ExpressVPN

Les serveurs d'ExpressVPN fonctionnent entièrement en mémoire vive (« TrustedServer »), ce que KPMG a audité.

KPMG a évalué TrustedServer et les contrôles liés à la politique de confidentialité d'ExpressVPN (ISAE 3000 Type 1, une évaluation à une date donnée). La plus récente portait sur la situation au 28 février 2025 et a été publiée en juin 2025 ; KPMG était déjà intervenu de 2022 à 2024. Cure53 (2022) et PwC (2019) ont aussi audité TrustedServer.

ExpressVPN lui-même est financé par des abonnements et n'affiche pas de publicité, même si, depuis 2025, la même équipe exploite aussi EventVPN, un VPN gratuit financé par la publicité pour les appareils Apple.

EventVPN a été lancé les 18 et 19 septembre 2025 comme un VPN gratuit de l'équipe d'ExpressVPN, qui affiche des publicités avant et après les sessions ; l'entreprise affirme que les données publicitaires sont séparées de l'utilisation du VPN. La politique de confidentialité d'ExpressVPN indique qu'il ne vend pas de données personnelles, mais qu'il utilise les identifiants d'installation et d'utilisateur de l'appli (et les identifiants publicitaires avec consentement) pour mesurer l'efficacité de son marketing.

ExpressVPN appartient à Kape Technologies, anciennement Crossrider, dont d'anciens logiciels ont été signalés comme publicitaires et qui possède aussi des sites de « tests » de VPN.

Kape a racheté ExpressVPN pour 936 millions de dollars en septembre 2021. Kape a été retiré de la Bourse en 2023 par Unikmind Holdings, propriété de l'homme d'affaires Teddy Sagi. Kape possède aussi CyberGhost, Private Internet Access, ZenMate et Intego, et a acquis en 2021 Webselenese, éditeur de vpnMentor et de Wizcase.

Un bug de l'appli Windows d'ExpressVPN a envoyé certaines requêtes DNS, qui révèlent les sites que vous visitez, en dehors du tunnel VPN pour les utilisateurs du split tunneling entre mai 2022 et février 2024 ; ExpressVPN a retiré la fonction pour corriger le problème.

ExpressVPN a temporairement retiré le split tunneling de son appli Windows.

En 2021, Daniel Gericke, alors directeur des systèmes d'information d'ExpressVPN, a accepté de payer 335 000 dollars dans le cadre d'un accord américain de poursuites différées concernant des travaux de piratage réalisés pour le gouvernement des Émirats arabes unis avant son arrivée ; ExpressVPN a indiqué qu'il connaissait les principaux faits de son passé lorsqu'il l'a recruté, et l'a gardé en poste.

Gericke était l'un des trois anciens membres du renseignement ou de l'armée des États-Unis mis en cause dans l'affaire « Project Raven ». Ils ont reconnu leur responsabilité pour des infractions aux règles de contrôle des exportations et à la législation sur la fraude informatique dans le cadre d'un accord de poursuites différées (sans condamnation). Il a rejoint ExpressVPN en décembre 2019 et l'a quitté en juillet 2023.

En 2017, des enquêteurs turcs ont saisi un serveur d'ExpressVPN dans le cadre de l'enquête sur l'assassinat de l'ambassadeur de Russie ; selon la presse et ExpressVPN, le serveur ne contenait aucun journal permettant d'identifier des utilisateurs.

La saisie a eu lieu en janvier 2017 et a été rendue publique en décembre 2017. ExpressVPN a déclaré avoir indiqué aux autorités turques qu'il ne disposait d'aucun journal de connexion ou d'activité, et que la saisie l'avait confirmé. Après cet incident, ExpressVPN a cessé d'utiliser des serveurs physiques en Turquie.

Des auditeurs indépendants ont vérifié qu'ExpressVPN ne conserve aucun journal.

PwC (publié le 9 juillet 2019) et KPMG (le plus récemment au 28 février 2025, ISAE 3000 Type 1) ont attesté que TrustedServer ne collecte pas de journaux d'activité ou de connexion. Le Type 1 porte sur la conception et la mise en œuvre à une date donnée, et non sur l'efficacité du fonctionnement dans la durée.

ExpressVPN opère depuis les Îles Vierges britanniques, où aucune loi n'impose aux VPN de conserver des données.