ExpressVPN vs IVPN

2021 年 9 月，DOJ 與 ExpressVPN 資訊總監 Daniel Gericke 就他過往於 2016 至 2018 年在阿聯酋「Project Raven」黑客行動中的角色所訂立的 Deferred Prosecution Agreement 公開；DPA 的主要文件本身從未點名 ExpressVPN（只涵蓋他較早期在阿聯酋的任職）——ExpressVPN 的關聯來自 ExpressVPN 自己的聲明及媒體聲明。ExpressVPN 讓 Gericke 繼續任職，並公開發表支持該決定的辯護。

C12 是業者自行撰寫的文字中的 resettable_ad_id，而不是商店分類。私隱政策的營銷段落表示，Installation ID 和 XV User ID 一律會被收集，而廣告識別碼——IDFA 或 Android Advertising ID——則在取得明確同意後收集，全部資料均會傳送至 AppsFlyer；Play 的資料安全表格則獨立聲明，裝置或其他 ID 會用於廣告或營銷。

同意閘門，以及這裏沒有其他業者提供的緩解措施——將前往 AppsFlyer 的流量經由專用 ExpressVPN IP 池路由，令歸因無法按 IP 進行關聯——都是真實存在的，並在此紀錄，因為分數下限按可被持有的資料定價，而不是按解釋得多好定價。

U07_protocols 涵蓋整個選擇器：Lightway UDP 和 TCP 作為 vendor_open，以及 WireGuard、OpenVPN UDP/TCP 和 IKEv2。Lightway 是 ExpressVPN 自有的通訊協定，其原始碼已公開，並有獨立審查作支持（Cure53，2021 年及 2024 年），這正是 vendor_open 存在的區別——proprietary 是按無法判斷傳輸是否薄弱的情況定價，而這裏則可以作出判斷。

ExpressVPN 的應用程式已根據業者自有的通訊協定頁面停用 PPTP，而該頁面有解釋 L2TP 和 SSTP，卻沒有提供它們。

從未公開的資料。 訂戶數量（M08）及伺服器總數（U03）均未有公開。從任何已查閱的頁面均無法確認伺服器硬件所有權（C08：擁有或租用）及應用程式層面的裝置識別碼（C12）。

106 個國家，對應自稱的 113 個。 U02_server_countries 反映 ExpressVPN 自己的 sitemap 中 105 個國家登陸頁面，加上中國（即時 /vpn-server 頁面已確認為「Available - Virtual Locations」，但沒有專屬登陸頁面）——合共 106 個代碼，對應該網站自己宣稱的「113 Countries」；即時伺服器位置頁面是一個非常大型、按通訊協定排列的表格，未有詳盡解析，因此 106 與 113 之間的空白會予以報告，而不作解決。

兩個類別之間的稽核發現。 V11_audit_findings 記錄為 session_metadata，而不是 none_linkable 或 aggregates_only：2025 年 KPMG 報告描述了一項按每次連線建立的結構化紀錄（國家、ISP、日期、通訊協定、資料量、穩定的加鹽雜湊假名），不只是純粹的彙總資料，但缺少 IP 和精確時間——對於此欄位的四個中間類別而言，這是確實含糊的個案。

本輪未有查核。 ExpressVPN 的覆蓋範圍是否存在於聯盟網站以外（X08）、其聯盟付款級別（X10），以及由所有者營運的評測媒體是否標示出所有權關係（X11），均未有在本輪查核。

P2P，已查找但不存在。 U12a_p2p_allowed 因與其餘項目不同的原因維持未知：曾予查找，但未有公開。sitemap（578 個頁面及支援 URL）和服務條款中任何地方均沒有提及 P2P、BitTorrent 或檔案分享，而每一個其他已編入目錄的業者都在自己的文件中說明其立場。支援文章或服務條款中的條文可以填補此空白；評測網站聲稱其運作正常則不能。

最新報告並非相關報告。 2024 年 4 月的稽核是 Cure53 與 IVPN 的第六次合作，測試了客戶帳戶網站、API 及主機服務；其範圍頁面列明用戶端應用程式及 VPN 伺服器不在範圍內，因此既沒有擴展應用程式的證據，也沒有擴展閘道的證據，而 V03_audit_subject 對此讀取為 unknown，不會延續該項計分。第七次稽核針對新的電郵及 DNS 服務，當時只宣布於 2025 年 5 月進行；目前沒有相關報告已公開。

主要網站從未確認的事項。 僅使用 RAM 被記錄為部分，因為 IVPN 將其描述為正在進行的轉型，測試部署仍在進行中，並未宣布完成。伺服器硬件所有權（租用還是擁有）、出口處的流量修改，以及實益擁有人的個人管轄地均未確認：沒有任何 IVPN 主要頁面說明這三項，也沒有說明用戶基數規模。

知識庫回答的三個欄位，而不是首次填寫時閱讀的頁面回答的欄位。 IP 分配按設計是共享的——「crowding」讓多名用戶共用一個位址，以削弱歸因。P2P 在所有地方均獲允許，但 IVPN 要求客戶避免使用美國出口，並以引用上游 DMCA 壓力作為理由。串流不作任何保證，但公司表示許多客戶確實可以連接串流服務。