Är ExpressVPN säkert? Säkerhet, integritet och granskningsanalys

Är ExpressVPN säkert? En djupdykning i säkerheten

ExpressVPN får ett förtroendepoäng på 88/100 baserat på en publicerad no-logs-granskningsrapport från KPMG, AES-256-kryptering och RAM-only-servrar i 113 länder. Tjänsten lyder under jurisdiktionen i Brittiska Jungfruöarna, utanför underrättelsealliansen 14 Eyes. En granskningsrapport från KPMG och upprepade säkerhetsgranskningar från Cure53 stöder dess integritets- och säkerhetspåståenden, inom de gränser som beskrivs nedan.

Jurisdiktion: Varför Brittiska Jungfruöarna spelar roll

ExpressVPN är registrerat på Brittiska Jungfruöarna, ett självstyrt brittiskt utomeuropeiskt territorium, och öarna står utanför underrättelseallianserna 5 Eyes, 9 Eyes och 14 Eyes. Vi hittade ingen primärkälla för en lagstadgad datalagringsregel för VPN-tjänster på Brittiska Jungfruöarna, så vi påstår ingen sådan. TorrentFreak rapporterade[1] att ExpressVPN endast svarar på lokala domstolsbeslut.

Det praktiska testet kom 2017. Turkiska myndigheter beslagtog en ExpressVPN-server i en utredning. Enligt rapporten gav granskningen ingen användbar information, och ExpressVPN sa att de hade berättat för utredarna att de aldrig hade haft kundernas anslutningsloggar.

Historik över oberoende granskningar

ExpressVPN har genomfört fler tredjepartsgranskningar av säkerheten än de flesta konkurrenter. Varje granskning undersökte olika delar av tjänstens integritets- och säkerhetspåståenden.

KPMG:s no-logs-granskningsrapport

KPMG LLP gav rimlig säkerhet, enligt ISAE (UK) 3000 Typ 1, för ExpressVPN:s TrustedServer-system och påståenden i integritetspolicyn per den 28 februari 2025[2], och ExpressVPN säger att de inte identifierade några problem avseende tekniska skyddsåtgärder mot aktivitetsloggning. Det är en punktvis rapport som ExpressVPN har beställt, inte kontinuerlig övervakning, och den går att läsa efter att man godkänt KPMG:s villkor. ExpressVPN beskriver den som sin andra bedömning av KPMG.

Cure53:s säkerhetsgranskningar

Cure53, ett tyskt cybersäkerhetsföretag, listar många penetrationstestrapporter om ExpressVPN på sin offentliga rapportlista[3], bland annat för Lightway-protokollet (2022 samt oktober till november 2024), fast­varan för routern Aircove (november 2024), webbläsartillägg och klienterna för Android, iOS, Linux och macOS. Under hösten 2024 granskade Cure53 och Praetorian båda ExpressVPN:s omskrivning av Lightway i Rust. Vi har inte kontrollerat de enskilda allvarlighetsgraderna i varje rapport, så läs rapporterna för fynden.

Cure53 publicerar sina egna rapporter om ExpressVPN offentligt, vilket är en transparenssignal i VPN-branschen, även om varje uppdrag beställs av ExpressVPN.

Loggningspolicy: Vad som lagras och vad som inte gör det

ExpressVPN:s integritetspolicy anger tydligt vilka data som samlas in. Det är mer användbart att förstå detaljerna än att lita på marknadsföringspåståenden.

Data som ExpressVPN INTE lagrar

ExpressVPN loggar inte din webbhistorik, trafikens mål, DNS-förfrågningar eller din IP-adress. Det registrerar inte anslutningstidpunkter, sessionens längd eller tilldelade VPN-IP-adresser. Inget innehåll i din kommunikation passerar något loggningssystem.

Data som ExpressVPN FAKTISKT samlar in

ExpressVPN samlar in aggregerad anslutningsdata: vilken appversion du använder, vilken serverplats du valde (inte vilken specifik server), och total bandbredd som förbrukats per dag. Dessa uppgifter kan inte identifiera enskilda användare eller koppla aktivitet till specifika konton. Företaget använder informationen för att upprätthålla serverkapaciteten.

Din kontomejl, betalningsinformation och historik för supportärenden lagras för faktureringsändamål. Användare som vill ha maximal anonymitet kan betala med Bitcoin eller använda en engångsmejladress.

Krypteringsstandarder och protokoll

ExpressVPN använder AES-256-GCM-kryptering som standard. AES-256 är också den symmetriska chiffer som anges i NSA:s CNSA 2.0-algoritmsvit[4] för system för nationell säkerhet.

Tillgängliga protokoll

ExpressVPN erbjuder 4 VPN-protokoll i sina appar. Lightway är deras egna protokoll, byggt på wolfSSL och använder ChaCha20 eller AES-256-kryptering. OpenVPN körs över både UDP och TCP med AES-256-GCM. IKEv2/IPSec finns på utvalda plattformar för snabba mobila anslutningar.

Lightway förtjänar särskild uppmärksamhet. ExpressVPN har sagt att dess kodbas är betydligt mindre än OpenVPN:s, och en mindre kodbas erbjuder mindre yta att granska. Cure53 och Praetorian granskade 2024 års omskrivning av Lightway i Rust, och ExpressVPN publicerade koden som öppen källkod.

Perfect Forward Secrecy

ExpressVPN säger att de förhandlar fram en ny krypteringsnyckel för varje anslutningssession, så att en komprometterad sessionsnyckel inte exponerar tidigare sessioner.

Kill switch och skydd mot DNS-läckage

ExpressVPN kallar sin kill switch för “Network Lock”. Den aktiveras som standard på Windows, Mac, Linux och routrar. Network Lock blockerar all internettrafik om VPN-anslutningen oväntat bryts.

Network Lock arbetar på brandväggsnivå, inte på applikationsnivå. Detta förhindrar läckor under korta återanslutningsfönster som kill switchar på applikationsnivå ofta missar. Den tillåter trafik endast genom VPN-tunneln och till ExpressVPN:s DNS-servrar.

ExpressVPN kör sin egen privata, krypterade DNS på varje server. Dina DNS-förfrågningar går aldrig via tredjepartsleverantörer som Google eller Cloudflare. Detta eliminerar risken för DNS-läckage på infrastrukturnivå i stället för att förlita sig på programuppdateringar.

Oberoende testverktyg visar konsekvent noll DNS-läckor, noll WebRTC-läckor och noll IPv6-läckor i ExpressVPN:s huvudappar. Routerfasten utökar detta skydd till varje enhet i ditt nätverk.

Tidigare säkerhetsincidenter

Ingen säkerhetsprodukt klarar sig utan granskning. ExpressVPN har varit inblandat i två uppmärksammade incidenter som är värda att undersöka.

Beslagtagandet av servern i Turkiet (2017)

Turkiska myndigheter som utredde mordet på den ryske ambassadören Andrej Karlov beslagtog en ExpressVPN-server i januari 2017, enligt uppgift[1] eftersom mördarens Gmail- och Facebook-konton hade raderats på distans via en ExpressVPN-anslutning. Rapporten säger att granskningen inte gav någon användbar information. Historien blev offentlig i december 2017.

Kape Technologies förvärv (2021)

Kape Technologies förvärvade ExpressVPN[5] för ungefär 936 miljoner dollar 2021. Kape verkade tidigare under namnet Crossrider, ett företag som kopplades till spridning av adware innan det bytte namn, och förvärvet väckte oro bland integritetsförespråkare.

ExpressVPN har sedan dess beställt ytterligare granskningsarbete, bland annat KPMG-bedömningen per februari 2025, även om det är en punktvis genomgång. Användare bör följa framtida granskningar för att verifiera att kontrollerna fortfarande håller.

Unika säkerhetsfunktioner

ExpressVPN erbjuder flera säkerhetsfunktioner som skiljer dem från konkurrenter med liknande krypteringsstandarder.

TrustedServer-teknik

Varje ExpressVPN-server körs helt i flyktigt RAM-minne, inte på hårddiskar. Servrarna laddar en skrivskyddad avbildning vid varje start. All data raderas helt vid varje omstart av servern. Den här arkitekturen gör beständig datalagring fysiskt omöjlig på VPN-servrarna.

Threat Manager

Threat Manager blockerar appar och webbplatser från att kommunicera med kända spårare och skadliga servrar. Den arbetar på DNS-nivå över alla anslutna enheter. ExpressVPN uppdaterar sina blockeringslistor regelbundet utifrån hotunderrättelsedata.

Express Keys (lösenordshanterare)

ExpressVPN ingår en inbyggd lösenordshanterare som heter Keys i alla prenumerationer. Keys använder kryptering med nollkunskap, vilket innebär att ExpressVPN inte kan komma åt dina sparade lösenord. Integrationen ger praktiskt säkerhetsvärde utöver själva VPN-tunneln.

Skydd mot kvantdatorer

ExpressVPN säger att de har infört stöd för postkvantkryptografi i sitt Lightway-protokoll, avsett för framtida kvantdatorer som skulle kunna knäcka dagens metoder för nyckelutbyte. Vi har inte testat det oberoende.

Referenser

1. Ernesto Van der Sar. 2017. VPN Server Seized to Investigate Russian Ambassador's Assassination * TorrentFreak. Hämtad 18 oktober 2026 från https://torrentfreak.com/vpn-server-seized-to-investigate-russian-ambassadors-assassination-1171219/.Arkiverad: Wayback Machine-ögonblicksbild
2. ExpressVPN. 2025. ExpressVPN’s 3rd KPMG Security Audit of No-Logs Policy. Hämtad 18 oktober 2026 från https://www.expressvpn.com/blog/kpmg-2025-no-logs-policy-audit/.
3. Cure53. u.å. Cure53 – Security assessments for software that matters. Hämtad 18 oktober 2026 från https://cure53.de/.Arkiverad: Wayback Machine-ögonblicksbild
4. Defense. 2025. The Commercial National Security Algorithm Suite 2.0 and Quantum Computing FAQ. https://media.defense.gov/2022/Sep/07/2003071836/-1/-1/0/CSA_CNSA_2.0_ALGORITHMS_.PDF.Arkiverad: Wayback Machine-ögonblicksbild
5. Dark Reading Staff. 2021. ExpressVPN Acquired By Kape Technologies for $936 Million. https://www.darkreading.com/perimeter/expressvpn-acquired-by-kape-technologies-for-936-million.Arkiverad: Wayback Machine-ögonblicksbild

Resurser för den här sidan

Diagram och referensbilder från vår forskning, fria att visa och dela.

• 

• ExpressVPN:s säkerhetPDF · 0.7 MB

Vanliga frågor

AllaSäkerhet och integritetHur det fungerarInstallation & Support

Är ExpressVPN säkert att använda överlag?

Ja. ExpressVPN har ett förtroendepoäng på 88/100, stött av AES-256-kryptering, RAM-only-infrastruktur med TrustedServer och en strikt no-logs-policy som omfattas av en KPMG-granskningsrapport enligt Typ 1 per februari 2025 (rimlig säkerhet, inga problem identifierade avseende skydd mot aktivitetsloggning). Bolaget är registrerat på Brittiska Jungfruöarna, utanför underrättelsealliansen 14 Eyes, och ExpressVPN säger att deras no-logs-påstående höll när turkiska myndigheter beslagtog en server 2017 och granskningen inte gav någon användbar information.

Varför spelar ExpressVPN:s jurisdiktion på Brittiska Jungfruöarna roll för användarnas integritet?

Öarna står utanför underrättelseallianserna 5, 9 och 14 Eyes, och ExpressVPN har sagt att de endast svarar på lokala domstolsbeslut. Den ståndpunkten prövades 2017, när turkiska myndigheter beslagtog en server i en utredning; granskningen gav enligt uppgift ingen användbar information.

Vad har oberoende granskningar faktiskt verifierat om ExpressVPN?

KPMG gav rimlig säkerhet, enligt ISAE (UK) 3000 Typ 1, för TrustedServer och ExpressVPN:s påståenden i integritetspolicyn per den 28 februari 2025. Granskningen är beställd av ExpressVPN och punktvis, inte kontinuerlig övervakning. Cure53 listar många penetrationstestrapporter om ExpressVPN på sin egen webbplats, och Cure53 och Praetorian granskade Rust-omskrivningen av Lightway 2024.

Vilka data samlar ExpressVPN faktiskt in om de inte loggar aktivitet?

ExpressVPN lagrar inte webbhistorik, IP-adresser, DNS-förfrågningar eller anslutningstidpunkter. Företaget samlar in aggregerade data som inte kan kopplas till enskilda konton: appversion, vald serverplats i allmänhet och total daglig bandbredd, enbart för att hantera serverkapaciteten. Faktureringsuppgifter som din e-post och betalningsmetod hålls separat; Bitcoin eller en engångsmejladress begränsar fotavtrycket ytterligare.

Hur jämförs ExpressVPN:s Lightway-protokoll med OpenVPN när det gäller säkerhet?

Lightway är ExpressVPN:s egna protokoll, byggt på wolfSSL, med en kodbas som ExpressVPN säger är betydligt mindre än OpenVPN:s, vilket lämnar mindre kod att granska. Det stöder ChaCha20- eller AES-256-kryptering, och Cure53 och Praetorian granskade dess Rust-omskrivning 2024.

Stoppar ExpressVPN:s kill switch faktiskt läckor om anslutningen bryts?

Ja. ExpressVPN:s kill switch, kallad Network Lock, aktiveras som standard på Windows, Mac, Linux och routrar och arbetar på brandväggsnivå i stället för applikationsnivå, vilket täpper till korta återanslutningsfönster som kill switchar på applikationsnivå ofta missar. Den blockerar all trafik utom genom VPN-tunneln och ExpressVPN:s egna privata DNS-servrar, och du kan bekräfta att det inte finns några DNS-, WebRTC- eller IPv6-läckor med ett läckagetest.

Bör jag vara orolig över att Kape Technologies äger ExpressVPN?

Det är en legitim fråga värd att förstå, inte ett hinder. Kape förvärvade ExpressVPN för uppgifter om 936 miljoner dollar 2021 och verkade tidigare som Crossrider, ett företag som kopplades till adware. Sedan förvärvet har ExpressVPN behållit sin jurisdiktion på Brittiska Jungfruöarna och beställt en KPMG-bedömning per februari 2025, men det är en punktvis genomgång, så håll koll på framtida granskningar.

Vad är skydd mot kvantdatorer och har ExpressVPN det faktiskt?

Postkvantkryptografi skyddar krypterad trafik mot framtida kvantdatorer som är tillräckligt kraftfulla för att bryta nuvarande standarder som AES-256. ExpressVPN säger att de har infört stöd för skydd mot kvantdatorer i sitt Lightway-protokoll. Det fungerar tillsammans med perfect forward secrecy, som skapar nya sessionsnycklar.

Vilken återbetalningspolicy har ExpressVPN om säkerhetsfunktionerna inte lever upp till förväntningarna?

ExpressVPN erbjuder en 30 dagars pengarna-tillbaka-garanti på varje plan, vilket ger dig en full månad att testa Network Lock, skydd mot DNS-läckor och TrustedServers RAM-only-arkitektur innan du binder dig. Det motsvarar garantitiden som erbjuds av NordVPN och ProtonVPN, så att testa no-logs-påståendena själv innebär ingen ekonomisk risk under den perioden.

Hur många enheter skyddar ett ExpressVPN-konto samtidigt?

ExpressVPN täcker 10 till 14 samtidiga enhetsanslutningar beroende på vilken plannivå du väljer. Varje ansluten enhet får samma skydd: AES-256-kryptering, Network Lock:s kill switch på brandväggsnivå och ExpressVPN:s privata DNS-servrar, så ett hushåll med flera telefoner, bärbara datorer och en router täcks av en och samma prenumeration.

Hur kan jag bekräfta att ExpressVPN:s skydd mot DNS-läckage faktiskt fungerar på min enhet?

ExpressVPN kör sin egen privata, krypterade DNS på varje server, så dina förfrågningar dirigeras aldrig via tredjepartsleverantörer som Google eller Cloudflare. Kör ett läckagetest med en DNS-läckagekontroll medan du är ansluten och bekräfta att resultaten endast visar ExpressVPN:s egna DNS-servrar, inte din internetleverantörs.

Vad händer med min trafik om ExpressVPN kopplar ner oväntat?

Network Lock, ExpressVPN:s kill switch, blockerar all internettrafik i samma ögonblick som VPN-anslutningen bryts, eftersom den arbetar på brandväggsnivå i stället för applikationsnivå. Det täpper till de korta återanslutningsfönster där kill switchar på applikationsnivå hos andra tjänster kan läcka din riktiga IP-adress. Den är aktiverad som standard på Windows-, Mac-, Linux- och routerinstallationer.

Kostar ExpressVPN:s starka säkerhet på hastigheten?

Inte märkbart. ExpressVPN ligger på plats #2 av 22 i vårt förtroendepoäng, baserat på publicerade tredjepartstester, trots att de kör full AES-256-kryptering plus sin RAM-only-arkitektur TrustedServer på varje anslutning. Lightway:s kodbas, som ExpressVPN säger är betydligt mindre än OpenVPN:s, är utformad för att kompensera en del av den extra belastning som tyngre säkerhetsfunktioner innebär för genomströmningen.