Cómo evaluar una VPN gratuita sin fiarse del anuncio

Nada en una página de precios le dice quién puede ver su tráfico. Esa respuesta vive en los registros de propiedad, las tablas de retención y la configuración del cliente que instala de verdad, y leerlos bien lleva una tarde. Una insignia que dice 'anónimo' no nombra a ningún observador, así que no hay nada que comprobar. Los cinco pasos siguientes convierten el anuncio en afirmaciones que puede probar una a una.

Quién opera realmente la salida

Empiece por la entidad legal y el país cuyos tribunales pueden obligarla. Una página de contacto que solo ofrece un formulario web no es una vía de contacto; quiere una dirección postal o un número de registro que pueda consultar. Voluntarios con nombre y un revendedor detrás de un buzón son dos arreglos plausibles, pero fallan de forma distinta cuando llega una disputa de pago o una retirada de contenido. Anote con cuál de los dos trata antes de que se instale nada.

Después clasifique el despliegue al que se une. Una salida promocional comercial, un nodo voluntario de un directorio público y una puerta de enlace de empresa que no le cuesta nada son tres acuerdos distintos, y la parte que decide quién puede conectarse no es la misma en cada uno.

La clasificación predice el fallo que encontrará: un servicio financiado con anuncios puede limitar la velocidad o inyectar contenido, un nodo voluntario puede desaparecer de la noche a la mañana y una puerta de enlace de trabajo puede registrarlo todo por política. Ninguno de esos resultados aparece en un recuento de servidores. Decidir con qué riesgo puede vivir es el verdadero paso de selección.

Cuatro categorías de datos que conviene exigir

Pida que la política se divida en cuatro partes: actividad de navegación, metadatos de conexión, registros de la cuenta y diagnósticos. Una página que promete no tener registros sin esas divisiones no le ha dicho qué guarda. Los metadatos de conexión son la parte que retienen más operadores, porque una queja por abuso llega con una dirección y una marca de tiempo adjuntas. Un operador que admite guardarlos durante un periodo declarado es más fácil de evaluar que uno que lo niega todo. Lea la ventana de retención de cada categoría y el proceso que sigue a una petición legal.

Las afirmaciones de auditoría necesitan el mismo trato. Lea el alcance, el auditor y la fecha, y luego pregunte qué cubre el informe: una revisión de una aplicación cliente dice poco sobre cómo está configurado un servidor, y un informe de hace varios años describe un servicio que ha cambiado desde entonces. Si faltan esos detalles, trate la insignia como marketing.

Mantenimiento que se ve desde fuera

El software que dejó de recibir actualizaciones es un problema de seguridad sea cual sea el protocolo que lleve impreso. Busque un canal de versiones con entradas fechadas y una forma documentada de notificar una vulnerabilidad, porque ambas cosas son baratas de publicar y difíciles de falsificar durante años.

La etiqueta de un protocolo describe un componente del camino, no la parte del otro extremo. WireGuard puede estar al día y aun así terminar en un operador que guarda un registro detallado de conexiones, y lo mismo vale para OpenVPN o cualquier otra cosa. Juzgue la compilación del cliente que le dicen que instale y la ruta de actualización que hay detrás, y luego juzgue al operador como una cuestión aparte. La etiqueta dice cómo se envuelven los bytes, no quién los desenvuelve.

Demuestre la ruta y el kill switch

Instale el perfil en el cliente que realmente va a usar, conéctelo y observe qué cree la máquina sobre su propio tráfico. En Linux, tres comandos responden a la mayor parte de la pregunta:

curl -s https://ifconfig.me
ip route get 1.1.1.1
wg show

El primero imprime la dirección que ve un sitio remoto, que debería ser la salida que eligió; el segundo muestra dev wg0 cuando la ruta predeterminada queda capturada; el tercero informa de un handshake medido en segundos. Una ruta que todavía apunta a eth0, o un handshake de hace horas, significa que el túnel no transporta lo que usted supone.

Repita la consulta de dirección después de bajar la interfaz con sudo wg-quick down wg0. Si la petición caduca, el tráfico estaba bloqueado mientras faltaba el túnel, que es lo que debe hacer un kill switch; si devuelve la dirección de su ISP doméstico, no se protegió nada. Compruebe también la cobertura de rutas del cliente, porque un túnel dividido que excluye los destinos que le importan es un producto distinto del anunciado. Ambas respuestas van en sus notas, junto a la salida que las produjo.

Secretos, huecos y una decisión en una frase

Un archivo de perfil o una credencial de cuenta es una llave a una posición de red, así que trátelo como cualquier otro secreto. No lo pegue en un foro de soporte, no reutilice la contraseña en otro sitio y revóquelo cuando deje de usar el servicio. Si la documentación nunca explica quién financia el servicio ni cuánto tiempo se guardan los registros, anótelo como pregunta abierta. Un hueco sin explicar es un hecho sobre el operador, no una razón para inventar una explicación generosa.

La guía de la EFF para elegir una VPN plantea las mismas preguntas desde el lado del usuario y es un mejor punto de partida que una tabla comparativa. Cuando los pasos estén hechos, intente enunciar su elección en una frase: quién la opera, qué retienen y qué ha probado. Si esa frase necesita una afirmación que no pudo verificar, la decisión no está terminada. Una herramienta gratuita no borra un problema de privacidad; en el mejor caso entrega el problema a un operador que usted eligió con los ojos abiertos. Guarde las notas, porque una política puede cambiar mucho antes de que usted lo note.