Czy ExpressVPN jest bezpieczny? Analiza bezpieczeństwa, prywatności i audytu

Czy ExpressVPN jest bezpieczny? Głębokie zagłębienie się w bezpieczeństwo

ExpressVPN uzyskuje wynik zaufania 85/100 na podstawie opublikowanego raportu potwierdzającego brak logów KPMG, szyfrowania AES-256 i serwerów działających wyłącznie w pamięci RAM na 105 krajach. Działa pod jurysdykcją Brytyjskich Wysp Dziewiczych, poza sojuszami nadzoru 14 Eyes. Raport potwierdzający brak logów KPMG i powtarzające się audyty bezpieczeństwa firmy Cure53 wspierają jego roszczenia dotyczące prywatności i bezpieczeństwa, w ramach limitów opisanych poniżej.

Jurysdykcja: Dlaczego Brytyjskie Wyspy Dziewicze mają znaczenie

ExpressVPN jest zarejestrowany na Brytyjskich Wyspach Dziewiczych, samodzielnie zarządzanym Brytyjskim Terytoriach Zamorskim. BVI nie ma obowiązkowych przepisów dotyczących przechowywania danych dla dostawców VPN. Ten jeden fakt kształtuje sposób, w jaki ExpressVPN reaguje na żądania rządowe dotyczące danych.

BVI znajduje się poza sojuszami wymiany informacji 5 Eyes, 9 Eyes i 14 Eyes. Zagraniczne żądania rządowe muszą przejść przez Sąd Wysokiej Instancji BVI, zanim dotrą do ExpressVPN. BVI nie ma żadnego obowiązku prawnego honorowania zagranicznych wezwań sądowych lub rozkazów nadzoru bezpośrednio.

Ta przewaga jurysdykcyjna okazała się rzeczywista w 2017 r. Władze tureckie zajęły serwer ExpressVPN podczas śledztwa politycznego. Serwer nie zawierał żadnych danych użytkownika, potwierdzając, że polityka braku logów działała pod faktyczną presją rządową.

Historia niezależnych audytów

ExpressVPN ukończył więcej audytów bezpieczeństwa stron trzecich niż większość konkurentów. Każdy audyt badał różne aspekty roszczeń usługi dotyczących prywatności i bezpieczeństwa.

Raport weryfikacyjny KPMG o braku logowania

KPMG LLP (UK) wydała raport weryfikacyjny ISAE (UK) 3000 Type I o rozsądnej pewności z dnia 8 maja 2025 r. dotyczący TrustedServer ExpressVPN, na dzień 28 lutego 2025 r., bez zastrzeżeń dotyczących celu kontrolnego obejmującego logowanie aktywności użytkowników. Jest to raport z określonego punktu w czasie, zlecony przez ExpressVPN, a nie stały monitoring, i jest dostępny po zaakceptowaniu warunków KPMG. ExpressVPN stwierdza, że prowadziła również wcześniejsze zaangażowania w zakresie weryfikacji.

Audyty bezpieczeństwa Cure53

Cure53, renomowana niemiecka firma zajmująca się cyberbezpieczeństwem, umieszcza na swojej stronie internetowej co najmniej 16 raportów testów penetracyjnych ExpressVPN (2018 do 2026), obejmujących aplikacje, rozszerzenia, routery, protokół Lightway i TrustedServer. Jesienią 2024 roku zarówno Cure53, jak i Praetorian przeprowadziły audyt przepisanego w Rust’u protokołu Lightway ExpressVPN. Cure53 znalazło jeden problem typu denial-of-service o wysokiej ważności i cztery problemy o niższej klasyfikacji, a Praetorian znalazło dwa problemy o niskim ryzyku, wszystkie naprawione podczas ponownego testu.

Strona ExpressVPN pokazuje około 30 raportów audytu w sumie, a Cure53 linkuje swoje raporty ExpressVPN publicznie, co świadczy o ponadprzeciętnej przejrzystości w branży VPN.

Polityka logowania: Co jest przechowywane i co nie

Polityka prywatności ExpressVPN wyraźnie określa, jakie dane zbiera. Zrozumienie szczegółów ma większe znaczenie niż twierdzenia marketingowe.

Dane, które ExpressVPN NIE przechowuje

ExpressVPN nie loguje historii przeglądania, adresów docelowych ruchu, zapytań DNS ani adresu IP. Nie rejestruje znaczników czasowych połączenia, czasu trwania sesji ani przypisanych adresów IP sieci VPN. Żadna zawartość Twoich komunikacji nie przechodzi przez żaden system rejestrowania.

Dane, które ExpressVPN ZBIERA

ExpressVPN zbiera zagregowane dane dotyczące połączeń: którą wersję aplikacji używasz, którą lokalizację serwera wybrałeś (nie konkretny serwer) i całkowitą przepustowość zużytą dziennie. Te dane nie mogą zidentyfikować poszczególnych użytkowników ani powiązać działań z konkretnymi kontami. Wykorzystuje te informacje do utrzymania pojemności serwera w sieci 3000+ serwerów.

Twój e-mail konta, informacje o płatności i historia biletów pomocy technicznej są przechowywane w celach rozliczeniowych. Użytkownicy, którzy chcą maksymalnej anonimowości, mogą zapłacić Bitcoin lub użyć jednorazowego adresu e-mail.

Normy szyfrowania i protokoły

ExpressVPN używa szyfrowania AES-256-GCM jako domyślnego standardu. To jest ten sam poziom szyfrowania, który rząd USA używa do informacji niejawnych. Złamanie AES-256 wymagałoby mocy obliczeniowej, która w chwili obecnej nie istnieje.

Dostępne protokoły

ExpressVPN oferuje 4 protokoły VPN na swoich aplikacjach. Lightway to jego własnościowy protokół, zbudowany na wolfSSL i używający szyfrowania ChaCha20 lub AES-256. OpenVPN działa zarówno za pośrednictwem UDP, jak i TCP z AES-256-GCM. IKEv2/IPSec jest dostępny na wybranych platformach dla szybkich połączeń mobilnych.

Lightway zasługuje na szczególną uwagę. Jego baza kodu zawiera około 2000 linii kodu w porównaniu z ponad 70 000 linii OpenVPN. Mniej linii oznacza mniej potencjalnych luk w zabezpieczeniach i szybsze czasy połączenia poniżej 1 sekundy. Cure53 i Praetorian przeprowadzili audyt przepisanego w Rust protokołu Lightway z 2024 roku, a ExpressVPN opublikował kod jako open source na GitHub.

Idealna tajność przekazywania

ExpressVPN negocjuje nowy klucz szyfrowania dla każdej sesji połączenia. Jeśli atakujący w jakiś sposób zagrażał jednemu kluczowi sesji, przeszłe i przyszłe sesje pozostają chronione. Ta funkcja zapobiega zbiorczej retroaktywnej deszyfracji przechwyconego ruchu.

Kill Switch i ochrona przed wyciekami DNS

ExpressVPN nazywa swój kill switch “Network Lock”. Aktywuje się domyślnie w systemach Windows, Mac, Linux i routerach. Network Lock blokuje cały ruch internetowy, jeśli połączenie VPN zostanie nieoczekiwanie przerwane.

Network Lock działa na poziomie zapory, a nie na poziomie aplikacji. Takie podejście zapobiega wyciekom w krótkich oknach ponownego połączenia, które kill switche na poziomie aplikacji często przegapią. Umożliwia ruch tylko przez tunel VPN i do serwerów DNS ExpressVPN.

ExpressVPN uruchamia swoje własne prywatne, szyfrowane DNS na każdym serwerze. Twoje zapytania DNS nigdy nie dotykają dostawców DNS stron trzecich, takich jak Google czy Cloudflare. Eliminuje to ryzyko wycieków DNS na poziomie infrastruktury, a nie polegając na poprawkach oprogramowania.

Niezależne narzędzia testujące konsekwentnie wykazują zerowe wycieki DNS, zerowe wycieki WebRTC i zerowe wycieki IPv6 na wszystkich głównych aplikacjach ExpressVPN. Oprogramowanie routera rozszerza tę ochronę na każde urządzenie w sieci.

Przeszłe incydenty bezpieczeństwa

Żaden produkt bezpieczeństwa nie istnieje bez kontroli. ExpressVPN stanął w obliczu dwóch godnych uwagi incydentów warte zbadania.

Zajęcie serwera w Turcji (2017)

Władze tureckie prowadziły śledztwo w sprawie zamachu na rosyjskiego ambasadora Andrieja Karłowa. Zajęły serwer ExpressVPN poszukując podejrzanych komunikacji. Serwer nie zawierał żadnych użytecznych danych, co potwierdzało infrastrukturę braku logów pod rzeczywistą presją organów ścigania.

Przejęcie Kape Technologies (2021)

Kape Technologies przejęła ExpressVPN za około 936 milionów dolarów we wrześniu 2021 r. Kape wcześniej działała jako Crossrider, firma powiązana z dystrybucją adware przed rebrandingiem. To przejęcie wzbudziło uzasadnione obawy wśród obrońców prywatności.

ExpressVPN reagował na to, utrzymując niezależne operacje i jurysdykcję BVI. ExpressVPN zlecił od tamtej pory dodatkowe prace weryfikacyjne, w tym raport KPMG z maja 2025 r. bez zastrzeżeń dotyczących rejestrowania aktywności użytkowników, choć jest to przegląd w konkretnym momencie. Firma zachowała swój zespół kierowniczy i kontynuowała przejrzystą publikację wyników audytów. Użytkownicy powinni monitorować przyszłe audyty, aby zweryfikować utrzymanie niezależności.

Unikalne funkcje bezpieczeństwa

ExpressVPN oferuje kilka funkcji bezpieczeństwa, które odróżniają go od konkurentów o podobnych normach szyfrowania.

Technologia TrustedServer

Każdy serwer ExpressVPN działa całkowicie na zmiennym RAM, a nie na dyskach twardych. Serwery ładują obraz tylko do odczytu przy każdym uruchomieniu. Wszystkie dane są całkowicie wycierowane przy każdym ponownym uruchomieniu serwera. Ta architektura sprawia, że trwałe przechowywanie danych jest fizycznie niemożliwe na serwerach VPN.

Threat Manager

Threat Manager blokuje aplikacjom i witrynom komunikowanie się ze znanymi trackerami i złośliwymi serwerami. Działa na poziomie DNS na wszystkich podłączonych urządzeniach. ExpressVPN regularnie aktualizuje swoje listy blokowania na podstawie danych analizy zagrożeń.

Express Keys (Menedżer haseł)

ExpressVPN zawiera wbudowany menedżer haseł zwany Keys ze wszystkimi subskrypcjami. Keys wykorzystuje szyfrowanie zero-knowledge, co oznacza, że ExpressVPN nie może uzyskać dostępu do przechowywanych haseł. Ta integracja dodaje praktyczną wartość bezpieczeństwa poza samym tunelem VPN.

Ochrona post-kwantowa

ExpressVPN wdrożył obsługę kryptografii post-kwantowej w swoim protokole Lightway. Ta funkcja chroni przed przyszłymi atakami komputerów kwantowych, które mogłyby złamać obecne normy szyfrowania. Niewielu dostawców VPN wdrożyło tę ochronę do czasu obecnego testowania.

Zasoby dla tej strony

Wykresy i obrazy referencyjne z naszych badań, dostępne bezpłatnie do przeglądania i udostępniania.

• 

Często zadawane pytania

WszystkieBezpieczeństwo i prywatnośćJak to działaKonfiguracja i pomoc techniczna

Czy ExpressVPN jest bezpieczny w ogóle?

Tak. ExpressVPN osiąga wynik zaufania 85/100, wspierany szyfrowaniem AES-256, infrastrukturą TrustedServer działającą wyłącznie w pamięci RAM i ścisłą polityką braku logowania, potwierdzoną raportem zapewnienia KPMG Typ I z maja 2025 r. (bez zastrzeżeń dotyczących logowania aktywności użytkownika). Jest zarejestrowany na Brytyjskich Wyspach Dziewiczych, poza sojuszami nadzoru 14 Eyes, a jego twierdzenie o braku logowania zostało potwierdzone, gdy władze tureckie zajęły serwer w 2017 r. i nie znalazły żadnych danych użytkownika.

Dlaczego jurysdykcja Brytyjskich Wysp Dziewiczych ExpressVPN ma znaczenie dla prywatności użytkownika?

BVI nie ma obowiązkowych przepisów dotyczących przechowywania danych i znajduje się poza sojuszami wymiany informacji 5, 9 i 14 Eyes, dlatego zagraniczne żądania rządowe muszą przejść przez Sąd Wysokiej Instancji BVI, zanim dotrą do ExpressVPN. Ta prawna izolacja została przetestowana bezpośrednio w 2017 r., gdy władze tureckie zajęły serwer podczas śledztwa politycznego i nie znalazły żadnych przechowywanych danych użytkownika.

Co dokładnie potwierdziły niezależne audyty dotyczące ExpressVPN?

KPMG wydała raport asekuracyjny typu I z dnia 8 maja 2025 r. dotyczący TrustedServer na dzień 28 lutego 2025 r., bez zastrzeżeń do celu kontroli obejmującego rejestrowanie aktywności użytkowników. Raport został zlecony przez ExpressVPN i stanowi przegląd w danym momencie, a nie ciągłe monitorowanie. Cure53 linkuje co najmniej 16 raportów pentestu ExpressVPN (od 2018 do 2026) na swojej własnej stronie, a Cure53 i Praetorian przeprowadziły audyt przeróbki Lightway w Rust w 2024 roku, wszystkie ustalenia zostały naprawione podczas retestowania.

Jakie dane ExpressVPN faktycznie zbiera, jeśli nie loguje aktywności?

ExpressVPN nie przechowuje historii przeglądania, adresów IP, zapytań DNS ani znaczników czasowych połączenia. Zbiera dane zagregowane niepowiązane z poszczególnymi kontami: wersję aplikacji, ogólnie wybraną lokalizację serwera i całkowitą dzienną przepustowość użytą, czysto w celu zarządzania pojemnością serwera. Szczegóły rozliczeniowe, takie jak Twój e-mail i metoda płatności, są przechowywane oddzielnie; Bitcoin lub jednorazowy e-mail dalej ograniczają ten ślad.

Jak protokół Lightway firmy ExpressVPN porównuje się z OpenVPN pod względem bezpieczeństwa?

Lightway to zastrzeżony protokół ExpressVPN zbudowany na wolfSSL, wykorzystujący około 2000 linii kodu w porównaniu z ponad 70 000 linii OpenVPN, co oznacza mniej potencjalnych podatności i szybsze czasy połączenia poniżej sekundy. Obsługuje szyfrowanie ChaCha20 lub AES-256, wykorzystuje perfect forward secrecy do rotacji kluczy na sesję i został przebadany przez Cure53 i Praetorian w 2024 roku.

Czy kill switch ExpressVPN rzeczywiście zapobiega wyciekom po utracie połączenia?

Tak. Kill switch ExpressVPN, zwany Network Lock, aktywuje się domyślnie w systemach Windows, Mac, Linux i routerach, i działa na poziomie zapory sieciowej, a nie na poziomie aplikacji, zamykając krótkie okna ponownego łączenia, które standardowe przełączniki na poziomie aplikacji często omijają. Blokuje cały ruch poza tunelem VPN i własnymi prywatnymi serwerami DNS ExpressVPN, i możesz potwierdzić, że nie ma wycieków DNS, WebRTC ani IPv6, przeprowadzając test wycieków.

Czy powinnam/powinien się martwić, że ExpressVPN jest własnością Kape Technologies?

To uzasadnione pytanie warte zrozumienia, ale niekoniecznie powód do niepokoju. Kape przejęła ExpressVPN za raportowaną sumę we wrześniu 2021 roku i wcześniej działała jako Crossrider, firma powiązana z oprogramowaniem adware. Od czasu przejęcia ExpressVPN zachowała swój zespół kierowniczy, utrzymała jurysdykcję BVI i zlecił raport assurance KPMG dotyczący no-logs w 2025 roku bez zastrzeżeń dotyczących rejestrowania aktywności użytkowników, co sugeruje, że niezależność operacyjna została zachowana.

Co to jest ochrona post-kwantowa i czy ExpressVPN ją posiada?

Kryptografia post-kwantowa chroni zaszyfrowany ruch przed przyszłymi komputerami kwantowymi wystarczająco mocnymi, aby złamać obecne normy, takie jak AES-256. ExpressVPN wdrożył obsługę ochrony post-kwantowej w swojej protokole Lightway, stawiając go przed większością dostawców VPN, którzy tej warstwy jeszcze nie dodali. Działa razem z istniejącą idealną tajnością przekazywania ExpressVPN, która rotuje klucze szyfrowania każdą sesję niezależnie od ryzyka kwantowego.

Jaka jest polityka zwrotu ExpressVPN, jeśli funkcje bezpieczeństwa nie spełniają oczekiwań?

ExpressVPN wspiera każdy plan 30-dniową gwarancją zwrotu pieniędzy, dając ci pełny miesiąc na przetestowanie Network Lock, ochrony przed wyciekami DNS i architektury RAM-only TrustedServer przed zobowiązaniem się. Okno gwarancji odpowiada temu oferowanemu przez NordVPN i ProtonVPN, więc testowanie polityki bez logów we własnym zakresie nie wiąże się z żadnym ryzykiem finansowym w tym okresie.

Ile urządzeń jedna konta ExpressVPN chroni jednocześnie?

ExpressVPN obejmuje 10 do 14 równoczesnych połączeń urządzeń w zależności od wybranego poziomu planu. Każde podłączone urządzenie otrzymuje te same ochrony: szyfrowanie AES-256, kill switch zapory Network Lock i prywatne serwery DNS ExpressVPN, więc gospodarstwo domowe działające wiele telefonów, laptopów i konfiguracja routera pozostaje chronione w ramach jednej subskrypcji.

Jak mogę potwierdzić, że ochrona przed wyciekami DNS w ExpressVPN rzeczywiście działa na moim urządzeniu?

ExpressVPN uruchamia własne prywatne, szyfrowane DNS na każdym serwerze, więc Twoje zapytania nigdy nie są kierowane przez dostawców trzecich, takich jak Google czy Cloudflare. Uruchom test wycieku za pośrednictwem narzędzia do sprawdzania wycieków DNS, gdy jesteś podłączony, i potwierdź, że wyniki wyświetlają tylko własne serwery DNS ExpressVPN, a nie DNS Twojego dostawcy internetu.

Co się dzieje z moim ruchem, jeśli ExpressVPN nieoczekiwanie się rozłączy?

Network Lock, kill switch ExpressVPN, blokuje cały ruch internetowy w momencie przerwania połączenia VPN, ponieważ działa na poziomie zapory, a nie na poziomie aplikacji. To zamyka krótkie okna ponownego połączenia, gdzie kill switche na poziomie aplikacji w innych usługach mogą wycieknąć Twój rzeczywisty IP. Jest włączony domyślnie w instalacjach systemów Windows, Mac, Linux i routerów.

Czy silne zabezpieczenia ExpressVPN wpływają na szybkość?

Nie w znaczący sposób. ExpressVPN zajmuje #8 z 22 w naszym Speed Lab, na podstawie zagregowanych testów opublikowanych przez strony trzecie, mimo uruchamiania pełnego szyfrowania AES-256 oraz architektury TrustedServer tylko w pamięci RAM na każdym połączeniu. Oszczędna baza kodu Lightway’a, składająca się z około 2 000 linii w porównaniu do 70 000+ OpenVPN, pomaga zrekompensować obciążenie, które cięższe funkcje bezpieczeństwa zwykle dodają do przepustowości.