ExpressVPN è Sicuro? Analisi di Sicurezza, Privacy e Audit

ExpressVPN è Sicuro? Un’Analisi Approfondita della Sicurezza

ExpressVPN ottiene un punteggio di fiducia di 85/100 basato su un rapporto di attestazione KPMG pubblicato sulla politica no-logs, sulla crittografia AES-256 e su server solo RAM in 105 paesi. Opera sotto la giurisdizione delle Isole Vergini Britanniche, al di fuori delle alleanze di sorveglianza 14 Eyes. Un rapporto di attestazione KPMG e ripetuti audit di sicurezza Cure53 supportano le sue affermazioni sulla privacy e la sicurezza, entro i limiti descritti di seguito.

Giurisdizione: Perché le Isole Vergini Britanniche Contano

ExpressVPN è costituita nelle Isole Vergini Britanniche, un territorio britannico d’oltremare autogovernato. Le IVB non prevedono leggi obbligatorie sulla conservazione dei dati per i provider VPN. Questo singolo fatto determina come ExpressVPN risponde alle richieste di dati governativi.

Le IVB si trovano al di fuori delle alleanze di condivisione dell’intelligence dei 5 Eyes, 9 Eyes e 14 Eyes. Le richieste dei governi stranieri devono passare attraverso l’Alta Corte delle IVB prima di raggiungere ExpressVPN. Le IVB non hanno alcun obbligo legale di rispettare direttamente mandati o ordini di sorveglianza stranieri.

Questo vantaggio giurisdizionale si è dimostrato reale nel 2017. Le autorità turche hanno sequestrato un server ExpressVPN durante un’indagine politica. Il server non conteneva alcun dato degli utenti, confermando che la politica no-logs ha funzionato sotto la reale pressione governativa.

Storico degli Audit Indipendenti

ExpressVPN ha completato più audit di sicurezza di terze parti rispetto alla maggior parte dei concorrenti. Ogni audit ha esaminato diversi aspetti delle affermazioni sulla privacy e sicurezza del servizio.

Rapporto di Assurance No-Logs KPMG

KPMG LLP (UK) ha emesso un rapporto di assurance ragionevole ISAE (UK) 3000 Type I datato 8 maggio 2025 su TrustedServer di ExpressVPN, al 28 febbraio 2025, senza eccezioni sull’obiettivo di controllo relativo alla registrazione dell’attività degli utenti. È un rapporto riferito a un momento specifico commissionato da ExpressVPN, non un monitoraggio continuo, ed è leggibile dopo l’accettazione dei termini di KPMG. ExpressVPN afferma di aver commissionato anche incarichi di assurance precedenti.

Audit di Sicurezza Cure53

Cure53, una rispettata azienda di cybersecurity tedesca, collega almeno 16 rapporti di pentest di ExpressVPN (2018-2026) sul proprio sito web, coprendo app, estensioni, router, il protocollo Lightway e TrustedServer. Nell’autunno 2024, Cure53 e Praetorian hanno entrambi sottoposto a audit la riscrittura in Rust di Lightway di ExpressVPN. Cure53 ha trovato un problema di denial-of-service di gravità alta e quattro problemi di gravità inferiore, e Praetorian ha trovato due problemi di rischio basso, tutti corretti alla verifica successiva.

La pagina di fiducia di ExpressVPN elenca circa 30 rapporti di audit in totale, e Cure53 collega i propri rapporti di ExpressVPN pubblicamente, il che dimostra una trasparenza superiore alla media per l’industria VPN.

Politica di Registrazione: Cosa Viene Conservato e Cosa No

La politica sulla privacy di ExpressVPN indica chiaramente quali dati raccoglie. Comprendere i dettagli è più importante delle affermazioni di marketing.

Dati che ExpressVPN NON Conserva

ExpressVPN non registra la cronologia di navigazione, la destinazione del traffico, le query DNS o l’indirizzo IP. Non registra timestamp di connessione, durata della sessione o indirizzi IP VPN assegnati. Nessun contenuto delle tue comunicazioni passa attraverso alcun sistema di registrazione.

Dati che ExpressVPN RACCOGLIE

ExpressVPN raccoglie dati di connessione aggregati: quale versione dell’app si utilizza, quale posizione del server si è scelta (non il server specifico) e la larghezza di banda totale consumata al giorno. Questi dati non possono identificare i singoli utenti o collegare l’attività ad account specifici. Utilizza queste informazioni per mantenere la capacità dei server nella sua rete di oltre 3.000 server.

L’email del tuo account, le informazioni di pagamento e la cronologia dei ticket di supporto vengono conservate per scopi di fatturazione. Gli utenti che desiderano il massimo anonimato possono pagare con Bitcoin o utilizzare un indirizzo email usa e getta.

Standard di Crittografia e Protocolli

ExpressVPN utilizza la crittografia AES-256-GCM come standard predefinito. Questo è lo stesso livello di crittografia utilizzato dal governo degli Stati Uniti per le informazioni classificate. Violare AES-256 richiederebbe una potenza computazionale che attualmente non esiste.

Protocolli Disponibili

ExpressVPN offre 4 protocolli VPN nelle sue app. Lightway è il suo protocollo proprietario, basato su wolfSSL e che utilizza la crittografia ChaCha20 o AES-256. OpenVPN funziona sia su UDP che su TCP con AES-256-GCM. IKEv2/IPSec è disponibile su piattaforme selezionate per connessioni mobili veloci.

Lightway merita un’attenzione particolare. La sua base di codice contiene circa 2.000 righe di codice, rispetto alle 70.000+ di OpenVPN. Meno righe significano meno vulnerabilità potenziali e tempi di connessione più rapidi, sotto 1 secondo. Cure53 e Praetorian hanno sottoposto a audit la riscrittura Rust di Lightway del 2024, e ExpressVPN ha pubblicato il codice come open source su GitHub.

Perfect Forward Secrecy

ExpressVPN negozia una nuova chiave di crittografia per ogni sessione di connessione. Se un attaccante compromettesse in qualche modo una chiave di sessione, le sessioni passate e future rimarrebbero protette. Questa funzionalità impedisce la decrittazione retroattiva massiva del traffico catturato.

Kill Switch e Protezione dalle Fughe DNS

ExpressVPN chiama il suo kill switch “Network Lock”. Si attiva per impostazione predefinita su Windows, Mac, Linux e router. Network Lock blocca tutto il traffico internet se la connessione VPN cade inaspettatamente.

Network Lock funziona a livello di firewall, non a livello di applicazione. Questo approccio previene le fughe durante le brevi finestre di riconnessione che i kill switch a livello applicativo spesso non riescono a gestire. Consente il traffico solo attraverso il tunnel VPN e verso i server DNS di ExpressVPN.

ExpressVPN gestisce il proprio DNS privato e crittografato su ogni server. Le tue query DNS non raggiungono mai provider DNS di terze parti come Google o Cloudflare. Questo elimina il rischio di fughe DNS a livello infrastrutturale piuttosto che fare affidamento su patch software.

I tool di test indipendenti mostrano costantemente zero fughe DNS, zero fughe WebRTC e zero fughe IPv6 nelle principali app di ExpressVPN. Il firmware del router estende questa protezione a ogni dispositivo sulla rete.

Incidenti di Sicurezza Passati

Nessun prodotto di sicurezza esiste senza essere soggetto a scrutinio. ExpressVPN ha affrontato due incidenti degni di nota.

Il Sequestro del Server in Turchia (2017)

Le autorità turche hanno indagato sull’assassinio dell’ambasciatore russo Andrei Karlov. Hanno sequestrato un server ExpressVPN alla ricerca di comunicazioni dei sospettati. Il server non conteneva dati utilizzabili, validando l’infrastruttura no-logs sotto la reale pressione delle forze dell’ordine.

L’Acquisizione da Parte di Kape Technologies (2021)

Kape Technologies ha acquisito ExpressVPN per circa 936 milioni di dollari nel settembre 2021. Kape operava in precedenza come Crossrider, un’azienda associata alla distribuzione di adware prima del rebranding. Questa acquisizione ha sollevato legittime preoccupazioni tra i sostenitori della privacy.

ExpressVPN ha risposto mantenendo le sue operazioni indipendenti e la giurisdizione delle Isole Vergini Britanniche. ExpressVPN ha successivamente commissionato ulteriori lavori di assicurazione, incluso un rapporto KPMG datato maggio 2025 senza eccezioni sulla registrazione dell’attività dell’utente, anche se si tratta di una revisione in un momento specifico. L’azienda ha mantenuto il suo team di leadership e ha continuato a pubblicare i risultati dei controlli in modo trasparente. Gli utenti dovrebbero monitorare i futuri controlli per verificare l’indipendenza continua.

Funzionalità di Sicurezza Uniche

ExpressVPN offre diverse funzionalità di sicurezza che la distinguono dai concorrenti con standard di crittografia simili.

Tecnologia TrustedServer

Ogni server ExpressVPN funziona interamente su RAM volatile, non su dischi rigidi. I server caricano un’immagine di sola lettura ad ogni avvio. Tutti i dati vengono cancellati completamente ad ogni riavvio del server. Questa architettura rende fisicamente impossibile la memorizzazione persistente dei dati sui server VPN.

Threat Manager

Threat Manager impedisce alle app e ai siti web di comunicare con tracker noti e server dannosi. Opera a livello DNS su tutti i dispositivi connessi. ExpressVPN aggiorna regolarmente le sue liste di blocco basandosi su dati di threat intelligence.

Express Keys (Gestore di Password)

ExpressVPN include un gestore di password integrato chiamato Keys con tutti gli abbonamenti. Keys utilizza la crittografia zero-knowledge, il che significa che ExpressVPN non può accedere alle password memorizzate. Questa integrazione aggiunge un valore pratico in termini di sicurezza al di là del tunnel VPN stesso.

Protezione Post-Quantum

ExpressVPN ha implementato il supporto alla crittografia post-quantum nel suo protocollo Lightway. Questa funzionalità protegge dagli attacchi futuri del quantum computing che potrebbero violare gli attuali standard di crittografia. Pochi provider VPN hanno implementato questa protezione alla data dei test attuali.

Risorse per questa pagina

Grafici e immagini di riferimento dalla nostra ricerca, liberi da visualizzare e condividere.

• 

Domande Frequenti

TuttiSicurezza e PrivacyCome funzionaConfigurazione e Supporto

ExpressVPN è sicuro da usare in generale?

Sì. ExpressVPN ottiene un punteggio di affidabilità di 85/100, supportato dalla crittografia AES-256, dall’infrastruttura TrustedServer solo in RAM e da una rigorosa politica di no-log coperta da un rapporto di assurance Type I di KPMG datato maggio 2025 (nessuna eccezione sull’obiettivo di controllo della registrazione dell’attività dell’utente). È costituita nelle Isole Vergini Britanniche, al di fuori delle alleanze di sorveglianza 14 Eyes, e la sua affermazione di no-log ha retto quando le autorità turche hanno sequestrato un server nel 2017 e non hanno trovato dati dell’utente.

Perché la giurisdizione delle Isole Vergini Britanniche di ExpressVPN è importante per la privacy degli utenti?

Le IVB non hanno leggi obbligatorie sulla conservazione dei dati e si trovano al di fuori delle alleanze di sorveglianza dei 5, 9 e 14 Eyes, quindi le richieste dei governi stranieri devono superare l’Alta Corte delle IVB prima di raggiungere ExpressVPN. Questo isolamento legale è stato testato direttamente nel 2017, quando le autorità turche hanno sequestrato un server durante un’indagine politica e non hanno trovato alcun dato degli utenti memorizzato.

Cosa hanno effettivamente verificato i controlli indipendenti su ExpressVPN?

KPMG ha emesso una relazione di assurance di tipo I datata 8 maggio 2025 su TrustedServer, al 28 febbraio 2025, senza eccezioni riguardo all’obiettivo di controllo relativo alla registrazione dell’attività degli utenti. È commissionata da ExpressVPN ed è un’istantanea temporale, non un monitoraggio continuo. Cure53 collega almeno 16 report di pentest di ExpressVPN (2018-2026) sul proprio sito, e Cure53 e Praetorian hanno sottoposto a revisione la riscrittura in Rust di Lightway nel 2024, con tutti i risultati corretti al ritest.

Quali dati raccoglie effettivamente ExpressVPN se non registra l’attività?

ExpressVPN non memorizza cronologia di navigazione, indirizzi IP, query DNS o timestamp di connessione. Raccoglie dati aggregati non collegati a singoli account: versione dell’app, posizione generale del server scelta e larghezza di banda totale giornaliera utilizzata, puramente per gestire la capacità dei server. I dettagli di fatturazione come email e metodo di pagamento vengono conservati separatamente; Bitcoin o email usa e getta limitano ulteriormente questa impronta.

Come si confronta il protocollo Lightway di ExpressVPN con OpenVPN per la sicurezza?

Lightway è il protocollo proprietario di ExpressVPN costruito su wolfSSL, che utilizza circa 2.000 righe di codice rispetto alle 70.000+ di OpenVPN, il che significa meno vulnerabilità potenziali e tempi di connessione più veloci inferiori a un secondo. Supporta la crittografia ChaCha20 o AES-256, utilizza la perfect forward secrecy per ruotare le chiavi per sessione, e Cure53 e Praetorian hanno sottoposto a revisione la riscrittura Rust nel 2024.

Il kill switch di ExpressVPN blocca davvero le fughe se la connessione cade?

Sì. Il kill switch di ExpressVPN, chiamato Network Lock, si attiva per impostazione predefinita su Windows, Mac, Linux e router, e funziona a livello di firewall anziché a livello di applicazione, chiudendo le brevi finestre di riconnessione che i kill switch a livello di app spesso lasciano scoperte. Blocca tutto il traffico tranne quello attraverso il tunnel VPN e i server DNS privati di ExpressVPN, e puoi confermare che non ci sono fughe DNS, WebRTC o IPv6 con un test di perdita.

Dovrei preoccuparmi che Kape Technologies possieda ExpressVPN?

È una domanda legittima che merita attenzione, non un motivo di preoccupazione. Kape ha acquisito ExpressVPN per una cifra segnalata nel settembre 2021 e in precedenza operava come Crossrider, un’azienda associata a software pubblicitario. Dopo l’acquisizione, ExpressVPN ha mantenuto il suo team di leadership, conservato la sua giurisdizione nelle Isole Vergini Britanniche e ha commissionato un rapporto di certificazione KPMG no-logs nel 2025 senza eccezioni sulla registrazione dell’attività degli utenti, il che suggerisce che l’indipendenza operativa è stata mantenuta.

Che cos’è la protezione post-quantum e ExpressVPN effettivamente la possiede?

La crittografia post-quantum protegge il traffico criptato dagli attacchi di computer quantistici futuri abbastanza potenti da violare gli standard attuali come AES-256. ExpressVPN ha implementato il supporto alla crittografia post-quantum all’interno del suo protocollo Lightway, mettendolo avanti rispetto alla maggior parte dei provider VPN che non hanno ancora aggiunto questo livello. Funziona insieme al perfect forward secrecy esistente di ExpressVPN, che ruota le chiavi di crittografia per ogni sessione indipendentemente dal rischio quantistico.

Qual è la politica di rimborso di ExpressVPN se le funzioni di sicurezza non soddisfano le aspettative?

ExpressVPN supporta ogni piano con una garanzia di rimborso di 30 giorni, offrendoti un mese intero per testare Network Lock, la protezione da perdite DNS e l’architettura RAM-only di TrustedServer prima di impegnarti. Questo corrisponde alla finestra di garanzia offerta da NordVPN e ProtonVPN, quindi testare personalmente le affermazioni no-logs non comporta alcun rischio finanziario entro quel periodo.

Quanti dispositivi protegge un account ExpressVPN contemporaneamente?

ExpressVPN copre da 10 a 14 connessioni di dispositivi simultanei a seconda del livello di piano che scegli. Ogni dispositivo connesso ottiene le stesse protezioni: crittografia AES-256, kill switch Network Lock a livello di firewall e server DNS privati di ExpressVPN, quindi una casa che esegue più telefoni, laptop e una configurazione del router rimane protetta con un unico abbonamento.

Come posso confermati che la protezione dalle fughe DNS di ExpressVPN funziona effettivamente sul mio dispositivo?

ExpressVPN gestisce i propri server DNS privati e crittografati su ogni server, quindi le tue query non vengono mai indirizzate a provider DNS di terze parti come Google o Cloudflare. Esegui un test di fuga attraverso uno strumento di controllo delle fughe DNS mentre sei connesso e conferma che i risultati mostrano solo i server DNS di ExpressVPN, non quelli del tuo ISP.

Cosa accade al mio traffico se ExpressVPN si disconnette inaspettatamente?

Network Lock, il kill switch di ExpressVPN, blocca tutto il traffico internet nel momento in cui la connessione VPN cade, poiché funziona a livello di firewall piuttosto che a livello di applicazione. Questo chiude le brevi finestre di riconnessione dove i kill switch a livello applicativo su altri servizi possono causare fughe del tuo IP reale. È abilitato per impostazione predefinita su installazioni Windows, Mac, Linux e router.

La forte sicurezza di ExpressVPN influisce sulla velocità?

Non significativamente. ExpressVPN si classifica al #8 di 22 nel nostro Speed Lab, aggregato da test pubblicati di terze parti, nonostante esegua la crittografia AES-256 completa più l’architettura TrustedServer solo in RAM su ogni connessione. La base di codice snella di Lightway, circa 2.000 righe rispetto alle 70.000+ di OpenVPN, aiuta a compensare il sovraccarico che le funzioni di sicurezza più pesanti tipicamente aggiungono al throughput.