CactusVPN vs IVPN

Identificadores a nivel de aplicación y declaraciones de las tiendas. C07a, C12 y X12 siguen siendo desconocidos: en esta sesión no se consultó ningún formulario de seguridad de datos de Play Store ni ninguna etiqueta de privacidad de Apple, y el alcance whitebox de la auditoría de Securitum cubrió la configuración del lado del servidor y el tratamiento de DNS/tráfico, no lo que los clientes móviles o de extensión transmiten por sí mismos a las tiendas de aplicaciones o a los SDK de analítica.

Transparencia y canario. Ninguna de las rutas /transparency, /transparency-report, /warrant-canary o /canary se resuelve en el sitio, y ninguna página de ese tipo apareció en el mapa del sitio; es una ausencia encontrada al buscar, no un «ninguno» respaldado por una fuente, por lo que ambos campos siguen siendo desconocidos en lugar de marcarse como ninguno.

La auditoría aún no publicada. La octava auditoría anual de Cure53 estaba programada para julio de 2026 y aún no se ha publicado ningún informe de 2025 o 2026, por lo que la fecha del informe más reciente es abril de 2024.

El incidente de agosto de 2026. En agosto de 2026, un atacante explotó una vulnerabilidad en el BTCPay Server autohospedado, antes de que se hiciera pública, y sustrajo los fondos operativos propios de IVPN en Lightning. IVPN publicó el relato cuatro días después, sin que se lo solicitaran, y lo limitó a esa máquina: las puertas de enlace de VPN no estuvieron involucradas, no se accedió a registros de clientes y no se perdió dinero de clientes.

Por qué no cuesta nada. El modelo no cobra nada por esto, y ese es el punto: un operador que lo comunica con prontitud se comporta de la manera que el sector pretende recompensar, y la ficha está aquí para que el lector sepa que ocurrió, no para modificar una cifra.

Qué cubrieron los encargos. La prueba de penetración de las aplicaciones (iOS, Android, Electron, el daemon) es de marzo de 2022 y la revisión de la puerta de enlace y del sistema operativo del servidor, de febrero de 2023; ninguna de las dos puso a prueba la declaración de ausencia de registros, como afirma explícitamente el informe de 2023, por lo que la retención se basa únicamente en la declaración de la política de privacidad.

El informe más reciente no es el pertinente. La auditoría de abril de 2024, la sexta de Cure53 con IVPN, probó el sitio web de la cuenta de cliente, la API y el alojamiento; su propia página de alcance indica que las aplicaciones cliente y los servidores VPN quedaban fuera de alcance, por lo que no amplía la evidencia ni de la aplicación ni de la puerta de enlace, y V03_audit_subject muestra unknown para ella en lugar de trasladar ese reconocimiento. La séptima auditoría, sobre los nuevos servicios de correo electrónico y DNS, solo se anunció para mayo de 2025; no se ha publicado ningún informe al respecto.

Lo que el sitio principal nunca establece. Solo RAM figura como parcial porque IVPN lo describe como una transición con implementaciones de prueba en curso, y no ha anunciado su finalización. La propiedad del hardware de los servidores (alquilado frente a propio), la modificación del tráfico en la salida y la jurisdicción personal del propietario beneficiario no están establecidos: ninguna página principal de IVPN indica ninguno de los tres, ni tampoco el tamaño de la base de usuarios.

Tres campos que responde la base de conocimiento, no las páginas consultadas en el primer llenado.