ExpressVPN je osnovan 2009. godine i posluje pod jurisdikcijom Britanskih Djevičanskih Otoka, koji nemaju zakone o obveznom čuvanju podataka. U rujnu 2021. Kape Technologies je preuzeo tvrtku za 936 milijuna dolara — najveće preuzimanje VPN-a u povijesti. Kapeina povijest ključna je za procjenu ExpressVPN-a: tvrtka je od 2011. do 2018. djelovala pod imenom Crossrider, vodeći platformu koja je ubacivala oglase u ekstenzije preglednika. Symantec je označio Crossriderov softver kao zlonamjeran, a Google ga je identificirao kao distributera potencijalno neželjenih aplikacija. Kapeov većinski vlasnik, Teddy Sagi, odslužio je zatvorsku kaznu zbog prijevare s vrijednosnim papirima u devedesetima. Kape također posjeduje CyberGhost, PIA, ZenMate i, što je ključno, recenzentske stranice vpnMentor i WizCase — koje sada rangiraju Kapeove vlastite VPN-ove na vrhu svojih lista.
Kontroverza oko Daniela Gericka dodala je još jedan sloj. Zaposlen kao CIO u prosincu 2019., Gericke je prethodno radio na Projektu Raven — nadzornoj operaciji vlade UAE-a koja je ciljala američke građane, strane novinare i aktiviste za ljudska prava koristeći zero-click eksploite. DOJ ga je kaznio s 335.000 dolara u okviru sporazuma o odgođenom kaznenom progonu. ExpressVPN je priznao da je znao ključne činjenice prije nego što ga je zaposlio, tvrdeći da je njegovo iskustvo u napadačkoj sigurnosti unaprijedilo obrambenu sigurnost. Edward Snowden je javno doveo u pitanje prosudbu tvrtke. Gericke je otišao u srpnju 2023.
Na pozadini ovakvog vlasništva, tehnička sigurnosna infrastruktura ExpressVPN-a je zaista impresivna. TrustedServer radi isključivo u RAM-u bez tvrdih diskova — svako pokretanje učitava svježi, kriptografski potpisani OS image, a serveri prolaze tjedne cikluse nadogradnje koji brišu sve prethodne podatke. Ovu arhitekturu revidirali su PwC (2019.), Cure53 (2022.) i KPMG (2022., 2023., 2025.). Politika bez zapisnika dobila je provjeru u stvarnom svijetu 2017. kada su turske vlasti zaplijenile fizički server tijekom istrage o ubojstvu i nisu pronašle nikakve korisničke podatke.
Lightway protokol, razvijen interno i objavljen kao open-source na GitHubu, prepisan je iz C-a u Rust 2025. godine radi memorijske sigurnosti. Lightway Turbo, predstavljen iste godine, koristi višekanalnu tunelaciju i prijenos podatkovnog kanala na razini kernela za postizanje brzina do 1.479 Mbps na Windowsima — premda je trenutačno dostupno samo za Windows. Standardni Lightway postiže 200–300 Mbps u neovisnim testovima, što je konkurentno, ali sporije od NordVPN-ovog NordLynxa u većini izravnih usporedbi.
Post-kvantna enkripcija korištenjem ML-KEM standarda (NIST standard) implementirana je prema zadanim postavkama na protokolima Lightway i WireGuard, čineći ExpressVPN jednim od prvih pružatelja koji isporučuju PQ zaštitu na više protokola. Podrška za WireGuard dodana je u kolovozu 2025. zajedno s post-kvantnom integracijom.
Mreža servera obuhvaća 3.000+ servera u 105+ zemalja i 160+ lokacija. ExpressVPN pouzdano zaobilazi cenzuru u Kini, Iranu, UAE-u, Rusiji i Saudijskoj Arabiji — kritična sposobnost kojoj mnogi konkurenti ne mogu parirati. Deblokiranje streaming sadržaja dosljedno je najjače u industriji, s potvrđenim pristupom 20+ Netflix knjižnica, Disney+, Prime Video, BBC iPlayer, Hulu, HBO Max i DAZN-u.
Značajan sigurnosni propust bio je DNS propuštanje u Windows split tuneliranju (CVE-2024-25728), prisutno od svibnja 2022. do veljače 2024. — 21 mjesec tijekom kojih su DNS zahtjevi zaobilazili VPN tunel kada je split tuneliranje bilo omogućeno. ExpressVPN procjenjuje da je manje od 1% Windows korisnika bilo pogođeno. Odgovor je uključivao dvije analize temeljnih uzroka, naručeni penetracijski test tvrtke Nettitude i privremeno onemogućavanje split tuneliranja do popravka.
Cijene su restrukturirane u rujnu 2025. u tri razine: Basic (2,44 dolara/mjesec uz dvogodišnje planove, 10 veza), Advanced (4,49 dolara/mjesec, dodaje upravitelja lozinkama i praćenje identiteta) i Pro (7,49 dolara/mjesec, dodaje namjensku IP adresu). Mjesečna cijena ostaje najviša u industriji pri 12,99 dolara. Mogućnosti plaćanja uključuju kreditne kartice, PayPal, Bitcoin, Apple Pay i Google Pay s 30-dnevnim jamstvom povrata novca.
Značajni nedostaci uključuju prosljeđivanje portova (nedostupno na bilo kojem serveru), multi-hop usmjeravanje i klijentske aplikacije otvorenog koda — samo je jezgra knjižnice Lightway javna. Split tuneliranje nije dostupno na iOS-u. Ovi nedostaci posebno se osjećaju uz premium cijenu ExpressVPN-a.
ExpressVPN je proaktivno uklonio sve fizičke servere iz Indije u lipnju 2022. umjesto da se uskladi s CERT-In mandatom o čuvanju podataka, prelazeći na virtualne servere u Singapuru i Velikoj Britaniji za indijske IP adrese. Izvještaji o transparentnosti pokazuju 529 vladinih zahtjeva u 2025. i 2,44 milijuna DMCA pritužbi — bez ijednog otkrivenog podatka u bilo kojem slučaju.
Tvrtka je krenula prema ISO 27001, 9001 i 18295 certifikacijama, s ISO 27701 (privatnost) i ISO 42001 (AI) planiranim za 2026. Besplatni EventVPN tier, pokrenut u studenom 2025., radi na premium infrastrukturi s post-kvantnom zaštitom i politikom bez zapisnika — što je upečatljiv kontrast prema većini besplatnih VPN ponuda.