ExpressVPN đã được đội ngũ HushFleet đánh giá và xếp vào dải Không khuyến nghị, với điểm bảo mật 14/100 và điểm tiện dụng 70/100. Trong bảng xếp hạng bảo mật tổng thể của các nhà cung cấp VPN, nó đứng hạng 16 trên 68. VPN thương mại, khu vực pháp lý của công ty Quần đảo Virgin thuộc Anh. Nó có một cuộc kiểm toán bảo mật độc lập: toàn bộ báo cáo đã được công bố, cấp độ bằng chứng A.

Phương pháp luận: 3.7.0
Lược đồ: 3.7.0
Công bố: 8 tháng 9, 2026
Cập nhật: 14 tháng 9, 2026

Thông số kỹ thuật

Được ghi nhận, không bao giờ tính điểm

7 trường có mặt trên hồ sơ này mà không đi vào điểm số, và chính hợp đồng dữ liệu nêu rõ điều đó trong trường: scored: false. Chúng có mặt ở đây vì một người đọc hỏi ai sở hữu công ty này, hoặc ai đã ký cuộc kiểm toán, đang hỏi điều mà hồ sơ trả lời được — và vì một giá trị không bao giờ chạm vào phép tính nên được đặt rõ ràng bên ngoài nó thay vì lặng lẽ trộn lẫn vào.

Quốc gia có điểm thoát

Mọi quốc gia mà nhà cung cấp cung cấp một điểm thoát, được đếm từ chính trang máy chủ của nó: 106. Không có số lượng máy chủ theo từng quốc gia ở đây và không có tổng số máy chủ toàn hệ thống ở bất kỳ đâu trên trang — hợp đồng dữ liệu không mang theo cả hai, và một con số không ai có thể xác định nguồn còn tệ hơn một con số vắng mặt. Các quốc gia 7 được đánh dấu bắt buộc áp đặt nghĩa vụ lưu giữ dữ liệu; dấu đó đến từ chính bảng quốc gia của phương pháp luận, không phải từ nhà cung cấp.

Loại: VPN thương mại Dải: Không khuyến nghị Khu vực pháp lý: Quần đảo Virgin thuộc Anh Lưu giữ dữ liệu: Siêu dữ liệu phiên Giao thức: Giao thức của nhà cung cấp có mã nguồn đã công bố Nhóm sở hữu: Kape Technologies

Bởi đội ngũ HushFleet44 thay đổi được ghi nhận trên hồ sơ này

Những gì đã thay đổi

Lựa chọn thay thế

Nếu đây không phải lựa chọn phù hợp

ExpressVPN — đánh giá bảo mật bởi HushFleet

Các quốc gia được cung cấp chịu nghĩa vụ lưu giữ dữ liệuC09_mandate_countries	Các Tiểu Vương quốc Ả Rập Thống nhất Belarus Trung Quốc Ấn Độ Kazakhstan Thổ Nhĩ Kỳ Việt Nam
Quốc gia của chủ sở hữu hưởng lợi tối caoM11_owner_jurisdiction	IM
Khóa cụm nhóm sở hữuM15_owner_group	Kape Technologies
Ngày chủ sở hữu hiện tại nắm quyền kiểm soátM16_control_since	2021-09
Vai trò của thương hiệu này trong nhómM17_brand_role	acquired_brand
Hạ tầng dùng chung với các dịch vụ cùng cụmM18_shared_infrastructure	không xác định
Tổng số cuộc kiểm toán đã công bốV10_audit_count	5

Loại dịch vụ	VPN thương mại — bảo mật dẫn đầu
Điểm bảo mật	14 trên 100 · Không khuyến nghị
Điểm tiện dụng	70 trên 100 · trạng thái đã biết · 92% đã xác lập · 94,1% trọng số đã đọc
Pháp nhân	Express Technologies Ltd.
Khu vực pháp lý	Quần đảo Virgin thuộc Anh
Chủ sở hữu cuối cùng	Teddy Sagi, via Unikmind Holdings Limited (Isle of Man), sole shareholder of Kape Technologies plc since the May 2023 delisting; Kape owns ExpressVPN through Express Technologies Ltd.
Mức phơi nhiễm	Trung bình · kênh chủ đạo: tính toàn vẹn
Lưu giữ dữ liệu	Siêu dữ liệu phiên
Kiểm toán gần nhất	KPMG LLP · 28 thg 2, 2025 · Một chuỗi hằng năm · Có, và báo cáo đã được đọc
Quốc gia có điểm thoát	106
Giao thức	Giao thức của nhà cung cấp có mã nguồn đã công bố WireGuard OpenVPN IKEv2
Hoạt động dưới sự kiểm duyệt gắt gao	Tự công bố là hoạt động được
Giao thức yếu nhất vẫn còn hỗ trợ	không áp dụng
DNS riêng bên trong đường hầm	Có, theo lời của nhà cung cấp
Nền tảng	Windows Android iOS macOS Linux Bộ định tuyến Android TV Tiện ích mở rộng trình duyệt Apple TV Fire TV
Số thiết bị dùng cùng lúc	10
Công tắc ngắt kết nối	Trên mọi nền tảng
Phân tách đường truyền	Khả dụng
Đăng ký tài khoản	Chỉ một địa chỉ email
Gói miễn phí	Không có gói miễn phí
Cho phép P2P	không xác định
Có thể truy cập các dịch vụ phát trực tuyến lớn	Có thể truy cập
Giá, theo tháng	$14.99 mỗi tháng
Giá, theo năm	$59.85 một năm khi gia hạn, thanh toán một lần

Điểm bảo mật đến từ đâu

Tám kênh, mỗi kênh đặt ra một câu hỏi cho hồ sơ đã công bố và đọc một tập hợp trường dữ liệu được nêu tên để trả lời câu hỏi đó. Chúng nhân với nhau chứ không cộng lại — hệ số bên cạnh một kênh là phần còn lại sau áp lực mà kênh đó tìm thấy, và hãy mở một kênh để xem mọi trường dữ liệu mà nó đã đọc, đúng như cách nó được lưu trữ. Cách mô hình hoạt động

Trường bảo mật

67 55 trong số đó cấp dữ liệu cho một kênh

Đã xác lập

57 9 còn ở trạng thái unknown, 1 không áp dụng

Độ đầy đủ

84% tỷ lệ mà mô hình có thể cân nhắc

Trích dẫn

91 trên 32 tài liệu

Mỗi giá trị đều mang theo căn cứ mà nó dựa vào, và mô hình cân nhắc bốn cấp độ này khác nhau. Trọng số, sau đó là số trích dẫn trên hồ sơ này nằm ở cấp độ đó:

A trọng số 1,00 · 15 ở đâyB trọng số 0,85 · 64 ở đâyC trọng số 0,70 · 11 ở đâyD trọng số 0,35 · 1 ở đây

Các trọng số là của chính methodology.json; một tuyên bố được thấy trong chính văn bản gốc có giá trị hơn cùng tuyên bố đó khi được báo cáo lại qua bên thứ hai. Ngày ở cuối một hàng là ngày giá trị đó được đọc lần gần nhất.

Một kênh không định giá mọi trường mà nó đọc. Những trường đã được định giá sẽ có dấu ở viền và mang theo mức mà chúng đã cộng thêm; mọi trường còn lại đều đã được đọc nhưng không tốn điểm nào. Chỉ kênh nào tính toán theo từng trường mới có thể đánh dấu một trường — các kênh còn lại tự định giá bằng các tham số in phía trên hàng của chúng.

Vẫn còn để ngỏ trên hồ sơ này.

Kiểm thử xâm nhập, và việc chưa được thực hiện. Trường kiểm thử xâm nhập dựa trên cuộc đánh giá Lightway của Cure53 vào tháng 10–11 năm 2024, phát hiện một lỗi từ chối dịch vụ do phân mảnh dữ liệu không cần xác thực được xếp mức High, cùng bốn mục ít nghiêm trọng hơn. Trung tâm tin cậy của ExpressVPN liệt kê một chuỗi dài các cuộc đánh giá như vậy, nên chu kỳ này là có thật; điều không có trong đó là một cuộc kiểm thử xâm nhập hạ tầng của đội máy chủ, tách biệt với cuộc đánh giá không lưu giữ dữ liệu của KPMG.

Hai mức giá, đã được đính chính. Trang giá hiện bán ba thời hạn gói riêng biệt — 1 tháng, 12 tháng và 2 năm — thay vì cơ cấu chỉ có 24–28 tháng được ghi nhận vào ngày 29/08/2026. U04_price_monthly=14.99 là gói Basic 1 tháng, tự động gia hạn ở cùng mức $14.99. U04b_price_yearly=59.85 là số tiền gói Basic 12 tháng (tính phí 12 tháng cộng thêm 3 tháng thưởng) thực sự tính cho kỳ đầu tiên; sau đó gói tự động gia hạn ở mức $99.95/năm, là con số mà hồ sơ trước đó đã lưu nhầm làm chính trường hằng năm.

phần còn lại của những gì để ngỏ — thêm 566 từ

Báo cáo minh bạch. P05/P06/P08/P09 hiện dựa trên báo cáo minh bạch hai lần mỗi năm của ExpressVPN (tháng 7–12 năm 2025: 155 yêu cầu từ chính phủ/cơ quan thực thi pháp luật, 0 lần tiết lộ, 3 lệnh được liệt kê riêng) được truy cập qua Trust Center — lần rà soát trước đã bỏ sót cả hai.

Canary, và phần còn lại của khối. Không tìm thấy canary về lệnh khám xét nào của ExpressVPN và không có tuyên bố nguồn sơ cấp nào phủ nhận việc có canary, nên P07 vẫn không xác định. P02/P03=none_known dựa trên chuỗi báo cáo minh bạch và lập trường về kiện tụng trong chính sách quyền riêng tư; P11=none_known dựa trên tuyên bố của chính sách rằng mọi yêu cầu đều đi qua các tòa án BVI. P04=withdrew_physical là việc rút khỏi Ấn Độ vào tháng 6 năm 2022.

Những gì không bao giờ được công bố. Số lượng thuê bao (M08) và tổng số máy chủ (U03) không được công bố. Không thể xác lập quyền sở hữu phần cứng máy chủ (C08: sở hữu hay thuê) và mã nhận dạng thiết bị ở cấp ứng dụng (C12) từ bất kỳ trang nào đã kiểm tra.

106 quốc gia so với tuyên bố 113. U02_server_countries phản ánh 105 trang đích theo quốc gia trong sitemap riêng của ExpressVPN cộng với China (được xác nhận là 'Available - Virtual Locations' trên trang /vpn-server đang hoạt động nhưng không có trang đích riêng) — tổng cộng 106 mã, so với tuyên bố tiếp thị riêng của trang là '113 Countries'; trang vị trí máy chủ đang hoạt động là một bảng rất lớn theo từng giao thức chưa được phân tích toàn diện, nên khoảng cách giữa 106 và 113 được báo cáo chứ chưa được giải quyết.

Một phát hiện kiểm toán nằm giữa hai loại. V11_audit_findings được ghi nhận là session_metadata thay vì none_linkable hoặc aggregates_only: báo cáo KPMG năm 2025 mô tả một bản ghi có cấu trúc cho từng kết nối (quốc gia, ISP, ngày, giao thức, dung lượng dữ liệu, một bí danh băm có muối ổn định), nhiều hơn một dữ liệu tổng hợp thuần túy nhưng không có IP và thời gian chính xác — một trường hợp thực sự mơ hồ đối với bốn loại ở giữa của trường này.

Chưa kiểm tra trong đợt này. Việc phạm vi phủ sóng của ExpressVPN có tồn tại bên ngoài các trang affiliate hay không (X08), bậc chi trả affiliate của họ (X10), và liệu các phương tiện truyền thông đánh giá do chủ sở hữu vận hành có nêu mối liên hệ sở hữu hay không (X11) chưa được kiểm tra trong đợt này.

P2P, đã tìm nhưng không có. U12a_p2p_allowed vẫn chưa xác định vì một lý do khác với phần còn lại: đã tìm nhưng không được công bố. Cả sitemap (578 URL trang và hỗ trợ) lẫn điều khoản dịch vụ đều không đề cập P2P, BitTorrent hoặc chia sẻ tệp ở bất kỳ đâu, trong khi mọi nhà cung cấp khác trong danh mục đều nêu lập trường của mình trong tài liệu riêng. Một bài viết hỗ trợ hoặc một điều khoản trong hợp đồng sẽ giải quyết được điều này; một trang đánh giá nói rằng dịch vụ hoạt động sẽ không giải quyết được.

Về toàn bộ hồ sơ.

Express Technologies Ltd., được thành lập tại Quần đảo Virgin thuộc Anh từ năm 2009, thuộc sở hữu của Kape Technologies plc kể từ thương vụ mua lại tháng 9 năm 2021 ($936M, theo trang about-us riêng của Kape). Kiến trúc TrustedServer chỉ dùng RAM đã được KPMG kiểm toán hằng năm (ISAE (UK) 3000 Type I, gần nhất vào ngày 28 tháng 2 năm 2025) kể từ năm 2022 về việc tuân thủ chính sách quyền riêng tư, cùng với PwC Switzerland (2019, TrustedServer) và Cure53 (2019, tiện ích mở rộng trình duyệt; 2021, giao thức Lightway, đã được công khai mã nguồn).

Báo cáo KPMG năm 2025 đã được đọc trực tiếp (độ tin cậy A): máy chủ ghi một sự kiện mang bí danh cho mỗi kết nối (ngày không có thời gian, tên người dùng được băm và thêm muối, GeoIP quốc gia+ISP, dung lượng dữ liệu, nhóm vị trí, giao thức) nhưng không bao giờ ghi địa chỉ IP hoặc dấu thời gian chính xác; các bản dựng được mô tả là có thể tái lập trên hai hệ thống xây dựng được vận hành độc lập.

phần còn lại của những gì để ngỏ — thêm 493 từ

Năm 2017, nhà chức trách Thổ Nhĩ Kỳ đã thu giữ một máy chủ ExpressVPN trong cuộc điều tra vụ ám sát Đại sứ Nga Andrei Karlov và không tìm thấy nhật ký có thể sử dụng (TorrentFreak, trang này có thông báo tài trợ cho ExpressVPN — được ghi nhận, không bị loại, vì các sự kiện có thể kiểm chứng từ bên ngoài và trang tuyên bố riêng của ExpressVPN từ đó đã trả về HTTP 410 mà không có bản chụp Wayback Machine).

Vào tháng 9 năm 2021, Deferred Prosecution Agreement của DOJ với Daniel Gericke, Chief Information Officer của ExpressVPN, liên quan đến vai trò trước đây của ông trong giai đoạn 2016-2018 trong hoạt động tấn công 'Project Raven' của UAE đã được công khai; bản DPA chính không bao giờ nêu tên ExpressVPN (chỉ đề cập việc làm trước đó của ông tại UAE) — mối liên hệ với ExpressVPN đến từ các tuyên bố của chính ExpressVPN và báo chí. ExpressVPN vẫn giữ Gericke làm nhân viên và công bố một lời biện hộ công khai cho quyết định đó.

C12 là resettable_ad_id dựa trên phần trình bày của chính nhà cung cấp thay vì dựa trên một danh mục của cửa hàng. Đoạn về tiếp thị trong chính sách quyền riêng tư nêu rằng một Installation ID và một XV User ID luôn được thu thập, còn các mã nhận dạng quảng cáo — IDFA hoặc Android Advertising ID — được thu thập sau khi có sự đồng ý rõ ràng; toàn bộ dữ liệu này được chuyển tới AppsFlyer; biểu mẫu an toàn dữ liệu của Play độc lập công bố Device hoặc other IDs cho quảng cáo hoặc tiếp thị.

Cổng đồng ý và một biện pháp giảm thiểu mà không nhà cung cấp nào khác ở đây cung cấp — lưu lượng gửi tới AppsFlyer được định tuyến qua một nhóm IP ExpressVPN chuyên dụng để hoạt động phân bổ không thể tương quan bằng IP — là có thật và được ghi nhận ở đây, vì ngưỡng chỉ tính đến những gì có thể được lưu giữ, không phải mức độ giải thích tốt đến đâu.

U07_protocols bao quát toàn bộ trình chọn: Lightway UDP và TCP dưới dạng vendor_open

Tính toàn vẹnNhà cung cấp đã bị phát hiện nói một đằng làm một nẻo chưa?16 trường đã đọc · 5 còn chưa xác định · 63,3 điểm áp lực×0,367

Những gì kênh này đã định giá trên hồ sơ này:Kiếm tiền 0.2Phạm vi đưa tin đã mua 0.1Xử lý sự cố 0.2Báo cáo khó tin 0.15Lịch sử nhóm sở hữu 0.25

Quy mô cơ sở người dùng (đại chúng >=10M, trung bình >=1M, ngách <1M)cũng được đọc bởi im lặngM08_user_scale

không xác định

không có gì được công bố · được ghi nhận là asserted

Báo cáo sự cố về M08_user_scale

Các doanh nghiệp khác của nhóm sở hữuM10_owner_other_business

antivirusreview_directoryadtech_adware

Cen.wikipedia.org27 thg 8, 2026

Báo cáo sự cố về M10_owner_other_business

Báo cáo minh bạchcũng được đọc bởi sự thiếu hiểu biết, im lặngP05_transparency_report

fresh_with_numbers

Bexpressvpn.com

Được tính toán

×0,144 của một hồ sơ sạch độ đầy đủ 84%

Điểm sụt giảm đến từ đâu: Tính toàn vẹn. Đây là kênh mà rủi ro của hồ sơ này tập trung vào — riêng nó đã đưa một hồ sơ sạch xuống còn ×0,367, và thanh trên cùng được tô đầy đến mức đó.

Mức phơi nhiễm được ghi nhận là medium và tình trạng liêm chính là clean.

So với phần còn lại của sổ đăng ký, hồ sơ này vượt trội nhất ở kênh Khu vực pháp lý — ×1,000 trong khi mức trung bình của sổ đăng ký là ×0,680 — và kém nhất ở kênh Tính toàn vẹn, ×0,367 so với ×0,658.

Điểm đã công bố

Mỗi hàng ở trên là một trường của hồ sơ đã công bố, và mỗi hàng đều có thể bị phản bác: mỗi hàng đều mang nút Báo cáo, hoặc nêu vấn đề về toàn bộ hồ sơ. Một đính chính có nguồn đi kèm sẽ được thực hiện ngay trong ngày, và nếu nó làm thay đổi điểm số thì nó cũng làm thay đổi hạng.

vendor_open

proprietary

không có trên hồ sơ

wireguard

34 thay đổi trước đó

29 thg 8, 202618 thay đổi

Hồ sơ tòa án về việc bị buộc cung cấpP03_court_record

không có trên hồ sơ đã đổi thành none_known

Phản hồi trước nghĩa vụ pháp lý lưu giữ dữ liệu cấp quốc giaP04_mandate_response

không có trên hồ sơ đã đổi thành withdrew_physical

Báo cáo minh bạchP05_transparency_report

không có trên hồ sơ đã đổi thành fresh_with_numbers

Số liệu được báo cáo là hợp lý ở quy mô nàyP06_report_plausibility

không có trên hồ sơ đã đổi thành plausible

Yêu cầu nhận được trong kỳP08_requests_received

không có trên hồ sơ đã đổi thành 155

Yêu cầu mà dữ liệu đã được cung cấpP09_data_provided

không có trên hồ sơ đã đổi thành 0

Chế độ lệnh bí mật tại quốc gia đăng ký thành lậpP11_gag_order_regime

không có trên hồ sơ đã đổi thành none_known

Giá theo tháng bằng USD, gói trả theo tháng, theo mức tính phíU04_price_monthly

không có trên hồ sơ đã đổi thành 14.99

Giá gói năm bằng USD, kỳ hạn đầu tiên theo mức tính phíU04b_price_yearly

không có trên hồ sơ đã đổi thành 8.33

Điểm tiện dụngusability.score

77 đã đổi thành 70

Giá gói năm bằng USD, kỳ hạn đầu tiên theo mức tính phíU04b_price_yearly

8.33 đã đổi thành 99.95

Giao thức yếu nhất vẫn được cung cấpC13_weakest_protocol

wireguard đã đổi thành không có trên hồ sơ

Giao thức được cung cấpU07_protocols

wireguard đã đổi thành không có trên hồ sơ

Điểm tiện dụngusability.score

70 đã đổi thành 67

Giao thức yếu nhất vẫn được cung cấpC13_weakest_protocol

không có trên hồ sơ đã đổi thành wireguard

Giao thức được cung cấpU07_protocols

không có trên hồ sơ đã đổi thành wireguard, openvpn, ikev2

Điểm tiện dụngusability.score

67 đã đổi thành 70

Giao thức được cung cấpU07_protocols

wireguard, openvpn, ikev2 đã đổi thành vendor_open, wireguard, openvpn, ikev2

28 thg 8, 202616 thay đổi

Điểm tiện dụngusability.score

84 đã đổi thành 83

Lý do nhà cung cấp này có trong danh mụcM14_inclusion_basis

market_incumbent, adverse_record đã đổi thành hand_picked, adverse_record

Điểm bảo mậtsecurity.score

15 đã đổi thành 14

Kết luận bảo mậtsecurity.verdict

insufficient đã đổi thành not_recommended

Mức độ chắc chắn của ý kiến đảm bảoV15_assurance_strength

không có trên hồ sơ đã đổi thành reasonable

Điểm bảo mậtsecurity.score

14 đã đổi thành 15

Kết luận bảo mậtsecurity.verdict

not_recommended đã đổi thành insufficient

Điểm bảo mậtsecurity.score

15

14

Thông số kỹ thuật

Được ghi nhận, không bao giờ tính điểm

Quốc gia có điểm thoát

Những gì đã thay đổi

Nếu đây không phải lựa chọn phù hợp

So sánh với

ExpressVPN

Điểm bảo mật đến từ đâu

Proton VPN

IVPN

Mullvad VPN