Una política sin logs es un compromiso del proveedor VPN de no retener registros de actividad del usuario (qué sitios visitas, cuándo, desde qué IP). Es una declaración de privacidad que puede ser cierta o falsa dependiendo de la arquitectura técnica real del proveedor.
Qué pueden significar los "logs"
Los proveedores VPN pueden guardar varios tipos de registros:
- Logs de actividad — qué sitios visitaste, qué consultas DNS hiciste, qué datos transferiste. La categoría más sensible.
- Logs de conexión — cuándo conectaste y desconectaste, tu IP real, el servidor que usaste. Menos sensibles pero potencialmente identificativos.
- Logs de diagnóstico — datos de rendimiento agregados, reportes de error anonimizados. Normalmente OK desde punto de vista de privacidad.
- Logs de cuenta — tu email, info de pago, tickets de soporte. Operacional, pero linkable a ti.
"Sin logs" normalmente significa sin logs de actividad y sin logs de conexión. Los logs de cuenta normalmente se retienen por razones operacionales pero minimizados.
Por qué importa
Si un proveedor VPN guarda logs, esos logs pueden ser:
- Citados por fuerzas del orden.
- Robados en un breach.
- Vendidos a data brokers (en el caso de proveedores turbios).
- Usados internamente para monetizar comportamiento de usuario.
Una arquitectura sin logs genuina significa que ninguno de estos es posible — los datos simplemente no existen para ser expuestos.
Cómo verificar una declaración sin logs
Auditorías independientes
Firmas reputadas de terceros (Cure53, KPMG, Deloitte, PwC, Securitum) revisan los sistemas reales del proveedor y publican reportes. Auditorías notables en años recientes:
- Mullvad — múltiples auditorías Cure53.
- ExpressVPN — auditorías PwC y KPMG.
- NordVPN — auditorías Deloitte.
- ProtonVPN — auditorías Securitum.
Registros judiciales
Cuando los proveedores han sido compelidos a entregar datos de usuarios, lo que pueden y no pueden producir está documentado. Ejemplos:
- Mullvad: redada policial en 2023 se fue con nada porque no había nada que incautar.
- ExpressVPN: caso Turquía 2017 — no pudieron producir los datos solicitados.
- Private Internet Access: caso FBI 2016 — no pudieron producir los datos solicitados.
Arquitectura técnica
Los proveedores que genuinamente no loguean pueden describir sus sistemas de formas que hacen el logging estructuralmente imposible: servidores RAM-only, imágenes de container inmutables, sin storage compartido para datos de tráfico.
Conceptos erróneos comunes
- "Sin logs" no significa sin datos. Datos de cuenta, info de facturación y analítica agregada pueden seguir existiendo.
- "Auditado" no significa infalible. Las auditorías son snapshots en el tiempo; los proveedores pueden cambiar configuraciones entre auditorías.
- Las declaraciones de marketing no son auditorías. Un proveedor diciendo "sin logs" en su homepage significa muy poco sin verificación externa.