Política de no logs en una VPN: ¿marketing o protección real?
Una política de no logs suena tranquilizadora, pero ¿qué cubre? Descubre qué puede registrar una VPN, cómo ayudan las auditorías y cómo leer la letra pequeña.
Casi todas las páginas web de VPN muestran en su portada la misma frase tranquilizadora: "política estricta de no logs". Con ella se pretende decirte que la empresa no guarda un registro de lo que haces en internet. La idea es sólida, porque una VPN que nunca almacena tu actividad no tiene nada que entregar ni que perder. Pero la frase no tiene un significado legal fijo, y dos empresas pueden usarla para describir prácticas muy distintas.
Por qué importan los registros
Una VPN traslada tu confianza de tu proveedor de internet a la empresa de la VPN. Si esa empresa almacena un registro detallado de tu navegación, has cambiado un observador por otro. Los registros pueden quedar expuestos en una brecha, ser solicitados mediante procesos legales, ser mal utilizados por empleados o ser vendidos. Cuanto menos se registre, menos puede salir mal. Ese es todo el sentido de una promesa de no logs.
Lo que pueden significar realmente los "logs"
La gente suele hablar de los registros como si fueran de un único tipo. En la práctica hay varios, y conllevan distintos niveles de riesgo.
Registros de actividad (los más sensibles)
Registran lo que haces: sitios web visitados, archivos descargados, términos de búsqueda o el contenido de tu tráfico. Una VPN que de verdad no guarde logs no debería conservar nada de esto.
Registros de conexión (también llamados metadatos)
Describen tu uso del servicio sin mostrar necesariamente las páginas que visitaste. Algunos ejemplos son las horas de conexión, cuánto tiempo estuviste conectado, la cantidad de datos transferidos, qué servidor usaste y tu dirección IP original. Incluso sin registros de actividad, los registros de conexión a veces pueden ayudar a vincular a una persona con un momento concreto de uso.
Datos operativos y de diagnóstico
Los proveedores pueden conservar datos técnicos limitados para la facturación, la resolución de problemas o la prevención de abusos, como el número de dispositivos simultáneos de una cuenta o los informes de error de la aplicación. Esto no siempre es un problema, pero las preguntas importantes son cuánto se guarda, durante cuánto tiempo y si se puede vincular contigo.
Información de cuenta y de pago
Las direcciones de correo, los datos de pago y las fechas de suscripción son normales en un servicio de pago. No es un registro de tráfico, pero puede identificarte, así que mira qué se exige y qué se almacena.
| Tipo de registro | Ejemplo | Preocupación para la privacidad |
|---|---|---|
| Actividad | Sitios visitados, consultas DNS | Muy alta |
| Metadatos de conexión | Tu IP real, horas de sesión, volumen de datos | Alta a moderada |
| Datos operativos | Informes de error, número de dispositivos | Baja a moderada, según el tiempo de conservación |
| Datos de cuenta | Correo, método de pago | Te identifica, pero no revela tu tráfico |
Motivos por los que la afirmación puede inducir a error
- Redacción vaga. "No registramos tu actividad" puede seguir permitiendo registros de conexión. Una política sólida enumera qué no se recopila y qué sí.
- Registros a corto plazo. Algunos servicios conservan datos brevemente, por ejemplo durante una sesión, y los eliminan después. Eso puede ser razonable, pero debe indicarse con claridad.
- Terceros. Las aplicaciones pueden incluir herramientas de analítica o de informes de fallos que recopilan datos según sus propias políticas.
- Jurisdicción. El país en el que se basa una empresa determina qué leyes pueden obligarla a recopilar o entregar datos. Una afirmación de "no logs" importa poco si la ley obliga a registrar, y importa más si de verdad no hay nada que entregar.
- Falta de verificación. Una política son solo palabras a menos que alguien ajeno a la empresa pueda comprobarla.
Cómo se puede comprobar una afirmación de no logs
Nada ofrece una prueba perfecta, pero varios elementos aportan confianza.
- Auditorías independientes. Una empresa externa revisa los sistemas y la configuración, y publica un informe. Fíjate en el alcance: qué se examinó, cuándo, y si la auditoría abarcó los servidores y el software que realmente se usan.
- Servidores sin disco o solo con RAM. Los servidores que funcionan en memoria pierden sus datos al reiniciarse, lo que limita lo que podría almacenarse. Esto ayuda, aunque por sí solo no es una promesa.
- Registros judiciales o legales. Si un proveedor ha sido obligado a entregar datos y no pudo hacerlo, es una prueba significativa. No todos los casos son públicos, y la ausencia de casos demuestra poco.
- Informes de transparencia. Los informes periódicos sobre el número y el tipo de solicitudes legales recibidas muestran cómo las gestiona la empresa.
- Aplicaciones de código abierto. El código público permite a los investigadores inspeccionar lo que hace el cliente, aunque el comportamiento del lado del servidor es más difícil de verificar.
- Trayectoria. ¿Cómo ha respondido la empresa ante incidentes o críticas anteriores?
Recuerda: una auditoría es una instantánea en el tiempo. Muestra lo que era cierto los días en que se realizó. Busca auditorías repetidas, recientes y con un alcance claro, en lugar de un único sello en la página de inicio.
Cómo leer una política de privacidad en diez minutos
- Busca en la página palabras como "log", "registro", "conservar", "recopilar" y "terceros".
- Comprueba si se almacena tu dirección IP original y durante cuánto tiempo.
- Mira si se registran las marcas de tiempo de las conexiones o los volúmenes de datos.
- Revisa qué se recopila en el sitio web y en la aplicación, que puede ser distinto de lo que recopila el propio servicio de VPN.
- Encuentra la sección sobre solicitudes legales y lo que la empresa dice que hará.
- Anota el nombre de la empresa, su ubicación y sus datos de contacto.
- Comprueba la fecha. Una política que no se actualiza desde hace años puede no reflejar la práctica actual.
Lo que una política de no logs no puede hacer
Ni siquiera un proveedor perfectamente honesto puede hacerte anónimo. Los sitios web en los que inicias sesión siguen sabiendo quién eres. La huella digital del navegador y las cookies siguen funcionando. Los registros de pago pueden vincular una cuenta contigo a menos que tomes medidas adicionales. Y una VPN protege el tramo entre tu dispositivo y el servidor de la VPN; no puede controlar lo que ocurre en el destino. Una política de no logs reduce un riesgo concreto: que la empresa de la VPN se convierta en archivista de tu actividad.
Preguntas frecuentes
Si una VPN no tiene logs, ¿puede aun así verse obligada a entregar algo?
Una empresa solo puede proporcionar lo que tiene. Si de verdad no almacena actividad ni datos de conexión que identifiquen, puede haber poco que entregar, aunque aún podría conservar los datos de la cuenta.
¿Es probable que las VPN gratuitas no tengan logs?
Varía. Como sus fuentes de ingresos pueden no estar claras, lee la política con aún más atención y averigua cómo se financia el servicio.
¿Demuestra una auditoría que una VPN es segura?
Aporta evidencia, pero no garantiza nada. El alcance y la fecha importan, y solo cubre lo que se revisó.
¿Es realista la recopilación cero de datos?
Casi todos los servicios necesitan algunos datos mínimos para funcionar, como los datos de la cuenta. El objetivo es mantenerlos limitados, de corta duración y separados de tu navegación.
Conclusión
Una política de no logs es un punto de partida, no un certificado. La frase puede describir desde un sistema cuidadosamente diseñado que casi no almacena nada hasta una promesa laxa que solo cubre algunos tipos de datos. Busca una redacción específica sobre lo que se registra y lo que no, auditorías independientes y recientes, una identidad corporativa clara y un historial de cómo se han gestionado las solicitudes legales. Combina esa investigación con expectativas realistas: una VPN reduce lo que pueden ver tu proveedor de internet y tu red local, pero es solo una parte de la protección de tu privacidad.
