ExpressVPN byla založena v roce 2009 a působí pod jurisdikcí Britských Panenských ostrovů, které nemají povinné zákony o uchovávání dat. V září 2021 společnost Kape Technologies akvizicí za 936 milionů dolarů získala společnost ExpressVPN — největší akvizice VPN v historii. Historie společnosti Kape je klíčová pro hodnocení ExpressVPN: firma působila jako Crossrider od roku 2011 do roku 2018 a provozovala platformu, která vkládala reklamy do rozšíření prohlížeče. Společnost Symantec označila software Crossrider za malware a Google zjistil, že distribuuje potenciálně nežádoucí aplikace. Většinový vlastník Kape, Teddy Sagi, si v 90. letech odpykal trest odnětí svobody za podvod s cennými papíry. Kape také vlastní CyberGhost, PIA, ZenMate a klíčově i recenzní weby vpnMentor a WizCase — které nyní řadí vlastní VPN sítě Kape na přední místa.
Kontroverze kolem Daniela Gerickeho přidala další vrstvu. Gericke, najatý jako technický ředitel v prosinci 2019, dříve pracoval na Project Raven — sledovací operaci vlády UAE zaměřené na americké občany, zahraniční novináře a aktivisty za lidská práva pomocí zero-click exploitů. Ministerstvem spravedlnosti USA byl pokutován 335 000 dolary na základě dohody o odloženém trestním stíhání. ExpressVPN přiznala, že klíčové skutečnosti znala před jeho najímáním, s argumentem, že jeho zkušenosti s ofenzivní bezpečností zlepšily defenzivní zabezpečení. Edward Snowden veřejně zpochybnil úsudek společnosti. Gericke odešel v červenci 2023.
Na pozadí tohoto vlastnického kontextu je technická bezpečnostní infrastruktura ExpressVPN skutečně působivá. TrustedServer funguje výhradně v RAM bez pevných disků — každý restart načte nový, kryptograficky podepsaný obraz operačního systému a servery procházejí týdenními cykly upgradů, které vymažou veškerá předchozí data. Tato architektura byla auditována společnostmi PwC (2019), Cure53 (2022) a KPMG (2022, 2023, 2025). Zásady nulového protokolování dostaly reálné potvrzení v roce 2017, kdy turecké úřady zabavily fyzický server v rámci vyšetřování vraždy a nezískaly žádná uživatelská data.
Protokol Lightway, vyvinutý interně a zveřejněný jako open-source na GitHubu, byl v roce 2025 přepsán z jazyka C do Rustu kvůli bezpečnosti paměti. Lightway Turbo, představený ve stejném roce, využívá víceproudé tunelování a přesměrování datového kanálu na úrovni jádra k dosažení rychlostí až 1 479 Mbps ve Windows — i když je tato funkce v současné době dostupná pouze ve Windows. Standardní Lightway dosahuje v nezávislých testech rychlostí 200–300 Mbps, což je konkurenceschopné, ale pomalejší než NordLynx od NordVPN ve většině přímých srovnání.
Post-kvantové šifrování využívající ML-KEM (standard NIST) je nasazeno ve výchozím nastavení na protokolech Lightway i WireGuard, čímž se ExpressVPN řadí mezi první poskytovatele, kteří dodávají ochranu PQ napříč více protokoly. Podpora WireGuard byla přidána v srpnu 2025 spolu s integrací post-kvantové ochrany.
Síť serverů zahrnuje více než 3 000 serverů ve více než 105 zemích a více než 160 lokalitách. ExpressVPN spolehlivě obchází cenzuru v Číně, Íránu, SAE, Rusku a Saúdské Arábii — kritická schopnost, kterou mnoho konkurentů postrádá. Odemykání streamovacích služeb je trvale nejsilnější v odvětví, s potvrzeným přístupem k více než 20 knihovnám Netflix, Disney+, Prime Video, BBC iPlayer, Hulu, HBO Max a DAZN.
Významným bezpečnostním selháním byl únik DNS přes split tunneling ve Windows (CVE-2024-25728), přítomný od května 2022 do února 2024 — 21 měsíců, během nichž DNS požadavky obcházely VPN tunel při aktivním split tunelingu. ExpressVPN odhaduje, že bylo postiženo méně než 1 % uživatelů Windows. Reakce zahrnovala dvě analýzy základních příčin, objednaný penetrační test od společnosti Nettitude a dočasné vypnutí split tunelingu do doby opravy.
Cenová struktura byla v září 2025 přeorganizována do tří úrovní: Basic (2,44 USD/měsíc při dvouletých plánech, 10 připojení), Advanced (4,49 USD/měsíc, zahrnuje správce hesel a monitorování identity) a Pro (7,49 USD/měsíc, zahrnuje vyhrazenou IP adresu). Měsíční cena zůstává nejvyšší v odvětví na úrovni 12,99 USD. Platební možnosti zahrnují kreditní karty, PayPal, Bitcoin, Apple Pay a Google Pay se 30denní zárukou vrácení peněz.
Mezi pozoruhodné chybějící funkce patří přesměrování portů (nedostupné na žádném serveru), multi-hop směrování a open-source klientské aplikace — veřejné je pouze jádro knihovny Lightway. Split tunneling není dostupný v iOS. Tyto mezery jsou o to více znatelné při prémiové cenové úrovni ExpressVPN.
ExpressVPN proaktivně v červnu 2022 odstranil všechny fyzické servery z Indie, místo aby vyhověl mandátu CERT-In o uchovávání dat, a přešel na virtuální servery v Singapuru a Velké Británii pro indické IP adresy. Zprávy o transparentnosti ukazují 529 vládních žádostí v roce 2025 a 2,44 milionu stížností DMCA — přičemž v žádném případě nebyla zveřejněna žádná data.
Společnost usiluje o certifikace ISO 27001, 9001 a 18295, přičemž ISO 27701 (ochrana soukromí) a ISO 42001 (umělá inteligence) jsou cíleny na rok 2026. Bezplatná úroveň EventVPN spuštěná v listopadu 2025 funguje na prémiové infrastruktuře s post-kvantovou ochranou a nulovým protokolováním — pozoruhodný kontrast oproti většině bezplatných nabídek VPN.