Auditoría no-logs en VPN: qué debes comprobar 2026

Una política no-logs no es lo mismo que una auditoría

Una política no-logs es la promesa del proveedor de que no guarda determinados datos sobre tu actividad. Puede referirse al historial de navegación, las consultas DNS, la dirección IP de origen o los tiempos de conexión. Lee la política concreta: «no guardamos tu actividad» no aclara necesariamente qué datos técnicos conserva para operar la cuenta o limitar abusos.

Una auditoría externa contrasta algunas de esas afirmaciones y los sistemas que las hacen posibles. No convierte la promesa en una garantía permanente ni demuestra que jamás haya existido un registro. Aporta evidencia sobre lo que el auditor pudo examinar, bajo unas condiciones y durante un periodo determinados.

El filtro reúne planes etiquetados como política no-logs auditada. Sin embargo, aquí no se muestran el nombre del auditor, la fecha del informe, su alcance ni la frecuencia de las revisiones. Usa la etiqueta para acotar la comparación, no como sustituto de leer el informe. En nuestra comparación completa, las cifras de 22 planes y 22 proveedores incluyen también opciones que no aparecen en este filtro.

Quién hace la auditoría y qué significa independencia

La cobertura de informes atribuye auditorías no-logs de NordVPN a PwC en 2018 y 2020, y a Deloitte entre 2022 y 2025, bajo el estándar ISAE 3000. CyberGhost informa de dos auditorías independientes realizadas por Deloitte. En el caso de Proton VPN, la cobertura identifica a Securitum como auditor. Estos ejemplos muestran por qué importan el nombre de la firma y el informe concreto: la palabra «auditado» no los revela por sí sola.

Independiente no significa que el auditor carezca de relación comercial con el proveedor. Normalmente, la empresa de VPN contrata y paga la revisión, y define con el auditor el alcance del trabajo. Eso no invalida automáticamente el resultado, pero hace relevante comprobar qué se examinó, qué quedó fuera y si el informe describe límites de acceso.

También importa cómo se permitió el acceso. En la cobertura de algunas auditorías de Proton se describe un modelo asistido por el operador: personal de Proton mostró sistemas a los auditores, en vez de darles acceso remoto plenamente independiente. El informe puede ser útil, pero no equivale a que el auditor haya inspeccionado por su cuenta todos los componentes. Si el proveedor no publica estos detalles, pide el informe completo o una explicación precisa del alcance.

Qué pueden revisar los auditores y qué no

Una revisión puede incluir entrevistas con personal, archivos de configuración, registros activos del sistema, esquemas de bases de datos y controles que detectan cambios. Por ejemplo, la cobertura de una auditoría de NordVPN describe entrevistas, revisión de configuraciones e inspección de registros en directo durante un periodo fijado: del 10 de noviembre al 12 de diciembre de 2025. En auditorías de Proton se han descrito revisiones de gestión de configuraciones, monitorización y alertas para detectar cambios que afecten a la política no-logs.

Ese trabajo permite contrastar sistemas observables; no permite conocer la intención de cada desarrollador ni probar que nunca se añadió código para registrar información en secreto. Tampoco certifica automáticamente las aplicaciones, todos los centros de datos, cada servidor o los sistemas de facturación. Un informe sobre servidores no equivale a una revisión de las aplicaciones cliente, ni al revés.

Comprueba qué servidores y entornos entraron en la muestra, qué datos buscó el auditor, si pudo consultar registros reales y qué exclusiones declara. Una prueba limitada a ciertos equipos no acredita por extensión cada máquina de la red. Si el documento no explica método, acceso y límites, tienes poca base para valorar su profundidad.

La fecha y el alcance cambian el peso del informe

Una auditoría describe un estado observado durante un periodo, no una vigilancia continua. Si el informe es antiguo, la arquitectura, el software o la política podrían haber cambiado. Comprueba si el proveedor publica revisiones posteriores y si cubren los mismos sistemas. La frecuencia importa menos como eslogan que como evidencia: «auditado cada año» solo es útil si puedes localizar informes fechados.

Separa también fechas que suelen confundirse. 31 octubre 2026 indica cuándo se sincronizaron los precios de nuestra comparación; no es la fecha de una auditoría no-logs. Busca la fecha dentro del informe, junto al periodo examinado. Después comprueba el alcance, el auditor y las limitaciones. Un informe reciente sobre aplicaciones no responde a qué registros conserva la infraestructura VPN.

Para una decisión sensible, como proteger comunicaciones de una fuente periodística o de una actividad de activismo, no te quedes con la página de marketing. Descarga el informe y localiza las secciones de alcance y metodología. Si vas a contratar una VPN para una empresa, pregunta también quién autorizó el acceso y qué sistemas quedaron fuera.

RAM-only: una medida distinta, no un reemplazo

Un servidor RAM-only ejecuta su sistema desde memoria volátil, en vez de guardar ciertos datos en un disco persistente. Al apagar el equipo, la memoria se borra. Eso puede reducir lo que queda disponible si alguien se lleva un servidor apagado, pero no elimina los datos de un sistema en funcionamiento ni impide una captura de memoria en directo.

Tampoco significa que todo lo relacionado con el servidor esté en RAM. Surfshark ha indicado que sus archivos de configuración permanecen en discos duros. En la práctica, una auditoría examina afirmaciones y controles; RAM-only limita la persistencia de algunos datos cuando el equipo se apaga. Ninguna medida hace innecesaria la otra.

Proton VPN no usa servidores RAM-only y sostiene que confiscar sus servidores apagados no revelaría más información que confiscar servidores de ese tipo. Es una postura distinta sobre cómo conseguir una protección similar, que conviene evaluar junto al diseño técnico y la auditoría. Además, la ubicación legal de una empresa sigue siendo relevante: algunas jurisdicciones podrían obligar a un servicio a empezar a registrar datos. Un informe y la memoria volátil no eliminan esa posibilidad.

Qué enseñan los casos de entrega de registros

En 2017, el FBI utilizó registros de conexión de PureVPN en un caso de ciberacoso en Massachusetts contra Ryan Lin, de 24 años. La empresa había anunciado una política no-logs y los investigadores rastrearon actividad mediante registros del proveedor. Después del caso, PureVPN publicó auditorías externas de su política. El episodio muestra por qué debes distinguir entre una promesa pública y los datos que un servicio pudo aportar en una situación concreta; no permite concluir que todas las VPN con auditoría actúen igual.

En 2011, informaciones sobre el caso relacionado con la investigación de LulzSec indicaron que HideMyAss entregó registros. Defensores de la privacidad criticaron que esa respuesta chocara con la percepción de su postura pública. Toma estos antecedentes como ejemplos para preguntar qué se guarda y qué puede entregarse, no como asesoramiento legal ni como prueba sobre las prácticas actuales de otros proveedores.

Lista rápida para revisar un informe

Antes de dar peso a la etiqueta, abre el informe y comprueba estos puntos:

• Fecha y periodo: localiza cuándo se hizo el trabajo y qué intervalo cubre.
• Firma: verifica quién realizó la auditoría y si el informe identifica a sus responsables.
• Alcance: confirma si revisó servidores, aplicaciones, políticas o solo una parte de la infraestructura.
• Acceso: busca si el auditor inspeccionó sistemas y registros directamente o dependió de demostraciones del proveedor.
• Límites: lee exclusiones, muestras, recomendaciones y condiciones que restrinjan la conclusión.
• Repetición: comprueba si hay informes posteriores y si mantienen un alcance comparable.
• Responsabilidad: ten presente que el proveedor suele contratar y pagar el trabajo; valora la transparencia, no solo el sello.

Si la información pública no contesta a esas preguntas, solicita respuestas concretas antes de elegir. Una etiqueta ayuda a filtrar; el informe te permite decidir cuánto peso merece.