autoridades policiais, 0 divulgações, 3 mandados listados separadamente), acedido através do Trust Center — a análise anterior não encontrou nenhum dos dois.

O canário, e o resto do bloco. Não foi possível encontrar um canário de mandados da ExpressVPN e nenhuma declaração primária nega a sua existência, pelo que P07 permanece desconhecido. P02/P03=none_known assentam na série de transparência e na posição da política de privacidade sobre litígios; P11=none_known assenta na declaração da política de que todas as exigências passam pelos tribunais das BVI. P04=withdrew_physical é a saída da Índia em junho de 2022.

O que nunca é publicado. O número de subscritores (M08) e o número total de servidores (U03) não são publicados. A propriedade do hardware dos servidores (C08: próprio versus arrendado) e os identificadores de dispositivos ao nível da aplicação (C12) não puderam ser comprovados em nenhuma página consultada.

106 países contra uma alegação de 113. U02_server_countries reflete as 105 páginas de destino por país no próprio mapa do site da ExpressVPN, mais a China (confirmada como «Available - Virtual Locations» na página ativa /vpn-server, mas sem uma página de destino dedicada) — 106 códigos no total, contra a própria alegação de marketing do site de «113 Countries»; a página ativa de localizações de servidores é uma tabela muito extensa por protocolo que não foi analisada exaustivamente, pelo que a lacuna entre 106 e 113 é reportada, não resolvida.

Uma conclusão de auditoria entre duas categorias. V11_audit_findings é registado como session_metadata, em vez de none_linkable ou aggregates_only: o relatório da KPMG de 2025 descreve um registo estruturado por ligação (país, ISP, data, protocolo, volume de dados, um pseudónimo estável com hash salteado) que é mais do que um agregado puro, mas não contém IP nem hora precisa — um caso genuinamente ambíguo para as quatro categorias intermédias deste campo.

Não verificado nesta passagem. Não foram verificadas nesta passagem a existência da cobertura da ExpressVPN fora de sites afiliados (X08), o seu escalão de pagamento a afiliados (X10) e se os meios de análise geridos pelo proprietário assinalam a ligação de propriedade (X11).

P2P, procurado e ausente. U12a_p2p_allowed continua desconhecido por uma razão diferente da dos restantes: foi procurado e não está publicado. Nem o mapa do site (578 páginas e URLs de suporte) nem os termos de serviço mencionam P2P, BitTorrent ou partilha de ficheiros em qualquer parte, enquanto todos os outros fornecedores catalogados indicam a sua posição nos seus próprios documentos. Um artigo de suporte ou uma cláusula nos termos resolveria a questão; um site de análise que dissesse que funciona não resolveria.

Sobre a ficha como um todo.

Express Technologies Ltd., constituída nas Ilhas Virgens Britânicas desde 2009, propriedade da Kape Technologies plc desde a aquisição em setembro de 2021 (936 milhões de dólares, segundo a própria página sobre nós da Kape). A arquitetura TrustedServer exclusivamente em RAM foi auditada anualmente pela KPMG (ISAE (UK) 3000 Type I, mais recentemente em 28 de fevereiro de 2025) desde 2022 quanto à conformidade com a política de privacidade, além da PwC Switzerland (2019, TrustedServer) e da Cure53 (2019, extensões de navegador; 2021, protocolo Lightway, disponibilizado como código aberto).

O relatório da KPMG de 2025 foi lido diretamente (confiança A): o servidor escreve um evento pseudónimo por ligação (data sem hora, nome de utilizador com hash salteado, país+ISP GeoIP, volume de dados, grupo de localização, protocolo), mas nunca regista o endereço IP nem o carimbo temporal exato; as compilações são descritas como reproduzíveis em dois sistemas de compilação operados de forma independente.

o resto do que está em aberto — mais 379 palavras

Em 2017, as autoridades turcas apreenderam um servidor da ExpressVPN ao investigarem o assassinato do embaixador russo Andrei Karlov e não encontraram registos utilizáveis (TorrentFreak, que apresenta um aviso de patrocínio da ExpressVPN — assinalado, não excluído, uma vez que os factos podem ser verificados externamente e a própria página de declaração da ExpressVPN desde então devolveu HTTP 410 sem qualquer captura na Wayback Machine).

Em setembro de 2021, o Deferred Prosecution Agreement do DOJ com Daniel Gericke, Chief Information Officer da ExpressVPN, relativo ao seu anterior cargo, entre 2016 e 2018, na operação de pirataria informática «Project Raven» dos EAU tornou-se público; o documento principal do DPA nunca menciona a ExpressVPN (abrange apenas o seu emprego anterior nos EAU) — a ligação à ExpressVPN provém das declarações da própria ExpressVPN e da imprensa. A ExpressVPN manteve Gericke empregado e publicou uma defesa pública dessa decisão.

C12 é resettable_ad_id no texto do próprio fornecedor, e não numa categoria da loja. O parágrafo de marketing da política de privacidade declara que um Installation ID e um XV User ID são sempre recolhidos e que os identificadores de publicidade — IDFA ou Android Advertising ID — são enviados após consentimento explícito, sendo tudo isso enviado para AppsFlyer; o formulário de segurança dos dados do Play declara de forma independente Device ou outros IDs para publicidade ou marketing.

A barreira de consentimento e uma mitigação que nenhum outro fornecedor aqui oferece — o tráfego destinado à AppsFlyer encaminhado através de um conjunto dedicado de IPs da ExpressVPN, para que a atribuição não possa fazer correlações por IP — são reais e estão registados aqui, porque a barreira avalia o que pode ser retido, não quão bem é explicado.

IntegridadeJá foi apanhado a dizer uma coisa e fazer outra?16 campos lidos · 5 ficaram desconhecidos · 63,3 pontos de pressão×0,367

O que este canal cobrou nesta ficha:Monetização 0.2Cobertura comprada 0.1Tratamento de incidentes 0.2Relatório implausível 0.15Histórico do grupo proprietário 0.25

Escala da base de utilizadores (massivo >=10M, médio >=1M, nicho <1M)também lido por silêncioM08_user_scale

desconhecido

nada publicado · registado como asserted

Reportar um problema com M08_user_scale

Outros negócios do grupo proprietárioM10_owner_other_business

antivirusreview_directoryadtech_adware

Cen.wikipedia.org27 de ago. de 2026

Reportar um problema com M10_owner_other_business

Relatório de transparênciatambém lido por desconhecimento, silêncioP05_transparency_report

fresh_with_numbers

Bexpressvpn.com

Calculado

×0,144 de uma ficha limpa completude 84%

De onde vem a queda: Integridade. É o canal em que o risco desta ficha se concentra — por si só, leva uma ficha limpa a ×0,367, e a barra acima está preenchida até esse ponto.

A exposição está registada como medium e o estado de integridade como clean.

Face ao resto do registo, esta ficha situa-se mais acima em Jurisdição — ×1,000 quando o registo tem uma média de ×0,680 — e mais abaixo em Integridade, ×0,367 contra ×0,658.

Pontuação publicada

Cada linha acima é um campo da ficha publicada, e todas podem ser contestadas: cada linha traz Reportar, ou levantar uma questão sobre a ficha como um todo. Uma correção com uma fonte por trás é feita no próprio dia, e se alterar a pontuação, altera a posição.

vendor_open

proprietary

Classe de serviço	VPN comercial — a segurança lidera
Pontuação de segurança	14 de 100 · Não recomendada
Pontuação de usabilidade	70 de 100 · estado conhecido · 92% comprovado · 94,1% do peso lido
Entidade legal	Express Technologies Ltd.
Jurisdição	Ilhas Virgens Britânicas
Proprietário final	Teddy Sagi, via Unikmind Holdings Limited (Isle of Man), sole shareholder of Kape Technologies plc since the May 2023 delisting; Kape owns ExpressVPN through Express Technologies Ltd.
Exposição	Médio · canal dominante: integridade
Retenção	Metadados de sessão
Auditoria mais recente	KPMG LLP · 28 de fev. de 2025 · Uma série anual · Sim, e o relatório foi lido
Países com saídas	106
Protocolos	Um protocolo do fornecedor com código-fonte publicado WireGuard OpenVPN IKEv2
Funciona sob censura ativa	Alegado funcionar
Protocolo mais fraco ainda oferecido	não aplicável
DNS próprio dentro do túnel	Sim, com base na palavra do fornecedor
Plataformas	Windows Android iOS macOS Linux Routers Android TV Extensão de navegador Apple TV Fire TV
Dispositivos em simultâneo	10
Interruptor de emergência	Em todas as plataformas
Divisão de túnel	Disponível
Inscrição	Apenas um endereço de correio eletrónico
Plano gratuito	Nenhum escalão gratuito
P2P permitido	desconhecido
Principais serviços de streaming acessíveis	Acessíveis
Preço, mensal	$14.99 por mês
Preço, anual	$59.85 por ano na renovação, faturado uma vez

Especificação

Presente, nunca pontuado

Países com saída

O que mudou

Se este não for o indicado

Comparado com

ExpressVPN

De onde vem a pontuação de segurança

Proton VPN

Mullvad VPN

IVPN