IVPN vs Surfshark

La auditoría aún no publicada. La octava auditoría anual de Cure53 estaba programada para julio de 2026 y aún no se ha publicado ningún informe de 2025 o 2026, por lo que la fecha del informe más reciente es abril de 2024.

El incidente de agosto de 2026. En agosto de 2026, un atacante explotó una vulnerabilidad en el BTCPay Server autohospedado, antes de que se hiciera pública, y sustrajo los fondos operativos propios de IVPN en Lightning. IVPN publicó el relato cuatro días después, sin que se lo solicitaran, y lo limitó a esa máquina: las puertas de enlace de VPN no estuvieron involucradas, no se accedió a registros de clientes y no se perdió dinero de clientes.

Por qué no cuesta nada. El modelo no cobra nada por esto, y ese es el punto: un operador que lo comunica con prontitud se comporta de la manera que el sector pretende recompensar, y la ficha está aquí para que el lector sepa que ocurrió, no para modificar una cifra.

Qué cubrieron los encargos. La prueba de penetración de las aplicaciones (iOS, Android, Electron, el daemon) es de marzo de 2022 y la revisión de la puerta de enlace y del sistema operativo del servidor, de febrero de 2023; ninguna de las dos puso a prueba la declaración de ausencia de registros, como afirma explícitamente el informe de 2023, por lo que la retención se basa únicamente en la declaración de la política de privacidad.

El informe más reciente no es el pertinente. La auditoría de abril de 2024, la sexta de Cure53 con IVPN, probó el sitio web de la cuenta de cliente, la API y el alojamiento; su propia página de alcance indica que las aplicaciones cliente y los servidores VPN quedaban fuera de alcance, por lo que no amplía la evidencia ni de la aplicación ni de la puerta de enlace, y V03_audit_subject muestra unknown para ella en lugar de trasladar ese reconocimiento. La séptima auditoría, sobre los nuevos servicios de correo electrónico y DNS, solo se anunció para mayo de 2025; no se ha publicado ningún informe al respecto.

Lo que el sitio principal nunca establece. Solo RAM figura como parcial porque IVPN lo describe como una transición con implementaciones de prueba en curso, y no ha anunciado su finalización. La propiedad del hardware de los servidores (alquilado frente a propio), la modificación del tráfico en la salida y la jurisdicción personal del propietario beneficiario no están establecidos: ninguna página principal de IVPN indica ninguno de los tres, ni tampoco el tamaño de la base de usuarios.

Tres campos que responde la base de conocimiento, no las páginas consultadas en el primer llenado. La asignación de IP es compartida por diseño: el «crowding» agrupa a los usuarios en una dirección para dificultar la atribución. P2P está permitido en todas partes, pero IVPN pide a los clientes que eviten las salidas de Estados Unidos, alegando la presión de la DMCA de los proveedores ascendentes. El streaming no tiene ninguna garantía, aunque la empresa afirma que muchos clientes sí acceden a él.

India y el régimen de órdenes secretas. P04_mandate_response=withdrew_physical es la salida de India de junio de 2022, recuperada del propio blog de Surfshark (surfshark.com/blog/surfshark-servers-certin-india) después de que la revisión anterior constatara que la página /trust-center ya no lo incluía. P11=judicial_only se basa en el informe de transparencia que muestra la orden del Tribunal de Distrito de Ámsterdam de abril de 2026 y sus contadores de cartas de seguridad nacional y órdenes de mordaza en cero.

Se encontraron dos informes, quizá no todos. Solo se encontraron publicados dos informes de ausencia de registros de Deloitte (diciembre de 2022, junio de 2025); puede haber otros no enlazados desde robots.txt que esta auditoría no buscó por otros medios.

Esta ficha se había leído dos veces anteriormente — connection_timestamps en V11 a partir de la redacción de la auditoría, source_ip en C01 a partir de la redacción de la política — y se puntuó según la peor de las dos, lo que hizo que el margen de quince minutos costara más que no decir nada: un valor en blanco en C01 es el prior de mercado 0,550 y source_ip es 0,750.

R29 traza ahora la línea: el estado eliminado dentro de una ventana declarada vinculada al final de la sesión es la conexión, no un registro de ella, por lo que ambos campos aparecen como connection_timestamps en la misma frase. Lo que sigue contabilizándose es lo que sobrevive a la sesión: la fecha del último inicio de sesión de la sección 2.3.1 de la política y las marcas de tiempo de conexión que nombra el auditor.

Surfshark y NordVPN comparten un propietario (Nord Security, desde 2022), pero la propia página about-us de Surfshark afirma que las marcas se fusionaron «mientras operaban de forma independiente», con infraestructura separada; M18 se establece como separado sobre esa base, en consonancia con la ficha de nordvpn.com.

U12a es parcial, no sí, en la propia columna P2P de la tabla de servidores: 88 de los 100 países enumerados la llevan y doce no (AU, CL, CO, HR, GR, IE, JP, MX, NZ, TW, TR, AE). La columna se dibuja del lado del cliente, por lo que se leyó en la tabla renderizada y no en el HTML estático, donde cada fila lleva todas las etiquetas.

El informe de transparencia en /transparency-report —adonde redirige ahora /warrant-canary— incluye el trimestre de abril-junio de 2026 en una tabla: 374.719 avisos de DMCA, 33 consultas de instituciones gubernamentales, 1 mandato, 0 cartas de seguridad nacional y 0 órdenes de mordaza. P08 cuenta las 34 solicitudes legales y deja fuera los avisos de DMCA: son reclamaciones de derechos de autor sobre el tráfico, no solicitudes de datos de un usuario.

La misma página afirma que Surfshark está retirando su canario de mandato en favor de informes trimestrales, por lo que P07 se elimina en lugar de quedar como ninguno: el canario existía y fue retirado deliberadamente.

U07_protocols lleva proprietary para Dausos según las propias palabras de Surfshark: su página de protocolos lo denomina «protocolo propietario de Surfshark» y no publica ninguna fuente para él; ese único valor es el que establece C13_weakest_protocol y la penalización de higiene que le sigue. IKEv2 se mantiene porque Surfshark todavía lo documenta, aunque su propio blog registra su eliminación de la aplicación de Windows; Shadowsocks ha desaparecido del índice de asistencia y no figura en la lista.