ExpressVPN Güvenli mi? Güvenlik, Gizlilik ve Denetim Analizi

ExpressVPN Güvenli mi? Güvenlik Üzerine Derinlemesine Bir İnceleme

ExpressVPN, yayımlanmış bir KPMG günlük tutmama güvence raporu, AES-256 şifreleme ve 113 ülkede RAM tabanlı sunucular temelinde 88/100 güven puanı alır. Hizmet, 14 Eyes istihbarat paylaşım ittifaklarının dışında kalan Britanya Virgin Adaları yargı yetkisi altında faaliyet gösterir. Bir KPMG güvence raporu ve tekrarlanan Cure53 güvenlik denetimleri, aşağıda açıklanan sınırlar dahilinde gizlilik ve güvenlik iddialarını destekler.

Yargı Yetkisi: Britanya Virgin Adaları Neden Önemli?

ExpressVPN, kendi kendini yöneten bir İngiliz Denizaşırı Toprağı olan Britanya Virgin Adaları’nda kurulmuştur ve BVI, 5 Eyes, 9 Eyes ve 14 Eyes istihbarat paylaşım ittifaklarının dışındadır. BVI’da bir VPN veri saklama kuralına dair birincil bir kaynak bulamadık, bu yüzden böyle bir kural olduğunu iddia etmiyoruz. TorrentFreak’in haberine göre[1] ExpressVPN yalnızca yerel mahkeme kararlarına yanıt verir.

Pratik test 2017’de geldi. Türk makamları bir soruşturma kapsamında bir ExpressVPN sunucusuna el koydu. Habere göre inceleme herhangi bir faydalı bilgi ortaya çıkarmadı ve ExpressVPN, soruşturmacılara hiçbir zaman müşteri bağlantı kaydı tutmadığını bildirdiğini söyledi.

Bağımsız Denetim Geçmişi

ExpressVPN, çoğu rakibinden daha fazla üçüncü taraf güvenlik denetimini tamamlamıştır. Her denetim, hizmetin gizlilik ve güvenlik iddialarının farklı yönlerini incelemiştir.

KPMG Günlük Tutmama Güvence Raporu

KPMG LLP, 28 Şubat 2025 itibarıyla[2] ISAE (UK) 3000 Tip 1 kapsamında ExpressVPN’in TrustedServer sistemi ve gizlilik politikası iddiaları hakkında makul güvence vermiştir ve ExpressVPN, etkinlik kaydına karşı teknik önlemlerle ilgili herhangi bir sorun tespit edilmediğini belirtmektedir. Bu, ExpressVPN tarafından talep edilen, belirli bir tarihteki durumu yansıtan bir rapordur; sürekli izleme değildir ve KPMG’nin koşullarını kabul ettikten sonra okunabilir. ExpressVPN, bunu ikinci KPMG değerlendirmesi olarak tanımlamaktadır.

Cure53 Güvenlik Denetimleri

Alman bir siber güvenlik firması olan Cure53, herkese açık raporlar listesinde[3] ExpressVPN’e ait birçok sızma testi raporunu listelemektedir; bunlar arasında Lightway protokolü (2022 ve Ekim-Kasım 2024), Aircove yönlendirici yazılımı (Kasım 2024), tarayıcı eklentileri ile Android, iOS, Linux ve macOS istemcileri yer alır. 2024 sonbaharında Cure53 ve Praetorian, ExpressVPN’in Lightway’in Rust yeniden yazımını denetlemiştir. Her raporun bireysel önem derecesi sayılarını yeniden kontrol etmedik, bu yüzden bulgular için raporların kendisini okuyun.

Cure53, ExpressVPN için kendi raporlarını herkese açık olarak yayımlamaktadır; bu, VPN sektöründe bir şeffaflık göstergesidir, ancak her çalışma ExpressVPN tarafından talep edilmektedir.

Kayıt Politikası: Ne Saklanır, Ne Saklanmaz

ExpressVPN’in gizlilik politikası hangi verileri topladığını açıkça belirtir. Pazarlama iddialarından çok, ayrıntıları anlamak önemlidir.

ExpressVPN’in Saklamadığı Veriler

ExpressVPN, tarama geçmişinizi, trafiğin varış noktasını, DNS sorgularını veya IP adresinizi kaydetmez. Bağlantı zaman damgalarını, oturum süresini veya atanan VPN IP adreslerini kaydetmez. İletişimlerinizin içeriği hiçbir kayıt sisteminden geçmez.

ExpressVPN’in Topladığı Veriler

ExpressVPN, toplu bağlantı verilerini toplar: hangi uygulama sürümünü kullandığınız, hangi sunucu konumunu seçtiğiniz (belirli sunucuyu değil) ve günlük toplam bant genişliği tüketimi. Bu veriler bireysel kullanıcıları tanımlayamaz ve etkinliği belirli hesaplara bağlayamaz. Hizmet, bu bilgileri sunucu kapasitesini sürdürmek için kullanır.

Hesap e-posta adresiniz, ödeme bilgileriniz ve destek talebi geçmişiniz faturalandırma amacıyla saklanır. Azami anonimlik isteyen kullanıcılar Bitcoin ile ödeme yapabilir veya tek kullanımlık bir e-posta adresi kullanabilir.

Şifreleme Standartları ve Protokoller

ExpressVPN, varsayılan standart olarak AES-256-GCM şifrelemesini kullanır. AES-256, ulusal güvenlik sistemleri için NSA’nın CNSA 2.0 algoritma paketinde[4] belirtilen simetrik şifredir.

Mevcut Protokoller

ExpressVPN, uygulamaları genelinde 4 VPN protokolü sunar. Lightway, wolfSSL üzerine inşa edilmiş ve ChaCha20 veya AES-256 şifrelemesi kullanan kendi tescilli protokolüdür. OpenVPN, AES-256-GCM ile hem UDP hem de TCP üzerinden çalışır. IKEv2/IPSec, hızlı mobil bağlantılar için seçili platformlarda kullanılabilir.

Lightway özel dikkat hak eder. ExpressVPN, kod tabanının OpenVPN’inkinden çok daha küçük olduğunu söylemiştir ve daha küçük bir kod tabanı denetlenecek yüzeyi azaltır. Cure53 ve Praetorian, Lightway’in 2024 Rust yeniden yazımını denetlemiş ve ExpressVPN kodu açık kaynak olarak yayımlamıştır.

İleriye Dönük Gizlilik (Perfect Forward Secrecy)

ExpressVPN, her bağlantı oturumu için yeni bir şifreleme anahtarı oluşturduğunu belirtir; böylece bir oturum anahtarının ele geçirilmesi önceki oturumları açığa çıkarmaz.

Kill Switch ve DNS Sızıntısı Koruması

ExpressVPN, kill switch özelliğine “Network Lock” adını verir. Windows, Mac, Linux ve yönlendiricilerde varsayılan olarak etkinleşir. Network Lock, VPN bağlantısı beklenmedik şekilde koptuğunda tüm internet trafiğini engeller.

Network Lock, uygulama düzeyinde değil güvenlik duvarı düzeyinde çalışır. Bu yaklaşım, uygulama düzeyindeki kill switch’lerin sıklıkla kaçırdığı kısa yeniden bağlanma aralıklarındaki sızıntıları önler. Trafiğe yalnızca VPN tüneli üzerinden ve ExpressVPN’in DNS sunucularına izin verir.

ExpressVPN, her sunucuda kendi özel, şifreli DNS hizmetini çalıştırır. DNS sorgularınız Google veya Cloudflare gibi üçüncü taraf DNS sağlayıcılarına hiçbir zaman ulaşmaz. Bu, yazılım yamalarına güvenmek yerine altyapı düzeyinde DNS sızıntı riskini ortadan kaldırır.

Bağımsız test araçları, ExpressVPN’in başlıca uygulamalarında sürekli olarak sıfır DNS sızıntısı, sıfır WebRTC sızıntısı ve sıfır IPv6 sızıntısı göstermektedir. Yönlendirici yazılımı bu korumayı ağınızdaki her cihaza genişletir.

Geçmiş Güvenlik Olayları

Hiçbir güvenlik ürünü incelemeden muaf değildir. ExpressVPN’in incelemeye değer iki dikkat çekici olayı olmuştur.

Türkiye Sunucu El Koyma Olayı (2017)

Rus Büyükelçisi Andrei Karlov suikastını soruşturan Türk makamları, Ocak 2017’de bir ExpressVPN sunucusuna el koydu; habere göre[1] bunun nedeni, suikastçinin Gmail ve Facebook hesaplarının bir ExpressVPN bağlantısı üzerinden uzaktan silinmiş olmasıydı. Habere göre inceleme herhangi bir faydalı bilgi vermedi. Olay Aralık 2017’de kamuoyuna yansıdı.

Kape Technologies Satın Alımı (2021)

Kape Technologies, ExpressVPN’i 2021’de[5] yaklaşık 936 milyon dolara satın aldı. Kape, daha önce Crossrider adıyla faaliyet göstermişti; bu şirket yeniden markalaşmadan önce reklam yazılımı dağıtımıyla ilişkilendirilmişti ve satın alma, gizlilik savunucuları arasında endişelere yol açtı.

ExpressVPN o zamandan beri, Şubat 2025 itibarıyla KPMG değerlendirmesi dahil daha fazla güvence çalışması talep etmiştir; ancak bu da belirli bir tarihteki bir incelemedir. Kullanıcılar, kontrollerin hâlâ geçerli olduğunu doğrulamak için gelecekteki denetimleri takip etmelidir.

Benzersiz Güvenlik Özellikleri

ExpressVPN, benzer şifreleme standartlarına sahip rakiplerinden ayıran birkaç güvenlik özelliği sunar.

TrustedServer Teknolojisi

Her ExpressVPN sunucusu, sabit disklerde değil tamamen uçucu RAM üzerinde çalışır. Sunucular her açılışta salt okunur bir görüntü yükler. Tüm veriler her sunucu yeniden başlatmasında tamamen silinir. Bu mimari, VPN sunucularında kalıcı veri depolamayı fiziksel olarak imkânsız kılar.

Threat Manager

Threat Manager, uygulamaların ve web sitelerinin bilinen izleyicilerle ve kötü amaçlı sunucularla iletişim kurmasını engeller. Bağlı tüm cihazlarda DNS düzeyinde çalışır. ExpressVPN, engelleme listelerini tehdit istihbaratı verilerine dayanarak düzenli olarak günceller.

Express Keys (Parola Yöneticisi)

ExpressVPN, tüm aboneliklerle birlikte Keys adlı yerleşik bir parola yöneticisi sunar. Keys, sıfır bilgi şifrelemesi kullanır; bu da ExpressVPN’in saklanan parolalarınıza erişemeyeceği anlamına gelir. Bu entegrasyon, VPN tünelinin ötesinde pratik bir güvenlik değeri sağlar.

Kuantum Sonrası Koruma

ExpressVPN, bugünkü anahtar değişim yöntemlerini kırabilecek gelecekteki kuantum bilgisayarlara yönelik olarak Lightway protokolünde kuantum sonrası kriptografi desteği uyguladığını belirtir. Bunu bağımsız olarak test etmedik.

Referanslar

1. Ernesto Van der Sar. 2017. VPN Server Seized to Investigate Russian Ambassador's Assassination * TorrentFreak. 18 Ekim 2026 tarihinde https://torrentfreak.com/vpn-server-seized-to-investigate-russian-ambassadors-assassination-1171219/ adresinden alındı.Arşivlendi: Wayback Machine anlık görüntüsü
2. ExpressVPN. 2025. ExpressVPN’s 3rd KPMG Security Audit of No-Logs Policy. 18 Ekim 2026 tarihinde https://www.expressvpn.com/blog/kpmg-2025-no-logs-policy-audit/ adresinden alındı.
3. Cure53. t.y. Cure53 – Security assessments for software that matters. 18 Ekim 2026 tarihinde https://cure53.de/ adresinden alındı.Arşivlendi: Wayback Machine anlık görüntüsü
4. Defense. 2025. The Commercial National Security Algorithm Suite 2.0 and Quantum Computing FAQ. https://media.defense.gov/2022/Sep/07/2003071836/-1/-1/0/CSA_CNSA_2.0_ALGORITHMS_.PDF.Arşivlendi: Wayback Machine anlık görüntüsü
5. Dark Reading Staff. 2021. ExpressVPN Acquired By Kape Technologies for $936 Million. https://www.darkreading.com/perimeter/expressvpn-acquired-by-kape-technologies-for-936-million.Arşivlendi: Wayback Machine anlık görüntüsü

Bu sayfa için kaynaklar

Araştırmamızdan grafikler ve referans görseller, ücretsiz görüntüleyin ve paylaşın.

• 

• ExpressVPN GüvenliğiPDF · 0.7 MB

Sık Sorulan Sorular

TümüGüvenlik ve GizlilikNasıl çalışırKurulum & Destek

ExpressVPN genel olarak kullanımı güvenli mi?

Evet. ExpressVPN, AES-256 şifreleme, yalnızca RAM’de çalışan TrustedServer altyapısı ve Şubat 2025 itibarıyla KPMG Tip 1 güvence raporu ile desteklenen katı bir günlük tutmama politikası sayesinde 88/100 güven puanına sahiptir (makul güvence, etkinlik kaydına karşı önlemlerde sorun tespit edilmedi). Britanya Virgin Adaları’nda kurulmuştur, 14 Eyes gözetim ittifaklarının dışındadır ve ExpressVPN, Türk makamlarının 2017’de bir sunucuya el koyduğu ve incelemenin faydalı bilgi ortaya çıkarmadığı durumda günlük tutmama iddiasının geçerli kaldığını söyler.

ExpressVPN’in Britanya Virgin Adaları yargı yetkisi kullanıcı gizliliği açısından neden önemli?

BVI, 5, 9 ve 14 Eyes istihbarat ittifaklarının dışında yer alır ve ExpressVPN yalnızca yerel mahkeme kararlarına yanıt verdiğini belirtmiştir. Bu tutum 2017’de test edilmiştir; Türk makamları bir soruşturma kapsamında bir sunucuya el koymuş, ancak incelemenin faydalı bilgi vermediği bildirilmiştir.

Bağımsız denetimler ExpressVPN hakkında gerçekte neyi doğruladı?

KPMG, 28 Şubat 2025 itibarıyla ISAE (UK) 3000 Tip 1 kapsamında TrustedServer ve ExpressVPN’in gizlilik politikası iddialarına makul güvence vermiştir. Bu çalışma ExpressVPN tarafından talep edilmiştir ve sürekli izleme değil, belirli bir tarihteki bir incelemedir. Cure53, kendi sitesinde ExpressVPN’e ait birçok sızma testi raporunu listelemekte; Cure53 ve Praetorian ise 2024’te Lightway’in Rust yeniden yazımını denetlemiştir.

ExpressVPN etkinliği kaydetmiyorsa gerçekte hangi verileri topluyor?

ExpressVPN, tarama geçmişini, IP adreslerini, DNS sorgularını veya bağlantı zaman damgalarını saklamaz. Bireysel hesaplarla bağlantılı olmayan toplu veriler toplar: uygulama sürümü, seçilen genel sunucu konumu ve günlük toplam bant genişliği kullanımı; bunlar yalnızca sunucu kapasitesini yönetmek için kullanılır. E-posta adresiniz ve ödeme yönteminiz gibi faturalandırma bilgileri ayrı tutulur; Bitcoin veya tek kullanımlık bir e-posta bu izi daha da sınırlandırır.

ExpressVPN’in Lightway protokolü güvenlik açısından OpenVPN ile nasıl karşılaştırılır?

Lightway, ExpressVPN’in wolfSSL üzerine inşa ettiği tescilli bir protokoldür; ExpressVPN, kod tabanının OpenVPN’inkinden çok daha küçük olduğunu ve bunun denetlenecek daha az kod anlamına geldiğini söyler. ChaCha20 veya AES-256 şifrelemesini destekler ve Cure53 ile Praetorian, 2024’te Rust yeniden yazımını denetlemiştir.

ExpressVPN’in kill switch’i bağlantı koptuğunda gerçekten sızıntıları önler mi?

Evet. Network Lock adını taşıyan ExpressVPN kill switch’i Windows, Mac, Linux ve yönlendiricilerde varsayılan olarak etkinleşir ve uygulama düzeyinde değil güvenlik duvarı düzeyinde çalışarak uygulama düzeyindeki anahtarların sıklıkla kaçırdığı kısa yeniden bağlanma aralıklarını kapatır. VPN tüneli ve ExpressVPN’in kendi özel DNS sunucuları dışındaki tüm trafiği engeller; bir sızıntı testiyle DNS, WebRTC veya IPv6 sızıntısı olmadığını doğrulayabilirsiniz.

Kape Technologies’in ExpressVPN’e sahip olması konusunda endişelenmeli miyim?

Bu, anlaşılmaya değer meşru bir sorudur, ama bir engel değildir. Kape, ExpressVPN’i 2021’de bildirildiğine göre 936 milyon dolara satın almış ve daha önce reklam yazılımıyla ilişkilendirilen Crossrider adıyla faaliyet göstermiştir. Satın almadan bu yana ExpressVPN, BVI yargı yetkisini korumuş ve Şubat 2025 itibarıyla bir KPMG değerlendirmesi talep etmiştir; ancak bu belirli bir tarihteki bir incelemedir, bu yüzden gelecekteki denetimleri takip edin.

Kuantum sonrası koruma nedir ve ExpressVPN gerçekten buna sahip mi?

Kuantum sonrası kriptografi, AES-256 gibi mevcut standartları kırabilecek kadar güçlü gelecekteki kuantum bilgisayarlarına karşı şifreli trafiği korur. ExpressVPN, Lightway protokolü içinde kuantum sonrası koruma desteği uyguladığını belirtir. Bu, yeni oturum anahtarları üreten ileriye dönük gizlilikle birlikte çalışır.

Güvenlik özellikleri beklentileri karşılamazsa ExpressVPN’in iade politikası nedir?

ExpressVPN, her planı 30 günlük para iade garantisiyle sunar; bu, taahhüt etmeden önce Network Lock, DNS sızıntı koruması ve TrustedServer’ın yalnızca RAM mimarisini test etmek için tam bir ay tanır. Bu, NordVPN ve ProtonVPN’in sunduğu garanti süresiyle eşleşir; dolayısıyla bu süre içinde günlük tutmama iddialarını kendiniz test etmenin mali bir riski yoktur.

Tek bir ExpressVPN hesabı aynı anda kaç cihazı korur?

ExpressVPN, seçtiğiniz plan kademesine bağlı olarak 10 ila 14 eşzamanlı cihaz bağlantısını kapsar. Bağlı her cihaz aynı korumalara sahip olur: AES-256 şifreleme, Network Lock’un güvenlik duvarı düzeyindeki kill switch’i ve ExpressVPN’in özel DNS sunucuları; böylece birden fazla telefon, dizüstü bilgisayar ve yönlendirici kurulumu olan bir ev, tek bir abonelik altında korunur.

ExpressVPN’in DNS sızıntı korumasının cihazımda gerçekten çalıştığını nasıl doğrulayabilirim?

ExpressVPN, her sunucuda kendi özel, şifreli DNS hizmetini çalıştırır; böylece sorgularınız Google veya Cloudflare gibi üçüncü taraf sağlayıcılardan hiçbir zaman geçmez. Bağlıyken bir DNS sızıntı denetleyicisi üzerinden sızıntı testi yapın ve sonuçların yalnızca ExpressVPN’in kendi DNS sunucularını gösterdiğini, ISS’nizinkini göstermediğini doğrulayın.

Bağlantı beklenmedik şekilde koptuğunda trafiğime ne olur?

ExpressVPN’in kill switch’i olan Network Lock, VPN bağlantısı koptuğu anda tüm internet trafiğini engeller; çünkü uygulama düzeyinde değil güvenlik duvarı düzeyinde çalışır. Bu, diğer hizmetlerdeki uygulama düzeyinde kill switch’lerin gerçek IP adresinizi sızdırabildiği kısa yeniden bağlanma aralıklarını kapatır. Windows, Mac, Linux ve yönlendirici kurulumlarında varsayılan olarak etkindir.

ExpressVPN’in güçlü güvenliği hız pahasına mı geliyor?

Önemli ölçüde değil. ExpressVPN, her bağlantıda tam AES-256 şifrelemesini ve yalnızca RAM’de çalışan TrustedServer mimarisini çalıştırmasına rağmen, yayımlanmış üçüncü taraf testlerinden derlenen Güven Puanı’mızda #2 / 22 sırada yer alır. ExpressVPN’in OpenVPN’inkinden çok daha küçük olduğunu söylediği Lightway kod tabanı, daha ağır güvenlik özelliklerinin verim üzerindeki yükünün bir kısmını dengelemek üzere tasarlanmıştır.