ExpressVPN

從未公開的項目。 訂閱者數量（M08）和伺服器總數（U03）未公開。伺服器硬體所有權（C08：自有或租用）以及應用程式層級的裝置識別碼（C12）均無法從檢查過的任何頁面確認。

相對於 113 的自稱，為 106 個國家。 U02_server_countries 反映 ExpressVPN 自有 sitemap 中的 105 個國家登陸頁面，加上中國（在現行 /vpn-server 頁面確認為「Available - Virtual Locations」，但缺少專屬登陸頁面）——總計 106 個代碼，相對於該網站自身的「113 Countries」行銷自稱；現行伺服器位置頁面是非常大型的逐通訊協定表格，未予以詳盡解析，因此 106 與 113 之間的空白已予報告，但未予解決。

介於兩個類別之間的稽核發現。 V11_audit_findings 記錄為 session_metadata，而非 none_linkable 或 aggregates_only：2025 年 KPMG 報告描述了逐連線的結構化紀錄（國家、ISP、日期、通訊協定、資料量、穩定的加鹽雜湊假名），其內容超過純彙總，但缺少 IP 與精確時間——就此欄位的四個中間類別而言，這是確實模糊的案例。

本次未查核。 ExpressVPN 的涵蓋範圍是否存在於聯盟網站之外（X08）、其聯盟傭金級距（X10），以及由所有者經營的評論媒體是否標示出所有權關聯（X11），本次均未查核。

P2P，已查找但不存在。 U12a_p2p_allowed 保持未知，理由與其餘項目不同：該項目已予查找，但未公開。兩份 sitemap（578 個頁面與支援 URL）以及服務條款中，任何地方都未提及 P2P、BitTorrent 或檔案分享；同時，其他每個已編目的業者都在其自身文件中說明立場。支援文章或服務條款中的條款可以填補此空白；評論網站表示其可運作則不行。

2021 年 9 月，司法部與 ExpressVPN 資訊長 Daniel Gericke 就他先前在阿聯酋「Project Raven」駭客行動中 2016 至 2018 年的職務所簽訂的 Deferred Prosecution Agreement 公開；主要 DPA 文件本身從未提及 ExpressVPN（其內容僅涵蓋他先前在阿聯酋的任職）——ExpressVPN 的關聯來自 ExpressVPN 自身及媒體的聲明。ExpressVPN 讓 Gericke 繼續任職，並公開發布了為該決定辯護的聲明。

C12 是業者自有文字中的 resettable_ad_id，而不是商店分類。隱私政策的行銷段落指出，一律會收集 Installation ID 和 XV User ID，而廣告識別碼——IDFA 或 Android Advertising ID——則在明確同意後收集，這些資料全都會送達 AppsFlyer；Play 的資料安全表單則獨立聲明會將裝置或其他 ID 用於廣告或行銷。

同意閘門，以及此處沒有其他業者提供的緩解措施——將通往 AppsFlyer 的流量經由專用的 ExpressVPN IP 集區路由，使歸因無法透過 IP 建立關聯——都是真實存在的，因此記錄於此，因為評分下限評估的是可被保留的內容，而非說明得多好。

U07_protocols 涵蓋完整的選擇器：Lightway UDP 和 TCP 作為 vendor_open，以及 WireGuard、OpenVPN UDP/TCP 和 IKEv2。Lightway 是 ExpressVPN 自有的通訊協定，其原始碼已公開，並有獨立審查作為支持（Cure53，2021 年和 2024 年）；這正是 vendor_open 存在的區別——proprietary 評估的是無法判斷傳輸是否薄弱的情況，而此處可以判斷。

根據業者自有的通訊協定頁面，PPTP 已在 ExpressVPN 應用程式中停用；該頁面也說明了 L2TP 和 SSTP，但未提供這些通訊協定。