Cómo verificar la promesa de no registros de una VPN: 5 pruebas

¿Cómo verificas la promesa de no registros de una VPN? No puedes inspeccionar sus servidores, pero sí puedes medir cuánta evidencia respalda la promesa: lee lo que dice realmente la política, busca un auditor con nombre y un informe, comprueba qué cubrió esa auditoría y cuándo, busca pruebas en el mundo real como redadas y casos judiciales, y averigua quién es el propietario de la empresa y cómo ha manejado las malas noticias.

Esto importa porque una VPN ve todo lo que antes veía tu proveedor de internet. La guía de la EFF para elegir una VPN lo dice claramente: aunque una VPN oculta tu navegación a tu ISP, todo es visible para el proveedor de la VPN¹. Y advierte que «Incluso si una empresa afirma no registrar datos de conexión, esto no garantiza un buen comportamiento».¹ Las cinco pruebas siguientes usan ejemplos reales de los proveedores que analizamos, incluido uno en el que la promesa falló.

¿Qué significa realmente «sin registros»?

Normalmente significa que la VPN no registra lo que haces a través del túnel ni nada que vincule una conexión contigo. Casi nunca significa que la empresa no almacene ningún dato.

Hay dos tipos generales de registros. Los registros de actividad recogen lo que haces: sitios visitados, consultas DNS, archivos descargados. Los registros de conexión recogen metadatos de la sesión: tu dirección IP real, el servidor VPN que usaste, cuándo te conectaste y durante cuánto tiempo, cuántos datos transferiste. Una VPN que no guarda registros de actividad pero sí de conexión aún puede ayudar a alguien a vincularte con una acción si conoce la IP del servidor y la hora, que es justo lo que ocurrió en el caso de PureVPN que vemos más abajo. Toda VPN también guarda algunos datos de cuenta y de pago, porque tiene que cobrarte.

Prueba 1: ¿Qué dice realmente la política de privacidad?

Lee la política, no la página de inicio. Una política fiable enumera qué se guarda, durante cuánto tiempo y por qué; una débil dice «sin registros» en letra grande y menciona «datos de conexión» o «datos de uso» más abajo sin explicarlos.

La EFF señala que una empresa de VPN podría registrar tus datos si su política de privacidad no lo excluye de forma específica¹. Así que busca exclusiones explícitas. La política de Mullvad es un buen modelo del nivel de detalle que cabe esperar. Dice que «no se registran las conexiones, incluido cuándo se realiza una, cuándo se desconecta, durante cuánto tiempo ni ningún tipo de marca de tiempo»², y que no se registran direcciones IP ni solicitudes DNS. Luego enumera lo que sí guarda: el número de cuenta y su fecha de vencimiento, datos de pago que varían según el método de pago y registros que las normas contables suecas obligan a conservar durante siete años. El recuento de conexiones activas por cuenta se mantiene solo en memoria. Puede que no te guste cada punto de esa lista, pero puedes verla.

Compara eso con lo que descubrió TorrentFreak en 2017. PureVPN se promocionaba como un servicio sin registros, pero su política de privacidad decía que sus servidores registraban automáticamente las horas de conexión y el ancho de banda³. Cuando el FBI investigó a un hombre de Massachusetts por una campaña de ciberacoso, PureVPN pudo decir a los agentes que un cliente había accedido a su servicio desde dos direcciones IP, una en su casa y otra en su trabajo. La política también había prometido que no guardaba registros «que pudieran asociar una actividad específica con un usuario específico». Ambas afirmaciones eran técnicamente ciertas y, juntas, bastaron para identificar a un sospechoso. PureVPN dijo después que había cambiado su política y que la había sometido a una auditoría independiente; su página de no registros⁴ ahora dice que no registra la IP de origen del usuario, la IP de VPN asignada ni la hora de conexión.

Prueba 2: ¿Lo ha revisado un auditor identificado y puedes leer el informe?

Una afirmación de auditoría significa poco sin una firma identificada, una fecha y un informe o resumen que puedas abrir. Si un proveedor dice que fue «auditado de forma independiente» pero no dice por quién, considera la afirmación como no verificada.

La EFF describe el valor de esto: los proveedores de VPN pueden someter su servicio a auditorías de seguridad de terceros, cuyos resultados se hacen públicos¹. Varios de los proveedores que analizamos hacen exactamente eso:

Hay algunos detalles de esa tabla que conviene notar. Proton enlaza sus cinco informes de Securitum, de 2022 a 2026, desde una sola página¹¹, lo que facilita comprobar la afirmación por tu cuenta. Los dos primeros encargos de aseguramiento de NordVPN, en 2018 y 2020, fueron realizados por PwC¹² antes de que pasara a Deloitte. La propia página de no registros de PIA enumera auditorías de Deloitte en 2022, 2024 y 2025¹³, la última completada el 19 de diciembre de 2025, pero PIA entrega los informes completos a sus clientes¹⁴ en lugar de publicarlos abiertamente. PureVPN es el caso más complicado. En 2020 publicó una entrada titulada "KPMG Validates PureVPN No-Log Claims"¹⁵, pero su página de no registros⁴ actual describe una evaluación de febrero de 2023 realizada por una "well known audit firm" sin nombre y llama a PureVPN una "always-on audit VPN" que la firma puede revisar sin previo aviso. Cuando no se nombra al auditor actual y el informe no es público, no puedes juzgar su alcance, así que dale menos peso que a un informe que puedas leer.

Prueba 3: ¿Qué cubrió la auditoría y cuándo?

Comprueba tres cosas: si la auditoría examinó un momento concreto o un periodo, si puso a prueba la afirmación de no registros o la seguridad en general, y qué antigüedad tiene. Las auditorías varían mucho en los tres aspectos.

¿Un solo día o meses?

La mayoría de las auditorías de no registros de las VPN son encargos de aseguramiento bajo una norma llamada ISAE 3000, y muchas describen el estado de las cosas en una sola fecha. El informe de KPMG de 2025 sobre ExpressVPN comprobó cómo estaban diseñados sus controles de no registros a fecha del 28 de febrero de 2025⁷. El informe de Deloitte sobre PIA describió las configuraciones de los servidores a fecha del 30 de junio de 2022⁸. El auditor de Proton describe su revisión de 2026 como puntual, sobre una muestra de servidores⁵. Una comprobación puntual te dice que los controles estaban bien configurados ese día. Dice menos sobre si funcionaron así durante todo el año. Un encargo que pruebe cómo operaron los controles durante un período, a menudo llamado "Tipo 2" en el lenguaje del aseguramiento, es una evidencia más sólida, así que busca esa expresión cuando leas un informe.

¿Auditoría de no registros o de seguridad?

Responden a preguntas distintas. La auditoría de Cure53 de 2024 a Mullvad evaluó la seguridad de un servidor de pruebas OpenVPN y otro WireGuard¹⁰ y del código de despliegue, encontró un problema medio y uno bajo (ambos corregidos) y ninguna forma de comprometer el anonimato de los usuarios. Es valioso y es evidencia de cómo están construidos los servidores, pero no es un informe titulado como verificación de no registros. Considera útiles ambos tipos y no confundas uno con otro.

¿Qué tan reciente es?

La única auditoría de no registros de IVPN fue la de Cure53 en 2019, y la empresa dice que no encargará más auditorías de no registros y se apoyará en auditorías de seguridad anuales⁹. Es una postura defendible y declarada abiertamente, pero significa que dependes de evidencia más antigua para esa afirmación concreta. Incluso una auditoría reciente y limpia es una instantánea: la EFF señala que no hay certeza de que las prácticas no cambien después de la auditoría, especialmente si un gobierno obliga¹ a ello.

Prueba 4: ¿Ha superado la afirmación una prueba real?

La evidencia más sólida es lo que ocurrió cuando alguien con poder legal fue a pedir datos: un registro, la incautación de un servidor o una citación judicial en un caso. Son poco frecuentes y no se pueden provocar, pero cuando constan públicamente valen más que cualquier auditoría.

• Mullvad, 2023. La policía sueca llegó a la oficina de Mullvad en Gotemburgo con una orden de registro para incautar ordenadores con datos de clientes. Mullvad dice que no existían tales datos¹⁶ y los agentes se fueron sin llevarse nada.
• ExpressVPN, 2017. Las autoridades turcas incautaron un servidor de ExpressVPN mientras investigaban el asesinato del embajador de Rusia. ExpressVPN dijo que inspeccionarlo no aportó información útil¹⁷ porque no guarda registros de conexión.
• Private Internet Access, 2016. En un caso penal en Florida por falsas amenazas de bomba, el FBI citó a PIA. Según la denuncia penal, recogida por TorrentFreak, la única información que PIA pudo aportar fue que las direcciones IP utilizadas eran de la costa este¹⁸ de EE. UU. (TorrentFreak reveló que PIA era uno de sus patrocinadores). En un juicio federal por piratería informática en San José en 2018, el asesor jurídico general de PIA declaró que PIA no guarda registros¹⁹ de la actividad de internet de sus clientes.
• Windscribe, 2025. Fiscales griegos imputaron personalmente al director ejecutivo de Windscribe después de que, presuntamente, uno de sus servidores en Finlandia se usara en una intrusión en 2023. El caso fue sobreseído el 11 de abril de 2025²⁰, y Windscribe dijo que no tenía registros que entregar. Windscribe también afirma que solo conserva la fecha de último uso de una cuenta y un total de ancho de banda de 30 días²¹.
• PureVPN, 2017: el contraejemplo. Como se describe en la prueba 1, los registros de conexión de PureVPN ayudaron al FBI³ a vincular a un sospechoso de ciberacoso con las direcciones IP de su casa y su trabajo, a pesar de su marketing de no registros.

Las pruebas reales también pueden mostrar los límites de la ley y no los del proveedor. En 2021, Proton fue obligada por una orden suiza vinculante, tras una solicitud de la policía francesa a través de Europol, a registrar la dirección IP de un activista francés²² en Proton Mail, su servicio de correo. El CEO de Proton dijo que la ley suiza no puede usarse del mismo modo para obligar a registrar datos en una VPN. Lo que importa para ti es que un proveedor solo puede cumplir una promesa de no registros hasta donde lo permita la ley del lugar donde opera. La EFF lo expresa igual: el proveedor estará sujeto a las leyes de esos países, incluidas las que regulan las solicitudes del gobierno¹.

Prueba 5: ¿Quién es el propietario y cómo gestionó las malas noticias?

Una promesa de no registros vale lo que vale la empresa que la hace. Averigua quién es el propietario del proveedor, dónde está domiciliado legalmente y con qué rapidez y honestidad comunicó incidentes pasados.

• Rapidez al informar. Un atacante accedió a un servidor de NordVPN en un centro de datos de Finlandia en marzo de 2018, a través de un sistema de gestión remota inseguro dejado por el proveedor del centro de datos. NordVPN dijo que el servidor no contenía registros de actividad de los usuarios, pero la brecha se hizo pública en octubre de 2019²³, aproximadamente un año y medio después.
• Cambios de propietario. Kape Technologies, antes llamada Crossrider, compró ExpressVPN en 2021²⁴ por unos 936 millones de dólares, y también es propietaria de Private Internet Access y CyberGhost. Un nuevo propietario hereda la promesa de no registros, y las auditorías anteriores a la venta describen a la empresa antigua.
• Incidentes recientes. En 2026, Surfshark reveló que un servidor de pruebas interno mal configurado había sido accedido desde internet²⁵, junto con un servidor proxy. Dice que la infraestructura VPN de producción y los datos de los clientes no se vieron afectados. Cómo explica una empresa un incidente así, y qué hace después, dice mucho de ella.

Ninguno de estos datos descarta por sí solo a un proveedor. Las filtraciones les ocurren incluso a empresas cuidadosas, y los cambios de propietario son normales. Lo que debes valorar es si la empresa te informa de ellos con prontitud y de forma clara. La EFF añade una prueba humana: «Si la VPN fue creada por personas conocidas en la comunidad de seguridad informática, es más probable que sea digna de confianza».¹

¿Cómo encajan estas comprobaciones?

Ninguna prueba por sí sola demuestra que una VPN no guarda registros. Un proveedor que supera las cinco merece más confianza que uno que solo dice «sin registros» en letras grandes.

Esta es una forma rápida de usarlas. Empieza por la prueba 1: si la política es vaga, para ahí. Después busca un auditor con nombre (prueba 2) y comprueba el alcance y la fecha (prueba 3). Busca el nombre del proveedor junto con «redada», «incautación», «citación» o «tribunal» para encontrar evidencias de la prueba 4, y lee su historial de incidentes (prueba 5). Nuestras reseñas de Mullvad, Proton VPN, NordVPN, ExpressVPN, PIA, Windscribe y PureVPN recopilan estas evidencias de cada proveedor, con sus fuentes, y nuestra comparativa de VPN sin registros los compara lado a lado.

Si todavía no tienes claro si necesitas una VPN, empieza por ¿Necesito una VPN?, y si estás pensando en una gratuita, lee antes VPN gratuitas frente a VPN de pago: los servicios gratuitos son donde estas pruebas fallan con más frecuencia.