Cómo elegir un servicio de privacidad: en qué fijarse, no en el marketing

Por qué necesitas un servicio de privacidad

Un servicio de privacidad (VPN) cifra el tráfico entre tu dispositivo y el servidor al que te conectas. Esto cierra el tramo más vulnerable del recorrido: la red local, ya sea un router doméstico, una cafetería con Wi-Fi abierto o un punto de acceso de un hotel o aeropuerto. El propietario de esa red, o alguien conectado a ella, puede en determinadas condiciones ver o manipular el tráfico sin cifrar; una VPN hace que el contenido de la conexión sea ilegible para los nodos intermedios. Para más información sobre los riesgos de las redes abiertas y cómo reducirlos sin una VPN, consulta nuestro artículo sobre cómo proteger tus datos en el Wi-Fi público.

Otra cuestión distinta es la privacidad de la propia conexión hacia recursos laborales o personales; por ejemplo, cuando un empleado necesita un acceso remoto seguro a los servicios internos de una empresa, en lugar de un canal abierto a través del proveedor de internet.

El protocolo de cifrado: por dónde empezar a comprobar

Las características técnicas de un servicio las define, ante todo, el protocolo en el que se basa. Uno de los referentes modernos es WireGuard: según la especificación oficial del protocolo, implementa una variante simplificada del framework Noise (Noise_IKpsk2_25519_ChaChaPoly_BLAKE2s), usa Curve25519 para el intercambio de claves, ChaCha20-Poly1305 como único esquema de cifrado autenticado y BLAKE2s para el hash. Un detalle importante: el protocolo no admite negociar algoritmos «al vuelo» — el conjunto de primitivas criptográficas es fijo, lo que facilita las auditorías de código independientes en comparación con los protocolos donde el cifrado se elige de forma dinámica.

Una base de código compacta (la de WireGuard es un orden de magnitud más pequeña que la de los protocolos clásicos) no es un detalle de marketing, sino una ventaja práctica: menos código que revisar en busca de errores y una superficie de ataque menor. AmneziaWG y otras implementaciones similares son bifurcaciones (forks) del mismo protocolo, ajustadas a casos de uso concretos, pero comparten el mismo fundamento criptográfico.

Qué preguntarle a un servicio antes de pagar

• Qué protocolo se usa por defecto y si es posible cambiar a una alternativa.
• Si el desarrollador publica el código fuente de las aplicaciones cliente: el código abierto se puede revisar, el cerrado hay que aceptarlo por confianza.
• Si el servicio ha pasado por una auditoría técnica independiente y si se ha publicado un informe, aunque sea en forma resumida.

Política de registros y jurisdicción

«Sin registros» es una frase que casi todos escriben, pero significa cosas distintas según el servicio. Merece la pena distinguir entre registros de conexión (hora, volumen de tráfico, IP de origen) y registros de actividad (qué direcciones se visitaron). La ausencia de los segundos es el mínimo exigible para confiar, pero incluso eso hay que comprobarlo con la redacción concreta de la política de privacidad, no con un eslogan de la página de inicio. Una buena señal es que la política enumere directamente qué datos técnicos se recopilan para operar el servicio (por ejemplo, para calcular la facturación) y excluya explícitamente el contenido del tráfico y el historial de navegación. Una política pública vaga o completamente ausente es motivo de cautela, independientemente de todo lo demás. Para ver un ejemplo de redacción concreta y no promocional, consulta nuestra política de privacidad y la página de seguridad y protocolos.

Cuenta y contraseña: la higiene básica que a menudo se pasa por alto

Un protocolo sólido de cifrado del canal no sirve de nada si la cuenta en el panel del servicio se compromete por una contraseña débil. Las directrices actuales de identidad digital del NIST (SP 800-63B) desplazan explícitamente el foco de la complejidad de la contraseña a su longitud: para la autenticación de un solo factor se recomienda un mínimo de 15 caracteres, y las organizaciones no deberían imponer reglas obligatorias como «debe incluir un número y un carácter especial» — no mejoran de forma significativa la seguridad y dificultan que los usuarios recuerden la contraseña. El estándar tampoco exige ya cambios periódicos forzados de contraseña si no hay indicios de compromiso.

La conclusión práctica es que una frase de contraseña larga, generada y guardada en un gestor de contraseñas, es más segura que una contraseña corta y «compleja» memorizada. Elegir el gestor en sí es un tema aparte, tratado en nuestro artículo sobre cómo elegir un gestor de contraseñas fiable. Cuando sea posible, también deberías activar la autenticación en dos factores para el panel del servicio: una barrera independiente, ajena al protocolo de cifrado del tráfico.

Kill switch y comportamiento al desconectarse

El túnel se cae en algún momento con cualquier servicio: al cambiar de red, cuando el teléfono entra en reposo, cuando un servidor está sobrecargado. La cuestión es qué ocurre en ese instante: si la aplicación simplemente vuelve a una conexión normal sin avisar, el tráfico sale sin cifrar, directamente, durante un breve periodo. Un kill switch bloquea todo el tráfico hasta que el túnel se restablece; conviene comprobarlo en los ajustes de la aplicación antes de confiar en el servicio para algo sensible, no después.

Dispositivos, plataformas y velocidad real

Una prueba práctica importa más que la lista de plataformas admitidas en el sitio web: instala la aplicación en el dispositivo que realmente vas a usar (teléfono, portátil) y evalúa la estabilidad de la conexión durante varios días de uso normal, no en una prueba de cinco minutos. La diferencia de latencia y velocidad entre protocolos ligeros como WireGuard e implementaciones más antiguas y pesadas suele notarse más en redes móviles con señal inestable, gracias a menos comprobaciones de handshake y una menor carga de CPU en el dispositivo.

Si un servicio ofrece un periodo de prueba, es una buena forma de comprobar todo lo anterior en tus propios términos, en lugar de fiarte de la descripción del sitio web. HamikVPN, por ejemplo, usa un protocolo basado en WireGuard y ofrece acceso de prueba mediante el registro en el panel, para que puedas evaluar la estabilidad de la conexión en tu propio dispositivo antes de pagar un plan.

Lista de comprobación: qué revisar en 15 minutos antes de elegir

1. Abre la página de protocolo en el sitio web del servicio: ¿se nombra un protocolo concreto (WireGuard y sus derivados son un buen referente) o la redacción es vaga?
2. Lee la política de privacidad completa y busca la sección sobre registros: no un párrafo de frases genéricas, sino una lista concreta de lo que no se recopila.
3. Comprueba si hay un kill switch en los ajustes de la aplicación y actívalo manualmente si está desactivado por defecto.
4. Establece una contraseña larga y única para tu panel usando un gestor de contraseñas, y activa la autenticación en dos factores si está disponible.
5. Prueba la aplicación en un dispositivo real durante varios días, en lugar de juzgarla por una sola medición de velocidad.
6. Consulta los precios y las condiciones de pago actuales, por ejemplo en la página de precios, antes de pagar por un periodo largo.
7. Comprueba si es compatible el dispositivo que realmente usas más a menudo; para Android, hazlo desde la página de descarga de la aplicación.

Conclusión

Ningún punto de esta lista sustituye a los demás: un protocolo abierto sin una política de registros clara no da el panorama completo, y una política honesta combinada con criptografía débil también es una solución a medias. La combinación de detalles técnicos verificables (protocolo, política de datos, comportamiento al desconectarse, rendimiento real en tu propio dispositivo) es más fiable que cualquier promesa en una página de inicio. Para más contenido sobre higiene digital y privacidad, consulta la sección de artículos.