Lo que su proveedor de VPN puede ver y lo que no
La salida ve direcciones, horarios y, salvo que se use Encrypted Client Hello, el nombre del sitio en el handshake de TLS. La retención es una cuestión aparte.
Su túnel mantiene la red local fuera de su tráfico. Pero no elimina a la empresa del otro extremo, que procesa cada paquete antes de que llegue a internet abierta. Esa posición es a la vez el modelo de negocio y la cuestión de privacidad. Por eso la pregunta útil no es si el proveedor puede verle, sino qué ve, qué puede nombrar y qué conserva.
Dónde se mueve realmente la confianza
El cifrado va de su dispositivo al servidor del proveedor, y ese tramo exterior es todo lo que su red local llega a ver. El proveedor tiene el otro extremo del tramo, así que descifra el túnel y reenvía sus paquetes. Nada de eso es un defecto; es la definición del servicio que compró. La confianza se trasladó del operador local al operador de la salida en lugar de desaparecer.
Desde esa posición conoce su dirección de origen, cuándo se conectó, aproximadamente cuánto transfirió y qué destinos contactó. Nada de eso exige leer sus mensajes, y ese es el sentido de separar las categorías. Las diferencias interesantes entre proveedores se refieren a qué ocurre después con esas observaciones.
Qué maneja la salida por necesidad
Ordene las categorías según la fiabilidad con que la salida puede verlas. Ninguna de las filas exige romper el cifrado, y cada una tiene una respuesta distinta sobre si es evitable del todo.
| Category | Visible at the exit | Why |
|---|---|---|
| Your public address | Always | It is the address the tunnel arrives from |
| Connection times and volume | Always | Accounting data, not content |
| Destination IP addresses | Always | The exit has to route the packets |
| HTTPS hostname (SNI) | Normally, unless ECH is used | Sent in the clear in the TLS ClientHello |
| DNS names | Only if DNS is plaintext | DoH or DoT hides the query; plaintext is readable by the forwarder |
| Page paths and form contents | Not normally | Protected by the destination site's TLS session |
La cuarta fila es lo que pasan por alto la mayoría de los modelos mentales. Un navegador moderno pone el nombre del sitio en el ClientHello, el primer mensaje del handshake de TLS, y ese campo es legible en la salida incluso cuando cada consulta DNS va cifrada de extremo a extremo. Salvo que se negocie Encrypted Client Hello, el nombre viaja en claro junto a la dirección de destino. El DNS cifrado cambia quién ve la consulta, no quién ve el nombre.
Lo mismo vale para los certificados en conexiones más antiguas: TLS 1.3 cifra el certificado del servidor, mientras que un handshake TLS 1.2 puede exponer el nombre a un observador que graba el flujo. Ambas son hechos del transporte y no política del proveedor.
Qué cubre TLS y qué no
Cuando un sitio sirve HTTPS, su navegador construye una conexión TLS con el punto final de ese sitio, no con el servidor VPN. El proveedor reenvía registros cifrados y conoce la dirección de destino, el momento y los tamaños aproximados. El nombre del sitio viaja en el ClientHello salvo que ECH esté en juego, y el cuerpo de la página sigue cifrado en ambos casos. Un certificado raíz inesperado cambia esa frontera, y por eso las advertencias de certificado merecen respeto.
El HTTP simple no tiene esa protección más allá de la salida. El túnel protege el tramo hasta el proveedor, y después la petición viaja exactamente como lo haría sin VPN. ECH no lo arregla, porque protege el nombre y no el contenido.
La retención es una cuestión distinta de la visibilidad
Un operador puede procesar datos de conexión en memoria y no conservar nada, o conservar un subconjunto y describirlo con precisión como no historial de navegación. Lea una afirmación de cero registros por categoría y no por eslogan: registros de conexión, marcas de tiempo, totales de volumen, datos de destino, identificadores de cuenta y mensajes de soporte todos cuentan. Un proveedor puede no llevar registros de navegación con honestidad y a la vez conservar el registro de la cuenta y los metadatos necesarios para operar el servicio. La visibilidad no le dice cuál de esas categorías se almacena.
Una auditoría es una prueba sobre los sistemas y la ventana temporal que cubrió, y el código de cliente abierto describe al cliente y no a los servidores. Ambas cosas son útiles, y ninguna habla por cada sistema de almacenamiento detrás de la salida. Pida el alcance de una auditoría, no su insignia.
Preguntas que separan a los proveedores
Pregunte qué se conserva, durante cuánto tiempo y quién puede recuperarlo. Pregunte quién opera la salida, porque una ficha de directorio, un desarrollador de aplicaciones y la persona que gestiona un servidor concreto pueden ser tres partes distintas. Pregunte cómo se trata el DNS y si ECH es compatible con las rutas que usa, ya que un ClientHello en texto claro nombra el sitio incluso sin consulta DNS. Pregunte qué ocurre ante una solicitud legal, y lea la respuesta como descripción de capacidad y no de intención.
La guía de la EFF para elegir una VPN es una lista de comprobación razonable para esas preguntas, y es un marco y no un veredicto sobre ningún servicio. Una página de marketing no es una política de retención. Nada de esto hace inútil una VPN; cambia en quién tiene que confiar y para qué.