ExpressVPN vs NordVPN

從未公開的項目。 訂閱者數量（M08）和伺服器總數（U03）未公開。伺服器硬體所有權（C08：自有或租用）以及應用程式層級的裝置識別碼（C12）均無法從檢查過的任何頁面確認。

相對於 113 的自稱，為 106 個國家。 U02_server_countries 反映 ExpressVPN 自有 sitemap 中的 105 個國家登陸頁面，加上中國（在現行 /vpn-server 頁面確認為「Available - Virtual Locations」，但缺少專屬登陸頁面）——總計 106 個代碼，相對於該網站自身的「113 Countries」行銷自稱；現行伺服器位置頁面是非常大型的逐通訊協定表格，未予以詳盡解析，因此 106 與 113 之間的空白已予報告，但未予解決。

介於兩個類別之間的稽核發現。 V11_audit_findings 記錄為 session_metadata，而非 none_linkable 或 aggregates_only：2025 年 KPMG 報告描述了逐連線的結構化紀錄（國家、ISP、日期、通訊協定、資料量、穩定的加鹽雜湊假名），其內容超過純彙總，但缺少 IP 與精確時間——就此欄位的四個中間類別而言，這是確實模糊的案例。

本次未查核。 ExpressVPN 的涵蓋範圍是否存在於聯盟網站之外（X08）、其聯盟傭金級距（X10），以及由所有者經營的評論媒體是否標示出所有權關聯（X11），本次均未查核。

P2P，已查找但不存在。 U12a_p2p_allowed 保持未知，理由與其餘項目不同：該項目已予查找，但未公開。兩份 sitemap（578 個頁面與支援 URL）以及服務條款中，任何地方都未提及 P2P、BitTorrent 或檔案分享；同時，其他每個已編目的業者都在其自身文件中說明立場。支援文章或服務條款中的條款可以填補此空白；評論網站表示其可運作則不行。

無人能查核的確信程度。 NordVPN 將 Deloitte Lithuania 的委託描述為依 ISAE 3000 (Revised) 進行的合理確信委託，這會是較強的形式；PIA 的報告可以讀取，其中載明的是有限確信結論。

為何較強形式未獲計入。 模型現在會對該差異定價，而這筆紀錄不會因此受益：V15_assurance_strength 未知，因為該等級唯一的說明來自 NordVPN 自身，涉及一份 Nord Account 之外無人能開啟的報告。此處任何等級的證據都不接受登入後才能取得的文件，因此這項委託是按照市場常態計入，而不是按照自稱已達到的等級計入。

登入後才能取得的報告。 報告本身只有在登入 Nord Account 後才能閱讀，因此該關係之外無人查核過其範圍，而此處每個稽核欄位所依據的都是 NordVPN 對報告的自身摘要，而不是該文件。這一點，而不是任何針對該服務的發現，正是這筆紀錄在名錄中最單薄的原因。

所有者欄位。 M11_owner_jurisdiction 和 X04_owner_group_history 均為未知：nordvpn.com 和 nordsecurity.com 將 Nord Security 列為所有者，但兩者都未說明 Nord Security 自身註冊成立的管轄地，也未說明該集團的任何過往紀錄；次級媒體報導將一家「Cyberspace」控股實體與荷蘭連結起來，源自 2022 年的合併，但在可用時間內，這一點未能對照 Nord Security 或 NordVPN 的一手頁面確認。

完全無法閱讀的內容。 2025 年 Deloitte 報告的全文完全無法閱讀（登入限制），因此除政策在 C01_linkable_retention 中的自稱外，未紀錄任何留存判定。

無法開啟的伺服器表。 C09b_mandate_hosting 為未知：即時逐國伺服器表在本次稽核能呈現的手風琴狀態中，僅顯示美洲區域的實體／虛擬狀態；歐洲、亞太及非洲／中東區段（包括該服務機群所服務的數個義務國家，例如伺服器 API 所列的 AE、IN、TR、VN、IQ、KZ）會在點擊後於用戶端載入，且未予展開。

保留為未知，而非加以主張。 C04-C07、U06（審查證明）、U11、V12-V14、X06、X07、X10 及 X11 未能對照一手文件獨立確認，因此保留為未知，而非根據次級報導加以主張。

留下一項疑問，但不予扣分。 X12 留有一項疑問，但不予扣分：com.nordvpn.android 的 Play 資料安全表單在 Android 上將 Installed apps 列於分析功能之下，而 NordVPN 隱私聲明僅在一處提及已安裝的應用程式——反惡意軟體漏洞掃描——並將應用程式名稱與版本的處理範圍限定於 Windows。

為何仍呈現為符合。 該類別已有揭露，而 R28 不會針對平台範圍差異作出判定，因此該值呈現為 matches_policy；但 Android 的用途並非該聲明所描述的用途，只有 NordVPN 能說明兩者之中哪一項記載有誤。

2021 年 9 月，司法部與 ExpressVPN 資訊長 Daniel Gericke 就他先前在阿聯酋「Project Raven」駭客行動中 2016 至 2018 年的職務所簽訂的 Deferred Prosecution Agreement 公開；主要 DPA 文件本身從未提及 ExpressVPN（其內容僅涵蓋他先前在阿聯酋的任職）——ExpressVPN 的關聯來自 ExpressVPN 自身及媒體的聲明。ExpressVPN 讓 Gericke 繼續任職，並公開發布了為該決定辯護的聲明。

C12 是業者自有文字中的 resettable_ad_id，而不是商店分類。隱私政策的行銷段落指出，一律會收集 Installation ID 和 XV User ID，而廣告識別碼——IDFA 或 Android Advertising ID——則在明確同意後收集，這些資料全都會送達 AppsFlyer；Play 的資料安全表單則獨立聲明會將裝置或其他 ID 用於廣告或行銷。

同意閘門，以及此處沒有其他業者提供的緩解措施——將通往 AppsFlyer 的流量經由專用的 ExpressVPN IP 集區路由，使歸因無法透過 IP 建立關聯——都是真實存在的，因此記錄於此，因為評分下限評估的是可被保留的內容，而非說明得多好。

U07_protocols 涵蓋完整的選擇器：Lightway UDP 和 TCP 作為 vendor_open，以及 WireGuard、OpenVPN UDP/TCP 和 IKEv2。Lightway 是 ExpressVPN 自有的通訊協定，其原始碼已公開，並有獨立審查作為支持（Cure53，2021 年和 2024 年）；這正是 vendor_open 存在的區別——proprietary 評估的是無法判斷傳輸是否薄弱的情況，而此處可以判斷。

根據業者自有的通訊協定頁面，PPTP 已在 ExpressVPN 應用程式中停用；該頁面也說明了 L2TP 和 SSTP，但未提供這些通訊協定。