ExpressVPN vs Opera VPN

從未公開的項目。 訂閱者數量（M08）和伺服器總數（U03）未公開。伺服器硬體所有權（C08：自有或租用）以及應用程式層級的裝置識別碼（C12）均無法從檢查過的任何頁面確認。

相對於 113 的自稱，為 106 個國家。 U02_server_countries 反映 ExpressVPN 自有 sitemap 中的 105 個國家登陸頁面，加上中國（在現行 /vpn-server 頁面確認為「Available - Virtual Locations」，但缺少專屬登陸頁面）——總計 106 個代碼，相對於該網站自身的「113 Countries」行銷自稱；現行伺服器位置頁面是非常大型的逐通訊協定表格，未予以詳盡解析，因此 106 與 113 之間的空白已予報告，但未予解決。

介於兩個類別之間的稽核發現。 V11_audit_findings 記錄為 session_metadata，而非 none_linkable 或 aggregates_only：2025 年 KPMG 報告描述了逐連線的結構化紀錄（國家、ISP、日期、通訊協定、資料量、穩定的加鹽雜湊假名），其內容超過純彙總，但缺少 IP 與精確時間——就此欄位的四個中間類別而言，這是確實模糊的案例。

本次未查核。 ExpressVPN 的涵蓋範圍是否存在於聯盟網站之外（X08）、其聯盟傭金級距（X10），以及由所有者經營的評論媒體是否標示出所有權關聯（X11），本次均未查核。

P2P，已查找但不存在。 U12a_p2p_allowed 保持未知，理由與其餘項目不同：該項目已予查找，但未公開。兩份 sitemap（578 個頁面與支援 URL）以及服務條款中，任何地方都未提及 P2P、BitTorrent 或檔案分享；同時，其他每個已編目的業者都在其自身文件中說明立場。支援文章或服務條款中的條款可以填補此空白；評論網站表示其可運作則不行。

一個商店，而非兩個。 僅查閱了 Google Play 的資料安全表單；沒有查閱 iOS 瀏覽器在 App Store 的隱私標籤，因此 X12 是基於一個商店，而不是兩者中較差者。

兩項解讀，而非陳述。 U01 中的 Linux 是從桌面版說明手冊推知的；該手冊記載 VPN，並一併涵蓋 Windows、macOS 和 Linux，沒有按平台拆分；稽核公告則明確列出 Android 和 iOS。U10 被視為不限量，因為沒有帳號，也沒有裝置上限可用來執行此限制；這是對產品的解讀，而非已陳述的數值。

2021 年 9 月，司法部與 ExpressVPN 資訊長 Daniel Gericke 就他先前在阿聯酋「Project Raven」駭客行動中 2016 至 2018 年的職務所簽訂的 Deferred Prosecution Agreement 公開；主要 DPA 文件本身從未提及 ExpressVPN（其內容僅涵蓋他先前在阿聯酋的任職）——ExpressVPN 的關聯來自 ExpressVPN 自身及媒體的聲明。ExpressVPN 讓 Gericke 繼續任職，並公開發布了為該決定辯護的聲明。

C12 是業者自有文字中的 resettable_ad_id，而不是商店分類。隱私政策的行銷段落指出，一律會收集 Installation ID 和 XV User ID，而廣告識別碼——IDFA 或 Android Advertising ID——則在明確同意後收集，這些資料全都會送達 AppsFlyer；Play 的資料安全表單則獨立聲明會將裝置或其他 ID 用於廣告或行銷。

同意閘門，以及此處沒有其他業者提供的緩解措施——將通往 AppsFlyer 的流量經由專用的 ExpressVPN IP 集區路由，使歸因無法透過 IP 建立關聯——都是真實存在的，因此記錄於此，因為評分下限評估的是可被保留的內容，而非說明得多好。

U07_protocols 涵蓋完整的選擇器：Lightway UDP 和 TCP 作為 vendor_open，以及 WireGuard、OpenVPN UDP/TCP 和 IKEv2。Lightway 是 ExpressVPN 自有的通訊協定，其原始碼已公開，並有獨立審查作為支持（Cure53，2021 年和 2024 年）；這正是 vendor_open 存在的區別——proprietary 評估的是無法判斷傳輸是否薄弱的情況，而此處可以判斷。

根據業者自有的通訊協定頁面，PPTP 已在 ExpressVPN 應用程式中停用；該頁面也說明了 L2TP 和 SSTP，但未提供這些通訊協定。

Opera 將其自身的主張描述成其稽核員的結論。這就是 VERIFY 區塊會如此拆分的原因。V01 是 yes_verified，依據的是一份實際開啟的報告——Cure53 自行公開的 2022 年 3 月評估管理摘要——而不是 Deloitte 公告的內容。

Deloitte 報告本身未在任何地方公開，因此 V02 是 press_only；凡是該報告的發現而非關於該次委任的事實的欄位，都維持未知：伺服器群涵蓋範圍（V04）、鑑證標準（V07）、報告所述的留存內容（V11），以及意見強度（V15）。

委任事實——該公司、其類別、日期、列明測試的項目——取自公告。一個已明確重新描述過這次稽核的業者，不是說明稽核結論的來源。C01 是 none_linkable，因為隱私聲明中的宣告就是如此；V11 是該項發現，而沒有任何發現可供讀取。

Cure53 的報告確實存在，也是 V14 為 yes_verified 的原因：七名測試人員、二十四人日，對四個工作套件進行白箱測試，涵蓋 VPN 用戶端、伺服器設定與基礎架構，以及用於傳送 VPN 設定的 Opera Mini 通訊協定。共有十四項與安全性相關的問題，其中八項為實際漏洞，五項評為高嚴重度，無一項為重大漏洞。

截至 2022 年 3 月，其中九項已修復且修復結果已獲驗證，一項部分修復，三項接受風險，一項為誤報，另一項仍在進行中。Opera 的部落格表示，直接涉及瀏覽器 VPN 的七個項目「之後均已解決」，表格也證實了這點——剩餘項目位於 Opera Mini 工作套件，而非 VPN 本身。

所有者集團已完整揭露，且最終位於義務國家，因此 X03 與 C11 指向相反方向，並不互相矛盾。

Opera 自身隱私聲明中列名的資料控制者是 Opera Norway AS，一家挪威公司；透明度報告也以該名稱提交。

控股公司是 Opera Limited，於 2018 年 3 月在開曼群島註冊成立的豁免公司，本身沒有實質營運。2025 年的 Form 20-F 將 Hong Kong Kunlun Tech Holding Limited 列為持有 68.0% 股份的主要股東；該公司是 Kunlun Tech Co., Ltd. 的子公司，於 PRC 註冊成立，並表示 Kunlun「是 Opera 的最終母公司，且受 Opera 執行主席控制」。

因此 M06 是 NO，而 C10 是 no；M11 是 CN，而 C11 是 yes。

C12 是 VPN 的宣告與其所在應用程式之間最明顯的空白。隱私聲明中的 VPN 區段宣告不記錄；同一份文件的另一個區段則表示，安裝 Opera 應用程式時「會產生隨機安裝 ID。我們會收集此識別碼，以及 Machine ID、硬體規格（型號、發行日期等）、作業系統、環境設定與功能使用資料」，留存最長達三年。

Machine ID 源自硬體，因此業者持有的識別碼是 persistent_hardware_id，而不是應用程式範圍的隨機識別碼，無論通道是否記錄這些資料。

X12 比對 Opera 自行提交的兩份文件。com.opera.browser 的 Play 資料安全表單宣告會收集 Installed apps 作為 Analytics 使用，而隱私聲明完全未提及收集裝置上已安裝的應用程式。Installed apps 是行為而非識別碼，因此是 undisclosed_behaviour。

同一份表單宣告會為廣告目的與其他公司分享 Device or other IDs，這使 C07a 判定為 ads。C07b 的依據較窄，因此標記為 B：產品頁面所提供的標記中唯一的第三方主機是 Google Tag Manager，而該容器在執行階段載入的內容未列明。

U02 因產品設計而未知，而不是因搜尋失敗：免費 VPN 提供三個區域——Opera 將其命名為 America、Asia 與 Europe——卻從未指定國家。C09 與 C09b 由此而來，在此狀態維持期間無法確認。

X05 是 Opera 自己說明頁上的 ads_supported；該頁將廣告列為三項收入來源中的第一項，並說明 Opera Ads 會收集隨機產生的使用者 ID、城市或國家，以及瀏覽網站的廣泛類別，留存最長達一年；加上 U05 = unlimited_free，這正是 R15 設立來標記的情況。

X06 是 2026 年文章中的宣稱：AES-256「即使是使用最快電腦的駭客，也要超過十億年才能破解」。X09 是兩篇 2026 年文章中的 self_disclosed_prompt；Opera 在其中公開了外部研究人員向其回報的弱點，以及分析結果與修正版本——這些是瀏覽器弱點而非 VPN 事件，且目前未知有任何 VPN 事件。

C05 為 not_sold。免費 VPN 完全沒有付款步驟——沒有訂閱、沒有帳號——因此無論匿名與否，都沒有需要付款的項目。

這筆紀錄最初記為 none，讀起來是「只提供已確認的付款方式」，而這在此處並不正確，因為當時的詞彙沒有表示服務完全不收費的標記；記為 unknown 則會表示搜尋失敗，同樣不正確，而在兩種錯誤解讀之間，紀錄了對業者不利的那一種。現在已有這個標記，且價格為零，這才是誠實的答案：沒有付款，就沒有付款身分可供洩漏。