האם ExpressVPN בטוח? ניתוח אבטחה, פרטיות ובדיקה עצמאית

האם ExpressVPN בטוח? צלילה עמוקה לאבטחה

ExpressVPN מקבלת ניקוד אמון של 85/100 בהתאם לדוח ביטוח no-logs שפורסם של KPMG, הצפנה AES-256 וחניויות RAM בלבד על פני 105 מדינות. היא פועלת תחת תחום שיפוט של איים הבתולה הבריטיים, מחוץ לברית מודיעין 14 Eyes. דוח ביטוח של KPMG ובדיקות אבטחה חוזרות של Cure53 תומכות בטענות הפרטיות והאבטחה שלה, במסגרת ההגבלות המתוארות להלן.

תחום שיפוט: למה איים בתי הים הבריטיים משנים הכל

ExpressVPN משולבת באיים בתי הים הבריטיים, טריטוריה בעלת ממשל עצמי בריטית כללית. ל-BVI אין חוקי שמירת נתונים חובה עבור ספקי VPN. עובדה בודדת זו מעצבת כיצד ExpressVPN משיבה לבקשות נתונים של ממשלה.

ה-BVI יושבת מחוץ לברית הסיגל של 5 Eyes, 9 Eyes, ו-14 Eyes. בקשות ממשלתיות זרות חייבות לעבור דרך בית המשפט הגבוה של BVI לפני שמגיעות ל-ExpressVPN. ל-BVI אין חובה משפטית לכבד הודעות קיצור דין או צווי מעקב זרים ישירות.

יתרון תחום שיפוט זה הוכיח כנכון בשנת 2017. רשויות טורקיות תפסו שרת ExpressVPN במהלך חקירה פוליטית. השרת היה מכיל אפס נתוני משתמש, מה שמאשר שמדיניות ללא רישומים עבדה תחת לחץ ממשלתי בפועל.

היסטוריה של בדיקות עצמאיות

ExpressVPN השלימה יותר בדיקות אבטחה של צד שלישי מרוב המתחרים. כל בדיקה בדקה היבטים שונים של תביעות הפרטיות והאבטחה של השירות.

דוח ביטוח ללא רישומים של KPMG

KPMG LLP (UK) הוציאה דוח ביטוח סביר מסוג ISAE (UK) 3000 Type I מיום 8 במאי 2025 בנוגע ל-TrustedServer של ExpressVPN, נכון ל-28 בפברואר 2025, ללא הוצאות על יעד הבקרה המכסה רישום פעילות משתמשים. זהו דוח בנקודת זמן מסוים שהוזמן על ידי ExpressVPN, ולא ניטור מתמשך, וניתן לקרוא אותו לאחר קבלת התנאים של KPMG. ExpressVPN אומרת שהיא הזמינה גם התחייבויות ביטוח קודמות.

ביקורות אבטחה של Cure53

Cure53, חברת סייבר גרמנית מוערכת, מקשרת לפחות 16 דוחות pentest של ExpressVPN (2018 עד 2026) באתר שלה, המכסים אפליקציות, הרחבות, נתבים, את פרוטוקול Lightway ו-TrustedServer. בסתיו 2024, Cure53 ו-Praetorian שניהם ביקרו את כתיבה מחדש של Rust של ExpressVPN של Lightway. Cure53 מצאה בעיה אחת בחומרה גבוהה של denial-of-service וארבע בעיות בדירוג נמוך יותר, ו-Praetorian מצאה שתי בעיות בסיכון נמוך, כולן תוקנו בבדיקה חוזרת.

עמוד אמון של ExpressVPN מפרט כ-30 דוחות ביקורת בסך הכל, וCure53 מקשר את דוחות ה-ExpressVPN שלו בפומבי, מה שמעיד על שקיפות גבוהה מהממוצע בתעשיית ה-VPN.

מדיניות רישום: מה מאוחסן ומה לא

מדיניות הפרטיות של ExpressVPN קובעת בבירור אילו נתונים היא אוספת. הבנת הפרטים חשובה יותר מטענות שיווק.

נתונים ש-ExpressVPN לא מאחסנת

ExpressVPN לא מתעדת את היסטוריית הגלישה שלך, יעד תעבורה, שאילתות DNS, או כתובת IP. היא לא רושמת חותמות זמן של חיבור, משך הפעלה, או כתובות IP של VPN שהוקצו. לא תוכן של התקשורות שלך עובר דרך שום מערכת רישום.

נתונים שExpressVPN כן אוספת

ExpressVPN אוספת נתוני חיבור מצטברים: אילו גרסת יישום אתה משתמש, אילו מיקום שרת בחרת (לא שרת ספציפי), וסך כל רוחב הפס המנוצל ביום. נתונים אלה לא יכולים לזהות משתמשים בודדים או לקשור פעילות לחשבונות ספציפיים. היא משתמשת בממידע זה כדי לשמור על קיבולת שרת על פני רשת של 3,000+ שרתים שלה.

דוא”ל החשבון שלך, מידע תשלום, והיסטוריית כרטיסי תמיכה מאוחסנים למטרות חיוב. משתמשים שרוצים אנונימיות מקסימלית יכולים לשלם עם Bitcoin או להשתמש בכתובת דוא”ל חד-פעמית.

סטנדרטי הצפנה וטוקולים

ExpressVPN משתמשת בהצפנת AES-256-GCM כסטנדרט ברירת המחדל שלה. זו אותה רמת הצפנה המשמשת את ממשלת ארה”ב למידע סווג. פריצת AES-256 תדרוש כוח חישובי שאינו קיים כרגע.

פרוטוקולים זמינים

ExpressVPN מציעה 4 פרוטוקולי VPN ביישומים שלה. Lightway הוא הפרוטוקול החמקני שלה, בנוי על wolfSSL ובשימוש ב-ChaCha20 או הצפנת AES-256. OpenVPN פועל על UDP וגם TCP עם AES-256-GCM. IKEv2/IPSec זמין בפלטפורמות נבחרות לחיבורים ניידים מהירים.

Lightway ראויה לתשומת לב מיוחדת. קוד הבסיס שלה מכיל בערך 2,000 שורות קוד, בהשוואה ל-70,000+ של OpenVPN. פחות שורות פירושן פחות כולנות פוטנציאליות ומהירות חיבור מהירה יותר מ-1 שנייה. Cure53 ו-Praetorian ביקרו את שכתוב ה-Rust של Lightway ב-2024, ו-ExpressVPN פרסמה את הקוד כ-open source ב-GitHub.

Perfect Forward Secrecy

ExpressVPN משא מפתח הצפנה חדש עבור כל הפעלת חיבור. אם תוקף כלשהו פשרר בדרך כלשהי מפתח הפעלה אחד, הפעלות עבר ועתיד נשארות מוגנות. תכונה זו מונעת פענוח רטרואקטיבי בתפקיד של תעבורה שצולמה.

Kill Switch והגנת דזילוג DNS

ExpressVPN קוראת ל-kill switch שלה “Network Lock.” היא מופעלת כברירת מחדל ב-Windows, Mac, Linux, וראוטרים. Network Lock חוסמת את כל תנועת האינטרנט אם חיבור ה-VPN נשמט בלתי צפוי.

Network Lock עובדת ברמת חומת אש, לא ברמת יישום. גישה זו מונעת דזילוגים במהלך חלונות חיבור מחודש קצרים שמתגי kill ברמת יישום לעתים קרובות מפספסות. היא מאפשרת תנועה רק דרך מנהרת ה-VPN וליישומי DNS של ExpressVPN.

ExpressVPN מפעילה DNS פרטי משלה, מוצפן, בכל שרת. שאילתות DNS שלך לעולם לא נוגעות בספקי DNS של צד שלישי כמו Google או Cloudflare. זה מצטרף קבילות דזילוג DNS ברמת התשתית במקום להסתמך על טלאים בתוכנה.

כלים בדיקה עצמאיים בעקביות מראים דזילוג אפס, דזילוג WebRTC אפס, ודזילוג IPv6 אפס ברחבי יישומי ExpressVPN הגדולים. קושחת הראוטר מרחיבה הגנה זו לכל מכשיר ברשת שלך.

תקריות אבטחה בעבר

שום מוצר אבטחה לא קיים ללא בחינה. ExpressVPN עמדה בפני שתי תקריות בעלות משקל שכדאי לבדוק.

התפיסה של שרת טורקיה (2017)

רשויות טורקיות חקרו את הרצח של שגריר רוסי אנדריי קרלוב. הם תפסו שרת ExpressVPN המחפש תקשורת חשוד. השרת היה מכיל נתונים שמישים אפס, התקבל אישור על תשתית ללא רישומים תחת לחץ אכיפת חוק בעולם בפועל.

רכישת טכנולוגיות Kape (2021)

Kape Technologies קנתה את ExpressVPN בכ-936 מיליון דולר בספטמבר 2021. Kape פעלה בעבר בשם Crossrider, חברה הקשורה להפצת adware לפני שינוי חדש. רכישה זו העלתה חששות לגיטימיים בקרב עדוכי פרטיות.

ExpressVPN הגיבה על ידי שמירה על פעולותיה העצמאיות ותחום השיפוט של BVI. ExpressVPN הזמינה מאז עבודת הבטוח נוספת, כולל דוח KPMG מדצמבר 2025 ללא חריגים על רישום פעילויות משתמשים, אם כי מדובר בבדיקה בנקודת זמן ספציפית. החברה שמרה על צוות ההנהלה שלה והמשיכה בהוצאת תוצאות ביקורת בשקיפות. משתמשים צריכים לנטר ביקורות עתידיות כדי לאמת עצמאות מתמשכת.

תכונות אבטחה ייחודיות

ExpressVPN מציעה מספר תכונות אבטחה המבדילות אותה מתחרים עם סטנדרטים דומים של הצפנה.

טכנולוגיה TrustedServer

כל שרת ExpressVPN פועל כולו על RAM תנודתי, לא כוננים קשים. שרתים טוענים תמונה קרובה רק בכל הריצה. כל הנתונים נמחקים לחלוטין עם כל הריצה מחדש של שרת. ארכיטקטורה זו הופכת אחסון נתונים קבוע בלתי אפשרי פיזית על שרתי VPN.

מנהל איום

Threat Manager חוסמת אפליקציות ואתרים מתקשורת עם גששים ידועים ושרתים זדוניים. היא פועלת ברמת DNS בכל מכשירים מחוברים. ExpressVPN מעדכנת את רשימות ההחסימה שלה באופן קבוע בהתאם לנתוני אינטליגנציה איום.

Express Keys (מנהל סיסמאות)

ExpressVPN מצרפת מנהל סיסמאות מובנה שנקרא Keys לכל המנויים. Keys משתמשת בהצפנה זירו-ידע, כלומר ExpressVPN לא יכולה לגשת לסיסמאות שמאוחסנות שלך. שילוב זה מוסיף ערך אבטחה מעשי מעבר למנהרת ה-VPN עצמה.

הגנה לאחר קוונטום

ExpressVPN יישמה תמיכה בהצפנוגרפיה לאחר קוונטום בפרוטוקול Lightway שלה. תכונה זו מגנה מפני התקפות מחשוב קוונטום בעתיד שיכול להשבור סטנדרטי הצפנה נוכחיים. מעט ספקי VPN יישמו הגנה זו החל מבדיקה נוכחית.

משאבים לדף זה

תרשימים ותמונות עזר מהמחקר שלנו, חינמיים לצפייה ושיתוף.

• 

שאלות נפוצות

הכולבטיחות ופרטיותאיך זה עובדהגדרה ותמיכה

האם ExpressVPN בטוח לשימוש בסך הכל?

כן. ExpressVPN מחזיק בציון אמון של 85/100, תומך בהצפנת AES-256, תשתית TrustedServer המופעלת רק בזיכרון RAM, ומדיניות קפדנית של no-logs המכוסה בדוח הערכה מסוג I של KPMG מתאי 2025 (ללא חריגים בהנוגע לרישום פעילות משתמש). היא משולבת בברזיל הקריביים, מחוץ לברית 14 Eyes, וטענת ה-no-logs שלה הוכחה כעובדתית כאשר רשויות טורקיות כבשו שרת ב-2017 ומצאו שום נתוני משתמש.

למה חשוב טוען שיפוט של איים בתי הים הבריטיים של ExpressVPN לפרטיות משתמש?

ל-BVI אין חוקי שמירת נתונים חובה וישבה מחוץ לברית סיגל של 5, 9, ו-14 Eyes, כך בקשות ממשלתיות זרות חייבות לנקות בית משפט גבוה של BVI לפני שמגיעות ל-ExpressVPN. בידוד משפטי זה נבדק ישירות בשנת 2017, כשרשויות טורקיות תפסו שרת במהלך חקירה פוליטית ומצאו אפס אחסון נתוני משתמש.

מה אימתו בפועל ביקורות בלתי תלויות בנוגע ל-ExpressVPN?

KPMG הוציאה דוח ביטחון מסוג Type I שנערך ב-8 במאי 2025 על TrustedServer, לתאריך 28 בפברואר 2025, ללא חריגות בנושא בקרה על רישום פעילות משתמשים. הדוח הוזמן על ידי ExpressVPN והוא נקודתי בזמן, לא ניטור מתמשך. Cure53 מקשרת לפחות 16 דוחות pentest של ExpressVPN (2018 עד 2026) באתר שלה, ו-Cure53 וגם Praetorian בדקו את כתיבת ה-Lightway מחדש ב-Rust ב-2024, כאשר כל הממצאים תוקנו בבדיקה חוזרת.

אילו נתונים בדיוק ExpressVPN אוספת אם היא לא מתעדת פעילות?

ExpressVPN לא אחסנת היסטוריית גלישה, כתובות IP, שאילתות DNS, או חותמות זמן של חיבור. היא כן אוספת נתונים מצטברים לא קשורים לחשבונות בודדים: גרסת יישום, מיקום שרת כללי שנבחר, וסך כל רוחב פס יומי משומש, בלבד כדי לנהל קיבולת שרת. פרטי חיוב כמו דוא”ל וטריקה תשלום שמורים בנפרד; Bitcoin או דוא”ל חד-פעמית מגבילים את הטביעה הזאת עוד יותר.

כיצד פרוטוקול Lightway של ExpressVPN משתווה ל-OpenVPN מבחינת אבטחה?

Lightway הוא הפרוטוקול הקנייני של ExpressVPN, שנבנה על wolfSSL, ומשתמש בכ-2,000 שורות קוד בהשוואה ל-70,000+ של OpenVPN, כלומר פחות חולשות פוטנציאליות וזמני חיבור מהירים יותר מתחת לשנייה. הוא תומך בהצפנה ChaCha20 או AES-256, משתמש בהצפנה עתידית מושלמת כדי לסובב מפתחות לכל הפעלה, ו-Cure53 ו-Praetorian ביקרו את כתיבת ה-Rust שלו ב-2024.

האם מנגנון ההשהיה של ExpressVPN באמת עוצר דליפות אם החיבור מנותק?

כן. מנגנון ההשהיה של ExpressVPN, המכונה Network Lock, מופעל כברירת מחדל ב-Windows, Mac, Linux וניתבים, ופועל ברמת חומת האש ולא ברמת האפליקציה, וסוגר חלונות קישור קצרים שמנגנונים ברמת האפליקציה לעתים קרובות מפספסים. הוא חוסם את כל התעבורה למעט דרך מנהרת ה-VPN ושרתי DNS הפרטיים של ExpressVPN, ותוכל לאשר שאין דליפות DNS, WebRTC או IPv6 באמצעות בדיקת דליפה.

האם אני צריך לדאוג שKape Technologies בבעלות ExpressVPN?

זו שאלה לגיטימית שכדאי להבין, אך היא אינה סיבה לדאוגה חמורה. Kape רכשה את ExpressVPN בסכום שדווח בספטמבר 2021 והופעלה בעבר כ-Crossrider, חברה הקשורה להפצת תוכנות זדוניות. מאז הרכישה, ExpressVPN שמרה על צוות ההנהלה שלה, החזיקה בתחום ההשיפור BVI, והזמינה דוח ביטחון no-logs של KPMG בשנת 2025 ללא חריגים ביחס ללוגים של פעילות משתמשים, מה שמצביע על שמירת עצמאות תפעולית.

מה זה הגנה לאחר קוונטום והאם ExpressVPN בעצם יש אותה?

הצפנוגרפיה לאחר קוונטום מגנה על תנועה מוצפנת מפני מחשבים קוונטיים בעתיד חזקים מספיק לשבור סטנדרטים נוכחיים כמו AES-256. ExpressVPN יישמה תמיכה בהגנה לאחר קוונטום בתוך פרוטוקול Lightway שלה, מה שמעמיד אותה קדימה מרוב ספקי VPN שעדיין לא הוסיפו שכבה זו. היא פועלת לצד perfect forward secrecy קיימת של ExpressVPN, שמסובבת מפתחות הצפנה כל הפעלה ללא קשר לסיכון קוונטום.

מה היא מדיניות ההחזר של ExpressVPN אם תכונות הביטחון לא עומדות בציפיות?

ExpressVPN תומכת בכל תוכנית עם ערבות החזר כספי ל-30 ימים, המאפשרת לך חודש שלם לבדוק את Network Lock, הגנת דיווחי DNS ו-TrustedServer בעלות הארכיטקטורה RAM בלבד לפני התחייבות. זה תואם את חלון הערבות שמוצעת על ידי NordVPN ו-ProtonVPN, כך שבדיקה של טענות ה-no-logs בעצמך נושאת בסיכון כספי אפס בתוך התקופה הזו.

כמה מכשירים חשבון ExpressVPN אחד מגן בו בו זמנית?

ExpressVPN מכסה חיבורי מכשיר בו זמנית של 10 עד 14 בהתאם לרמת התוכנית שבה אתה בוחר. כל מכשיר מחובר מקבל את אותן הגנות: הצפנת AES-256, מתג kill ברמת חומת אש של Network Lock, וישומי DNS פרטיים של ExpressVPN, כך משק בית המפעיל טלפונים, מחשבים ניידים, והכנת ראוטר מרובים נשארים מכוסים תחת מנוי אחד.

כיצד אני יכול לאשר שהגנת ה-DNS של ExpressVPN פועלת בהצלחה בהתקן שלי?

ExpressVPN מריץ DNS פרטי והצפנה שלו בכל שרת, כך שהשאילתות שלך לעולם לא מנותבות דרך ספקי צד שלישי כמו Google או Cloudflare. הפעל בדיקת דליפה דרך בודק דליפת DNS בזמן שאתה מחובר והאשר שהתוצאות מראות רק שרתי DNS של ExpressVPN, לא של ספק האינטרנט שלך.

מה קורה לתנועה שלי אם ExpressVPN מנותקת בלתי צפוי?

Network Lock, ה-kill switch של ExpressVPN, חוסמת את כל תנועת האינטרנט ברגע שחיבור ה-VPN נשמט, מכיוון שהוא פועל ברמת חומת אש במקום רמת יישום. זה סוגר את חלונות החיבור המחודש קצרים שבהם ה-kill switches ברמת יישום בשירותים אחרים יכולים לדוג את כתובת ה-IP בפועל שלך. היא מופעלת כברירת מחדל ב-Windows, Mac, Linux, והתקני ראוטר.

האם אבטחה חזקה של ExpressVPN באה במחיר של מהירות?

לא משמעותית. ExpressVPN דורג #8 מתוך 22 ב-Speed Lab שלנו, מצטבר מבדיקות שפורסמו של צד שלישי, למרות שהוא פועל עם הצפנה AES-256 מלאה בתוספת ארכיטקטורת TrustedServer של RAM בלבד בכל חיבור. קוד בסיס Lightway הרזה, בערך 2,000 שורות לעומת 70,000+ של OpenVPN, עוזר לפצות על התקורה שתכונות אבטחה כבדות יותר בדרך כלל מוסיפות לתפוקה.