ExpressVPN

從未公開的資料。 訂戶數量（M08）及伺服器總數（U03）均未有公開。從任何已查閱的頁面均無法確認伺服器硬件所有權（C08：擁有或租用）及應用程式層面的裝置識別碼（C12）。

106 個國家，對應自稱的 113 個。 U02_server_countries 反映 ExpressVPN 自己的 sitemap 中 105 個國家登陸頁面，加上中國（即時 /vpn-server 頁面已確認為「Available - Virtual Locations」，但沒有專屬登陸頁面）——合共 106 個代碼，對應該網站自己宣稱的「113 Countries」；即時伺服器位置頁面是一個非常大型、按通訊協定排列的表格，未有詳盡解析，因此 106 與 113 之間的空白會予以報告，而不作解決。

兩個類別之間的稽核發現。 V11_audit_findings 記錄為 session_metadata，而不是 none_linkable 或 aggregates_only：2025 年 KPMG 報告描述了一項按每次連線建立的結構化紀錄（國家、ISP、日期、通訊協定、資料量、穩定的加鹽雜湊假名），不只是純粹的彙總資料，但缺少 IP 和精確時間——對於此欄位的四個中間類別而言，這是確實含糊的個案。

本輪未有查核。 ExpressVPN 的覆蓋範圍是否存在於聯盟網站以外（X08）、其聯盟付款級別（X10），以及由所有者營運的評測媒體是否標示出所有權關係（X11），均未有在本輪查核。

P2P，已查找但不存在。 U12a_p2p_allowed 因與其餘項目不同的原因維持未知：曾予查找，但未有公開。sitemap（578 個頁面及支援 URL）和服務條款中任何地方均沒有提及 P2P、BitTorrent 或檔案分享，而每一個其他已編入目錄的業者都在自己的文件中說明其立場。支援文章或服務條款中的條文可以填補此空白；評測網站聲稱其運作正常則不能。

2021 年 9 月，DOJ 與 ExpressVPN 資訊總監 Daniel Gericke 就他過往於 2016 至 2018 年在阿聯酋「Project Raven」黑客行動中的角色所訂立的 Deferred Prosecution Agreement 公開；DPA 的主要文件本身從未點名 ExpressVPN（只涵蓋他較早期在阿聯酋的任職）——ExpressVPN 的關聯來自 ExpressVPN 自己的聲明及媒體聲明。ExpressVPN 讓 Gericke 繼續任職，並公開發表支持該決定的辯護。

C12 是業者自行撰寫的文字中的 resettable_ad_id，而不是商店分類。私隱政策的營銷段落表示，Installation ID 和 XV User ID 一律會被收集，而廣告識別碼——IDFA 或 Android Advertising ID——則在取得明確同意後收集，全部資料均會傳送至 AppsFlyer；Play 的資料安全表格則獨立聲明，裝置或其他 ID 會用於廣告或營銷。

同意閘門，以及這裏沒有其他業者提供的緩解措施——將前往 AppsFlyer 的流量經由專用 ExpressVPN IP 池路由，令歸因無法按 IP 進行關聯——都是真實存在的，並在此紀錄，因為分數下限按可被持有的資料定價，而不是按解釋得多好定價。

U07_protocols 涵蓋整個選擇器：Lightway UDP 和 TCP 作為 vendor_open，以及 WireGuard、OpenVPN UDP/TCP 和 IKEv2。Lightway 是 ExpressVPN 自有的通訊協定，其原始碼已公開，並有獨立審查作支持（Cure53，2021 年及 2024 年），這正是 vendor_open 存在的區別——proprietary 是按無法判斷傳輸是否薄弱的情況定價，而這裏則可以作出判斷。

ExpressVPN 的應用程式已根據業者自有的通訊協定頁面停用 PPTP，而該頁面有解釋 L2TP 和 SSTP，卻沒有提供它們。