ExpressVPN был основан в 2009 году и работает под юрисдикцией Британских Виргинских островов, где отсутствуют законы об обязательном хранении данных. В сентябре 2021 года компания Kape Technologies приобрела его за 936 миллионов долларов — крупнейшая сделка по покупке VPN-сервиса в истории. История Kape имеет ключевое значение при оценке ExpressVPN: с 2011 по 2018 год компания работала под названием Crossrider и управляла платформой, внедрявшей рекламу в браузерные расширения. Компания Symantec классифицировала программное обеспечение Crossrider как вредоносное, а Google установил, что оно распространяло потенциально нежелательные приложения. Основной владелец Kape Тедди Саги в 1990-х годах отбывал тюремный срок за мошенничество с ценными бумагами. Kape также владеет CyberGhost, PIA, ZenMate и, что особенно примечательно, сайтами-обзорщиками vpnMentor и WizCase, которые ставят собственные VPN-продукты Kape на первые строчки своих рейтингов.
Скандал с Дэниелом Герике добавил ещё один проблемный пласт. Нанятый на должность технического директора в декабре 2019 года, Герике прежде участвовал в проекте Raven — операции правительства ОАЭ по слежке, направленной против граждан США, иностранных журналистов и правозащитников с использованием эксплойтов типа zero-click. По соглашению об отсрочке уголовного преследования Министерство юстиции США оштрафовало его на 335 000 долларов. ExpressVPN признал, что до его найма располагал ключевыми сведениями об этом, утверждая, что опыт работы Герике в сфере атакующей стороны повышает эффективность защитной безопасности. Эдвард Сноуден публично поставил под сомнение решение компании. В июле 2023 года Герике покинул компанию.
На фоне этой корпоративной истории техническая инфраструктура безопасности ExpressVPN производит действительно сильное впечатление. TrustedServer работает исключительно в оперативной памяти, без жёстких дисков: при каждой перезагрузке загружается свежий криптографически подписанный образ операционной системы, а серверы проходят еженедельные циклы обновления, стирающие все предыдущие данные. Эта архитектура прошла аудит PwC (2019), Cure53 (2022) и KPMG (2022, 2023, 2025). Политика отсутствия логов получила реальное подтверждение в 2017 году, когда турецкие власти изъяли физический сервер в ходе расследования убийства и не обнаружили никаких пользовательских данных.
Протокол Lightway, разработанный внутри компании и опубликованный с открытым исходным кодом на GitHub, в 2025 году был переписан с C на Rust ради безопасности памяти. Lightway Turbo, представленный в том же году, использует многоканальное туннелирование и разгрузку канала данных на уровне ядра для достижения скорости до 1 479 Мбит/с на Windows — хотя эта возможность пока доступна только на этой платформе. Стандартный Lightway в независимых тестах показывает 200–300 Мбит/с — результат конкурентоспособный, но уступающий NordLynx от NordVPN в большинстве прямых сравнений.
Постквантовое шифрование на основе ML-KEM (стандарт NIST) по умолчанию применяется как в Lightway, так и в WireGuard, что делает ExpressVPN одним из первых провайдеров, реализовавших квантовую защиту сразу в нескольких протоколах. Поддержка WireGuard была добавлена в августе 2025 года одновременно с интеграцией постквантового шифрования.
Сеть серверов охватывает более 3 000 серверов в более чем 105 странах и свыше 160 локациях. ExpressVPN стабильно обходит цензуру в Китае, Иране, ОАЭ, России и Саудовской Аравии — критически важная функция, недоступная у многих конкурентов. Разблокировка стриминга неизменно остаётся лучшей в отрасли: подтверждён доступ к более чем 20 библиотекам Netflix, Disney+, Prime Video, BBC iPlayer, Hulu, HBO Max и DAZN.
Серьёзным просчётом в сфере безопасности стала утечка DNS при раздельном туннелировании в Windows (CVE-2024-25728), существовавшая с мая 2022 по февраль 2024 года: на протяжении 21 месяца DNS-запросы обходили VPN-туннель при включённом раздельном туннелировании. По оценке ExpressVPN, это затронуло менее 1% пользователей Windows. В ответ компания провела два анализа первопричин, заказала тест на проникновение у компании Nettitude и временно отключила раздельное туннелирование до устранения проблемы.
В сентябре 2025 года структура тарифных планов была пересмотрена и разделена на три уровня: Basic (от 2,44 долларов в месяц при двухлетней подписке, 10 подключений), Advanced (от 4,49 долларов в месяц, включает менеджер паролей и мониторинг персональных данных) и Pro (от 7,49 долларов в месяц, включает выделенный IP-адрес). Ежемесячная стоимость по-прежнему остаётся самой высокой в отрасли — 12,99 долларов. Способы оплаты включают банковские карты, PayPal, Bitcoin, Apple Pay и Google Pay; предусмотрена 30-дневная гарантия возврата денег.
Среди заметных отсутствующих функций — переадресация портов (недоступна ни на одном сервере), маршрутизация через несколько узлов и приложения с открытым исходным кодом: в публичном доступе находится только основная библиотека Lightway. Раздельное туннелирование недоступно на iOS. Эти ограничения ощущаются особенно остро с учётом премиальной ценовой политики ExpressVPN.
В июне 2022 года ExpressVPN проактивно удалил все физические серверы из Индии, отказавшись выполнять требования CERT-In об обязательном хранении данных, и перешёл на виртуальные серверы в Сингапуре и Великобритании для индийских IP-адресов. Согласно отчётам о прозрачности, в 2025 году поступило 529 правительственных запросов и 2,44 миллиона жалоб по системе DMCA — ни по одному из них данные предоставлены не были.
Компания добивается получения сертификатов ISO 27001, 9001 и 18295; сертификации ISO 27701 (конфиденциальность) и ISO 42001 (искусственный интеллект) запланированы на 2026 год. Бесплатный тариф EventVPN, запущенный в ноябре 2025 года, работает на премиальной инфраструктуре с постквантовой защитой и политикой отсутствия логов — заметный контраст с большинством бесплатных VPN-предложений.