Qué es una VPN sin registros (no-logs) y por qué casi nadie lo cumple
En 2018, un proveedor de VPN que anunciaba una “política estricta de cero registros” entregó al Departamento de Seguridad Nacional de EE. UU. el nombre, el correo electrónico, la IP doméstica y las marcas de tiempo de conexión de un usuario: exactamente los datos que juraba no guardar jamás. Ese proveedor era IPVanish. El caso se cita hoy como el ejemplo de referencia cuando alguien pregunta cuánto vale en realidad una política de no-logs.
Esa distancia entre lo que promete la página de marketing y lo que una empresa puede entregar cuando llega una citación judicial es, en el fondo, toda la historia del “no-logs”. La frase aparece en la portada de casi cualquier VPN, pero no tiene una definición legal única, y cada proveedor la usa para referirse a cosas distintas.
Qué significa realmente “no-logs”
Una política de no-logs genuina implica que el proveedor no conserva nada que pueda vincular a una persona concreta con una actividad concreta en un momento concreto. En la práctica, esa promesa abarca varias categorías de datos distintas, y una empresa puede ser estricta con unas mientras se mantiene vaga con otras.
- Registros de conexión — las marcas de tiempo de cuándo te conectaste, cuándo te desconectaste y durante cuánto tiempo.
- IP de origen — la dirección IP que tu dispositivo usó realmente para llegar al servidor VPN.
- Datos de destino — qué sitios, servidores o servicios recibieron tu tráfico.
- Consultas DNS — las búsquedas de dominio que revelan tu actividad de navegación aunque el contenido en sí vaya cifrado.
- Metadatos de ancho de banda y sesión — cuántos datos se movieron, a veces agregados para planificar capacidad de servidor sin vincularlos a una cuenta concreta.
Una política de no-logs estricta excluye las cuatro primeras categorías por completo. Algunos proveedores siguen conservando cifras agregadas y anonimizadas de ancho de banda para gestionar la carga de sus servidores; eso es una excepción operativa razonable, no un fallo de privacidad, siempre que no pueda rastrearse hasta la actividad de un usuario concreto.
Los registros que sí importan — y los que no
No todas las categorías de datos suponen el mismo riesgo. Así se ordenan, aproximadamente, de más a menos sensibles:
| Tipo de dato | Qué revela | ¿Lo guarda una VPN estrictamente no-logs? |
|---|---|---|
| Marcas de tiempo de conexión | Cuándo estuviste online y durante cuánto tiempo | No |
| IP de origen/destino | Tu ubicación real + los sitios y servicios a los que llegaste | No |
| Consultas DNS | Cada dominio que buscaste | No |
| Ancho de banda agregado (anonimizado) | Carga del servidor, tendencias de capacidad | A veces, sin vincularlo a un usuario |
| Correo de la cuenta / método de pago | Quién paga, para soporte y facturación | Sí — esto no es en sí una fuga de privacidad |
La última fila es clave: incluso una VPN genuinamente no-logs necesita saber quién paga la suscripción. La promesa de privacidad se refiere a los datos de actividad, no a si existe o no una cuenta.
Cómo se ponen a prueba las políticas reales — auditorías y casos judiciales
Las auditorías independientes se han vuelto habituales entre los proveedores de VPN consolidados, con firmas como Cure53, Deloitte, PwC y KPMG publicando revisiones de la infraestructura del proveedor y del código fuente de sus apps. Estas auditorías suelen dividirse en dos tipos: las certificaciones operativas, donde los auditores muestrean servidores y configuraciones en vivo para confirmar que no hay código de registro en ejecución, y las auditorías técnicas profundas, que además revisan el código de la app en busca de telemetría oculta.
Una auditoría es una fotografía, no una garantía. Confirma que los sistemas revisados en esa fecha no registraban actividad; un cambio de código, un nuevo SDK o una función añadida el mes siguiente no queda automáticamente cubierto por el informe del año anterior.
La evidencia más convincente suele venir de pruebas del mundo real, no de las promesas de marketing:
- Private Internet Access, 2016 y 2018 — recibió citaciones judiciales en dos ocasiones distintas por parte de investigadores estadounidenses. En ambos casos, la empresa solo pudo entregar un clúster geográfico general de direcciones IP, porque simplemente no existían registros de conexión por usuario que entregar.
- IPVanish, 2018 — el contraejemplo mencionado al principio: una promesa de “cero registros” que se derrumbó en cuanto llegó una citación, porque el proveedor sí estaba registrando datos de conexión.
- Mullvad, Suecia — la policía sueca pudo inspeccionar físicamente las oficinas y los servidores de la empresa como parte de una investigación transfronteriza, y no encontró datos de actividad de clientes que incautar, algo coherente con que Suecia no exige por ley la retención de datos a los operadores de VPN.
El patrón es constante: una política de no-logs solo vale lo que la empresa es capaz de demostrar cuando alguien con autoridad legal exige realmente los datos.
Cómo verificar tú mismo una promesa de no-logs
No hace falta un título de derecho para poner a prueba la promesa de un proveedor. Con unas pocas comprobaciones ya se avanza mucho:
- Lee la política de privacidad completa, no el resumen de la portada — busca exclusiones específicas (IP, marcas de tiempo, DNS) en lugar de la frase genérica “no guardamos registros”.
- Busca una auditoría independiente y revisa su alcance y su fecha — una auditoría de hace tres años sobre una versión distinta de la app dice mucho menos de lo que parece.
- Comprueba la jurisdicción del proveedor — algunos países exigen por ley la retención de datos, lo que anula cualquier política sobre el papel.
- Busca una prueba real — un caso judicial, una incautación policial, un hackeo — donde la promesa de no-logs se haya puesto realmente a prueba.
- Separa los datos de cuenta de los datos de actividad — la información de facturación no es un fallo de privacidad; los registros de conexión y navegación sí lo serían.
Cómo gestiona RunVPN sus registros
RunVPN no almacena sitios web, consultas DNS, destinos ni contenido del tráfico. Conserva datos limitados de conexión durante 30 días.
- Descarga la app — Android ya está disponible; iOS y escritorio llegarán pronto.
- Inicia sesión con Google, correo electrónico o Telegram — la app descarga automáticamente su configuración de conexión. No hay ningún archivo de configuración que importar a mano ni ningún código QR que escanear.
- Pulsa conectar. El tráfico viaja sobre AmneziaWG o VLESS-Reality (XTLS-Vision) sobre el motor Xray, ajustado para lograr una conexión rápida y estable.
RunVPN puede responder a solicitudes legales válidas con los datos limitados de conexión disponibles dentro del plazo de retención de 30 días. No dispone de destinos de navegación, consultas DNS ni contenido del tráfico.
Las cuentas de RunVPN admiten hasta 5 dispositivos, y la app se puede probar gratis antes de contratar un plan. Para el desglose técnico completo, visita la página de confianza y privacidad.
Preguntas frecuentes
¿Una VPN sin registros significa que la empresa no sabe nada de mí? No. La información de facturación (correo electrónico, método de pago) sigue existiendo para gestionar la cuenta — una política de no-logs consiste en no registrar tus horarios de conexión, tus direcciones IP y tu actividad de navegación, no en borrar el hecho de que la cuenta existe.
¿Puede un proveedor de VPN garantizar de verdad que nunca registrará nada, ni siquiera bajo presión legal? Ningún proveedor puede garantizar su comportamiento futuro. Lo que importa es si su arquitectura actual hace que registrar actividad sea técnicamente innecesario, y si eso se ha verificado mediante una auditoría independiente o se ha puesto a prueba con una solicitud legal real.
¿Una política de no-logs es lo mismo que un cifrado fuerte? No — resuelven problemas distintos. El cifrado protege lo que hay dentro de tu tráfico para que no pueda leerse en tránsito; una política de no-logs determina si queda después algún registro de que enviaste tráfico en absoluto.
¿RunVPN registra los sitios que visito? RunVPN no rastrea destinos de navegación. El inicio de sesión con Google, correo electrónico o Telegram se vincula a datos limitados de conexión conservados durante 30 días y también se utiliza para gestionar la suscripción y los dispositivos.
¿Listo para probarlo? Descarga RunVPN o lee más sobre el protocolo VLESS-Reality que impulsa la conexión por debajo.