ExpressVPN est-il sûr ? Analyse de la sécurité, confidentialité et audits

ExpressVPN est-il sûr ? Une analyse approfondie de la sécurité

ExpressVPN obtient une note de confiance de 86/100 basée sur un rapport d’assurance sans journaux KPMG publié, le chiffrement AES-256 et des serveurs fonctionnant entièrement en RAM dans 113 pays. Il opère sous la juridiction des Îles Vierges britanniques, en dehors des alliances de surveillance des 14 Yeux. Un rapport d’assurance KPMG et des audits de sécurité répétés de Cure53 soutiennent ses prétentions en matière de confidentialité et de sécurité, dans les limites décrites ci-dessous.

Juridiction : pourquoi les Îles Vierges britanniques sont importantes

ExpressVPN est immatriculé aux Îles Vierges britanniques, un territoire britannique d’outre-mer autonome. Les IVB n’ont pas de lois sur la rétention obligatoire des données pour les fournisseurs de VPN. Ce seul fait détermine la manière dont ExpressVPN répond aux demandes gouvernementales de données.

Les IVB se situent en dehors des alliances de partage de renseignements des 5 Eyes, 9 Eyes et 14 Eyes. Les demandes de gouvernements étrangers doivent passer par la Haute Cour des IVB avant d’atteindre ExpressVPN. Les IVB n’ont aucune obligation légale d’honorer directement les assignations à comparaître ou les ordres de surveillance étrangers.

Cet avantage juridictionnel s’est avéré réel en 2017. Les autorités turques ont saisi un serveur ExpressVPN lors d’une enquête politique. Le serveur ne contenait aucune donnée utilisateur, confirmant que la politique zéro journal a fonctionné sous une pression gouvernementale réelle.

Historique des audits indépendants

ExpressVPN a réalisé plus d’audits de sécurité tiers que la plupart de ses concurrents. Chaque audit a examiné différents aspects des déclarations de confidentialité et de sécurité du service.

Rapport d’assurance de non-enregistrement KPMG

KPMG LLP (UK) a émis un rapport d’assurance raisonnable de type I ISAE (UK) 3000 en date du 8 mai 2025 sur TrustedServer d’ExpressVPN, au 28 février 2025, sans exceptions sur l’objectif de contrôle relatif à l’enregistrement des activités des utilisateurs. Il s’agit d’un rapport à un moment donné commandé par ExpressVPN, et non d’une surveillance continue, et il est accessible après acceptation des conditions de KPMG. ExpressVPN indique qu’elle a également commandé des engagements d’assurance antérieurs.

Audits de sécurité de Cure53

Cure53, un cabinet allemand respecté en cybersécurité, propose au moins 16 rapports de test de pénétration ExpressVPN (2018 à 2026) sur son propre site Web, couvrant les applications, les extensions, les routeurs, le protocole Lightway et TrustedServer. En automne 2024, Cure53 et Praetorian ont tous deux audité la réécriture Rust du protocole Lightway d’ExpressVPN. Cure53 a trouvé un problème de déni de service de gravité élevée et quatre problèmes de gravité inférieure, et Praetorian a trouvé deux problèmes à risque faible, tous corrigés lors du test de revalidation.

La page de confiance d’ExpressVPN répertorie environ 30 rapports d’audit au total, et Cure53 publie ses propres rapports ExpressVPN publiquement, ce qui démontre une transparence supérieure à la moyenne dans l’industrie des VPN.

Politique de journalisation : ce qui est stocké et ce qui ne l’est pas

La politique de confidentialité d’ExpressVPN indique clairement quelles données elle collecte. Comprendre les détails compte plus que les arguments marketing.

Données qu’ExpressVPN ne stocke PAS

ExpressVPN ne consigne pas votre historique de navigation, la destination de votre trafic, vos requêtes DNS ni votre adresse IP. Il n’enregistre pas les horodatages de connexion, la durée des sessions ou les adresses IP VPN attribuées. Aucun contenu de vos communications ne transite par un système de journalisation.

Données qu’ExpressVPN COLLECTE

ExpressVPN collecte des données de connexion agrégées : quelle version de l’application vous utilisez, quelle localisation de serveur vous avez choisie (pas le serveur spécifique), et la bande passante totale consommée par jour. Ces données ne permettent pas d’identifier des utilisateurs individuels ni de relier une activité à des comptes spécifiques. Il utilise ces informations pour maintenir la capacité des serveurs sur son réseau de plus de 3 000 serveurs.

Votre adresse e-mail de compte, vos informations de paiement et l’historique de vos tickets d’assistance sont stockés à des fins de facturation. Les utilisateurs souhaitant un anonymat maximal peuvent payer en Bitcoin ou utiliser une adresse e-mail jetable.

Normes de chiffrement et protocoles

ExpressVPN utilise le chiffrement AES-256-GCM comme norme par défaut. Il s’agit du même niveau de chiffrement utilisé par le gouvernement américain pour les informations classifiées. Casser l’AES-256 nécessiterait une puissance de calcul qui n’existe pas actuellement.

Protocoles disponibles

ExpressVPN propose 4 protocoles VPN dans ses applications. Lightway est son protocole propriétaire, basé sur wolfSSL et utilisant le chiffrement ChaCha20 ou AES-256. OpenVPN fonctionne en UDP et TCP avec AES-256-GCM. IKEv2/IPSec est disponible sur certaines plateformes pour des connexions mobiles rapides.

Lightway mérite une attention particulière. Sa base de code contient environ 2 000 lignes de code, comparée aux 70 000+ d’OpenVPN. Moins de lignes signifient moins de vulnérabilités potentielles et des temps de connexion plus rapides, sous 1 seconde. Cure53 et Praetorian ont audité la réécriture en Rust de Lightway en 2024, et ExpressVPN a publié le code en tant que logiciel open source sur GitHub.

Confidentialité persistante (Perfect Forward Secrecy)

ExpressVPN négocie une nouvelle clé de chiffrement pour chaque session de connexion. Si un attaquant parvenait à compromettre une clé de session, les sessions passées et futures resteraient protégées. Cette fonctionnalité empêche le déchiffrement rétroactif en masse du trafic capturé.

Coupe-circuit et protection contre les fuites DNS

ExpressVPN appelle son coupe-circuit « Network Lock ». Il s’active par défaut sur Windows, Mac, Linux et les routeurs. Network Lock bloque tout le trafic internet si la connexion VPN se coupe de manière inattendue.

Network Lock fonctionne au niveau du pare-feu, et non au niveau des applications. Cette approche empêche les fuites lors des brèves fenêtres de reconnexion que les coupe-circuits au niveau applicatif manquent souvent. Il n’autorise le trafic qu’à travers le tunnel VPN et vers les serveurs DNS d’ExpressVPN.

ExpressVPN gère ses propres DNS privés et chiffrés sur chaque serveur. Vos requêtes DNS ne transitent jamais par des fournisseurs DNS tiers comme Google ou Cloudflare. Cela élimine le risque de fuite DNS au niveau de l’infrastructure plutôt que de dépendre de correctifs logiciels.

Les outils de test indépendants montrent systématiquement zéro fuite DNS, zéro fuite WebRTC et zéro fuite IPv6 dans les principales applications d’ExpressVPN. Le micrologiciel du routeur étend cette protection à tous les appareils de votre réseau.

Incidents de sécurité passés

Aucun produit de sécurité n’échappe à l’examen. ExpressVPN a fait face à deux incidents notables qui méritent d’être examinés.

La saisie de serveur en Turquie (2017)

Les autorités turques ont enquêté sur l’assassinat de l’ambassadeur russe Andreï Karlov. Elles ont saisi un serveur ExpressVPN à la recherche de communications des suspects. Le serveur ne contenait aucune donnée exploitable, validant l’infrastructure zéro journal sous une pression réelle des forces de l’ordre.

L’acquisition par Kape Technologies (2021)

Kape Technologies a acquis ExpressVPN pour environ 936 millions de dollars en septembre 2021. Kape opérait auparavant sous le nom de Crossrider, une société associée à la distribution de logiciels publicitaires avant son changement de marque. Cette acquisition a soulevé des préoccupations légitimes parmi les défenseurs de la vie privée.

ExpressVPN a répondu en maintenant ses opérations indépendantes et sa juridiction des Îles Vierges britanniques. ExpressVPN a depuis commandé des travaux d’assurance supplémentaires, notamment un rapport KPMG datant de mai 2025 sans exceptions concernant la journalisation des activités utilisateur, bien qu’il s’agisse d’un examen ponctuel. L’entreprise a conservé son équipe de direction et a continué à publier les résultats des audits de manière transparente. Les utilisateurs doivent surveiller les audits futurs pour vérifier la poursuite de l’indépendance.

Fonctionnalités de sécurité uniques

ExpressVPN propose plusieurs fonctionnalités de sécurité qui le distinguent de ses concurrents ayant des normes de chiffrement similaires.

Technologie TrustedServer

Chaque serveur ExpressVPN fonctionne entièrement sur de la RAM volatile, et non sur des disques durs. Les serveurs chargent une image en lecture seule à chaque démarrage. Toutes les données sont entièrement effacées à chaque redémarrage du serveur. Cette architecture rend le stockage persistant de données physiquement impossible sur les serveurs VPN.

Threat Manager

Threat Manager empêche les applications et les sites web de communiquer avec des traceurs connus et des serveurs malveillants. Il fonctionne au niveau DNS sur tous les appareils connectés. ExpressVPN met régulièrement à jour ses listes de blocage sur la base de données de renseignements sur les menaces.

Express Keys (gestionnaire de mots de passe)

ExpressVPN inclut un gestionnaire de mots de passe intégré appelé Keys avec tous les abonnements. Keys utilise un chiffrement à connaissance zéro, ce qui signifie qu’ExpressVPN ne peut pas accéder à vos mots de passe stockés. Cette intégration apporte une valeur pratique en matière de sécurité au-delà du tunnel VPN lui-même.

Protection post-quantique

ExpressVPN a intégré la prise en charge de la cryptographie post-quantique dans son protocole Lightway. Cette fonctionnalité protège contre les futures attaques par ordinateur quantique qui pourraient briser les normes de chiffrement actuelles. Peu de fournisseurs VPN ont mis en œuvre cette protection à l’heure des tests actuels.

Ressources pour cette page

Graphiques et images de référence issus de nos recherches, libres de consultation et de partage.

• 

• Is ExpressVPN Safe? Security, Privacy & Audit AnalysisPDF · 1.2 MB

Questions fréquemment posées

TousSécurité et confidentialitéFonctionnementConfiguration & Support

ExpressVPN est-il sûr à utiliser en général ?

Oui. ExpressVPN obtient une note de confiance de 86/100, soutenue par le chiffrement AES-256, l’infrastructure TrustedServer en RAM uniquement, et une politique stricte de non-enregistrement couverte par un rapport d’assurance de Type I du KPMG datant de mai 2025 (aucune exception sur l’objectif de contrôle relatif à l’enregistrement des activités des utilisateurs). Il est constitué dans les Îles Vierges britanniques, en dehors des alliances de surveillance des 14 Eyes, et sa politique de non-enregistrement s’est avérée fiable lorsque les autorités turques ont saisi un serveur en 2017 et n’ont trouvé aucune donnée utilisateur.

Pourquoi la juridiction des Îles Vierges britanniques d’ExpressVPN est-elle importante pour la confidentialité des utilisateurs ?

Les IVB n’ont aucune loi sur la rétention obligatoire des données et se situent en dehors des alliances de surveillance des 5, 9 et 14 Eyes, de sorte que les demandes gouvernementales étrangères doivent obtenir l’approbation de la Haute Cour des IVB avant d’atteindre ExpressVPN. Cette protection juridique a été testée directement en 2017, lorsque les autorités turques ont saisi un serveur lors d’une enquête politique et n’ont trouvé aucune donnée utilisateur stockée.

Qu’ont réellement vérifié les audits indépendants concernant ExpressVPN ?

KPMG a émis un rapport d’assurance de type I daté du 8 mai 2025 sur TrustedServer, au 28 février 2025, sans exception sur l’objectif de contrôle couvrant l’enregistrement des activités des utilisateurs. Il a été commandé par ExpressVPN et constitue un examen ponctuel, non une surveillance continue. Cure53 fait référence à au moins 16 rapports de pentest ExpressVPN (2018 à 2026) sur son propre site, et Cure53 et Praetorian ont audité la réécriture en Rust de Lightway en 2024, tous les résultats ayant été corrigés au nouvel essai.

Quelles données ExpressVPN collecte-t-il réellement s’il ne journalise pas les activités ?

ExpressVPN ne stocke pas l’historique de navigation, les adresses IP, les requêtes DNS ni les horodatages de connexion. Il collecte des données agrégées non liées aux comptes individuels : version de l’application, localisation générale du serveur choisie et bande passante totale consommée par jour, purement pour gérer la capacité des serveurs. Les détails de facturation comme votre e-mail et vos informations de paiement sont conservés séparément ; le Bitcoin ou une adresse e-mail jetable limitent davantage cette empreinte.

En quoi le protocole Lightway d’ExpressVPN se compare-t-il à OpenVPN sur le plan de la sécurité ?

Lightway est le protocole propriétaire d’ExpressVPN construit sur wolfSSL, utilisant environ 2 000 lignes de code par rapport aux 70 000+ d’OpenVPN, ce qui signifie moins de vulnérabilités potentielles et des temps de connexion plus rapides, inférieurs à une seconde. Il prend en charge le chiffrement ChaCha20 ou AES-256, utilise la confidentialité persistante directe pour faire tourner les clés à chaque session, et Cure53 et Praetorian ont audité sa réécriture en Rust en 2024.

Le kill switch d’ExpressVPN arrête-t-il vraiment les fuites si la connexion se coupe ?

Oui. Le kill switch d’ExpressVPN, appelé Network Lock, s’active par défaut sur Windows, Mac, Linux et les routeurs, et fonctionne au niveau du pare-feu plutôt qu’au niveau de l’application, fermant les brèves fenêtres de reconnexion que les commutateurs de niveau application manquent souvent. Il bloque tout le trafic sauf celui transitant par le tunnel VPN et les serveurs DNS privés d’ExpressVPN, et vous pouvez confirmer qu’il n’y a pas de fuites DNS, WebRTC ou IPv6 avec un test de fuite.

Dois-je craindre que Kape Technologies possède ExpressVPN ?

C’est une question légitime qui mérite une compréhension claire, mais ce n’est pas un motif d’inquiétude majeur. Kape a acquis ExpressVPN pour une somme signalée en septembre 2021 et opérait auparavant sous le nom de Crossrider, une entreprise associée à des logiciels publicitaires. Depuis l’acquisition, ExpressVPN a conservé son équipe de direction, maintenu sa juridiction aux Îles Vierges britanniques et commandité un rapport d’assurance KPMG sans logs en 2025 sans exceptions sur la journalisation des activités utilisateur, ce qui suggère que l’indépendance opérationnelle a été préservée.

Qu’est-ce que la protection post-quantique et ExpressVPN l’a-t-il réellement ?

La cryptographie post-quantique protège le trafic chiffré contre les futurs ordinateurs quantiques assez puissants pour briser les normes actuelles comme l’AES-256. ExpressVPN a implémenté la prise en charge de la protection post-quantique dans son protocole Lightway, le plaçant devant la plupart des fournisseurs VPN qui n’ont pas encore ajouté cette couche. Elle fonctionne aux côtés de la confidentialité persistante existante d’ExpressVPN, qui fait pivoter les clés de chiffrement à chaque session indépendamment du risque quantique.

Quelle est la politique de remboursement d’ExpressVPN si les fonctionnalités de sécurité ne répondent pas à vos attentes ?

ExpressVPN offre une garantie de remboursement de 30 jours sur tous les forfaits, vous donnant un mois complet pour tester Network Lock, la protection contre les fuites DNS et l’architecture RAM-only de TrustedServer avant de vous engager. Cette fenêtre de garantie correspond à celle proposée par NordVPN et ProtonVPN, de sorte que tester vous-même les affirmations de non-enregistrement ne comporte aucun risque financier au cours de cette période.

Combien d’appareils un compte ExpressVPN protège-t-il à la fois ?

ExpressVPN couvre 10 à 14 connexions d’appareils simultanés selon le niveau de plan que vous choisissez. Chaque appareil connecté bénéficie des mêmes protections : chiffrement AES-256, coupe-circuit Network Lock au niveau du pare-feu, et serveurs DNS privés d’ExpressVPN, de sorte qu’un ménage exécutant plusieurs téléphones, ordinateurs portables et une installation de routeur reste couvert par un seul abonnement.

Comment puis-je confirmer que la protection contre les fuites DNS d’ExpressVPN fonctionne réellement sur mon appareil ?

ExpressVPN exécute son propre DNS privé et chiffré sur chaque serveur, de sorte que vos requêtes ne passent jamais par des fournisseurs tiers comme Google ou Cloudflare. Exécutez un test de fuite via un vérificateur de fuites DNS pendant que vous êtes connecté et confirmez que les résultats affichent uniquement les propres serveurs DNS d’ExpressVPN, et non ceux de votre fournisseur d’accès Internet.

Qu’advient-il de mon trafic si ExpressVPN se déconnecte de manière inattendue ?

Network Lock, le coupe-circuit d’ExpressVPN, bloque tout le trafic internet dès que la connexion VPN s’interrompt, car il fonctionne au niveau du pare-feu plutôt qu’au niveau de l’application. Cela ferme les brèves fenêtres de reconnexion où les coupe-circuits au niveau applicatif d’autres services peuvent divulguer votre véritable IP. Il est activé par défaut sur Windows, Mac, Linux et les installations de routeur.

La sécurité renforcée d’ExpressVPN ralentit-elle la vitesse ?

Pas de manière significative. ExpressVPN se classe #2 sur 22 dans notre Score de Confiance, agrégé à partir de tests tiers publiés, malgré le chiffrement AES-256 complet et l’architecture TrustedServer en RAM uniquement sur chaque connexion. La base de code allégée de Lightway, environ 2 000 lignes contre plus de 70 000 pour OpenVPN, aide à compenser la surcharge que les fonctionnalités de sécurité plus lourdes ajoutent généralement au débit.