Las VPN sin registros explicadas: qué significa realmente una política de 'sin registros'

Por qué los registros son el núcleo de la confianza en una VPN

Cuando usas una VPN, tu tráfico deja de ser visible para tu ISP y pasa a serlo para el proveedor de la VPN. Eso vuelve central una pregunta: ¿guarda el proveedor registros de lo que haces? Una política de 'sin registros' es la promesa de que no conserva los datos que podrían vincular tu actividad contigo. Como no puedes ver dentro de los servidores del proveedor, esa promesa es tan fiable como la evidencia que la respalda.

Registros de conexión frente a registros de actividad

No todos los registros son iguales, y el término de marketing 'sin registros' puede difuminar una distinción importante. Los registros de actividad son los del tipo sensible: los sitios web que visitas, las consultas DNS y el contenido de tu tráfico. Casi todas las VPN centradas en la privacidad afirman no conservar nunca estos, y un servicio que lo hiciera sería difícil de justificar.

Los registros de conexión, a veces llamados metadatos, abarcan cosas como las marcas de tiempo de conexión, la cantidad de datos transferidos o la dirección IP de origen desde la que te conectaste. Pueden parecer inofensivos, pero aún así pueden bastar para vincular a una persona con una acción en línea cuando se correlacionan con otros registros. Un servicio verdaderamente minimalista conserva lo menos posible de cualquiera de las dos categorías.

Por qué las promesas de 'sin registros' necesitan pruebas

Cualquiera puede escribir 'sin registros' en una página de inicio, y la historia demuestra que las palabras por sí solas significan poco. En más de un caso documentado, se descubrió después que un proveedor que anunciaba una política de cero registros había entregado registros de conexión a las autoridades, lo que reveló que existían registros pese al marketing. La lección no es que las VPN sean inútiles, sino que la afirmación debe poder verificarse de forma independiente.

La privacidad creíble proviene de la arquitectura, no de las promesas: un proveedor que de entrada nunca recopila datos identificativos no tiene nada que revelar, sea cual sea la presión. Ese es un listón más alto que un documento de política bien redactado, y es el estándar que vale la pena buscar.

Auditorías independientes y pruebas en el mundo real

Dos tipos de evidencia hacen creíble una promesa de 'sin registros'. La primera es una auditoría independiente, en la que una firma externa inspecciona los servidores y la configuración del proveedor y publica sus hallazgos. Una auditoría es una instantánea en el tiempo y no una garantía permanente, pero las auditorías repetidas muestran un compromiso continuo y dan a los externos algo concreto que comprobar.

La segunda, y la más fuerte, es la presión del mundo real. Cuando la policía sueca ejecutó una orden de registro en las oficinas de Mullvad en 2023, según se informó se marcharon sin datos de clientes porque los sistemas de la empresa no almacenaban ninguno. Casos como ese, en los que las autoridades exigen registros y no encuentran nada, son la prueba más convincente de que una política es real.

La jurisdicción y las alianzas 'Eyes'

El lugar donde una empresa de VPN tiene su sede legal determina a qué se la puede obligar. Los países de las alianzas de intercambio de inteligencia de los Cinco, Nueve y Catorce Ojos, y aquellos con leyes de conservación obligatoria de datos, pueden en principio forzar a los proveedores a recopilar o revelar información de los usuarios. Un proveedor en una jurisdicción así no es automáticamente poco fiable, pero conviene sopesar el contexto legal.

La jurisdicción es un factor, no un veredicto. Una empresa en un país respetuoso con la privacidad que aun así registra en secreto es peor que una diligente en otro lugar, y una arquitectura genuina de 'sin registros' limita lo que cualquier gobierno puede extraer sin importar la ubicación. Trata la jurisdicción como un dato más junto con las auditorías y el historial, no como la respuesta completa.

Cómo evaluar una promesa de 'sin registros'

Reúne todas las piezas antes de confiar en un proveedor. Lee la política para ver la diferencia entre los registros de actividad y los de conexión, busca auditorías independientes recientes, comprueba si el servicio se ha puesto alguna vez a prueba con una demanda legal real y considera su jurisdicción. Varias de nuestras VPN mejor valoradas han sido auditadas de forma independiente y, en algunos casos, puestas a prueba en el mundo real, y por eso damos mucho más peso a la evidencia verificada que al lenguaje de marketing.