¿Qué es una VPN sin registros? Cómo distinguir lo real del marketing

No todos los registros son iguales. Cuando una política de privacidad dice «no guardamos registros», casi siempre se refiere en concreto a la primera categoría y conserva discretamente parte de las demás.

1. Registros de conexión / actividad. Qué sitios visitaste, qué archivos descargaste, qué aplicaciones usaste a través del túnel. A esto se refiere la gente cuando dice «sin registros». Una VPN sin registros de verdad no tiene estos datos ni siquiera por un momento. Y punto.

2. Metadatos de conexión. Cuándo te conectaste, qué servidor de salida usaste, cuánto duró la sesión, cuántos datos transferiste. Algunos proveedores conservan versiones agregadas de esta información para planificar su capacidad. Otros no guardan nada. Otros guardan lo suficiente para identificar la sesión de un usuario concreto si se lo piden.

3. Datos de la cuenta. Tu dirección de correo electrónico, tu método de pago, la fecha de creación de la cuenta, el historial de restablecimientos de contraseña. Casi todas las VPN de pago conservan esto: tienen que hacerlo para cobrarte y permitirte iniciar sesión. También son los datos más fáciles de reclamar por vía judicial, y por eso algunos proveedores ofrecen pago con criptomonedas y aceptan registrarse con un correo anónimo.

4. Datos de IP en el servidor de salida. Muchos servidores de salida de VPN funcionan sobre infraestructura compartida (a veces alquilada a proveedores de nube) en la que el anfitrión tiene sus propios registros. Aunque el proveedor de VPN realmente no guarde registros, el centro de datos subyacente podría conservar brevemente registros de conexión.

Una configuración sin registros verdaderamente mínima evita el punto 1, utiliza servidores que funcionan solo en RAM (que pierden todo su estado al reiniciarse, lo que elimina los puntos 2 y 4) y ofrece opciones de registro respetuosas con la privacidad para el punto 3.

Una promesa de «no registros» vale tanto como el sistema legal bajo el que opera el proveedor.

Una VPN con sede en un país que puede imponer la conservación de datos, o que participa en acuerdos de intercambio de inteligencia, puede estar legalmente obligada a empezar a registrar en el momento en que llegue una orden judicial. El proveedor no tiene por qué actualizar sus textos publicitarios. El usuario se entera meses después, a veces años después, cuando sale a la luz un documento judicial filtrado.

Entre los países que históricamente han sido mejores para los proveedores de VPN respetuosos con la privacidad están Rumanía, Suiza, las Islas Vírgenes Británicas, Panamá y las Seychelles. Entre los que son peores, aunque la empresa cumpla técnicamente la legislación local, figuran Estados Unidos, el Reino Unido, Australia y varios miembros de la UE con marcos de conservación de datos en vigor.

duality.vpn opera desde Rumanía, conforme a la legislación rumana y al RGPD de la UE. Los tribunales rumanos han anulado en repetidas ocasiones, por inconstitucionales, las leyes de conservación obligatoria de datos, y por eso varios proveedores centrados en la privacidad tienen allí su sede.

Si las promesas de privacidad de una VPN se sostienen, las respuestas a estas preguntas son breves y concretas. Si responde con evasivas, eso ya es información.

1. ¿Registran qué sitios visito? (Debería ser: no, nunca, sin matices.)
2. ¿Registran las horas de conexión y las direcciones IP? (Debería ser: no, o solo datos de sesión efímeros que se borran al desconectarse.)
3. ¿Han respondido alguna vez a una solicitud de datos de un gobierno? Cada vez más VPN publican un informe de transparencia en el que detallan las solicitudes recibidas y cómo respondieron.
4. ¿Se ha verificado alguna vez su promesa de no registros en un caso judicial o en una auditoría independiente? «Auditado» debería significar un tercero con nombre y apellidos y un informe público: Cure53, Radically Open Security, Securitum o similares. No «auditado internamente».
5. ¿Dónde tienen su sede legal y qué exige la ley de conservación de datos de ese país? Una respuesta vaga a esta pregunta es la mayor señal de alarma.

Las VPN gratuitas que se financian con publicidad suelen ser el peor caso en cuanto a registros: necesitan saber qué haces en internet para vender esos datos. Los planes gratuitos que ofrecen los proveedores de pago (donde el plan gratuito es, en la práctica, una muestra del producto de pago) pueden estar bien, porque su política de no registros se aplica por igual a todos los usuarios.

duality.vpn ofrece un plan gratuito con la misma política de registros que los planes de pago: sin registros de actividad, sea cual sea el plan.

¿Se puede hackear una VPN sin registros u obligarla a registrar?

Sí. «Sin registros» describe el estado actual, no es una garantía de futuro. Una orden judicial, la incautación de un servidor o una intrusión con éxito pueden cambiar qué datos existen a partir de ese momento. La protección de una política de no registros consiste en que limita lo que está disponible con carácter retroactivo: no hay nada de ayer que incautar.

¿Cómo puedo comprobar que una VPN de verdad no guarda registros?

De tres maneras: (1) una auditoría independiente publicada, realizada por una empresa de seguridad de prestigio; (2) documentos judiciales de un caso en el que se pidieron al proveedor datos de usuarios y no pudo aportar ninguno; (3) la configuración técnica: los servidores que funcionan solo en RAM y los warrant canaries son señales más sólidas que los textos de marketing.

¿Es legal que una VPN no guarde ningún registro?

En la mayoría de las jurisdicciones, sí. Rumanía, Suiza, Panamá y varios países más no tienen leyes de conservación obligatoria de datos para los proveedores de VPN. El panorama legal cambia, y los proveedores que se toman en serio la privacidad publican novedades cuando cambian las leyes.