Cara a cara
La brecha
La puntuación de seguridad no es una suma de cosas buenas. Empieza en 100 y ocho canales toman cada uno una parte de lo que queda, así que un solo canal puede decidir una ficha por sí solo. Ambas fichas se dibujan aquí en la misma escala — el tope propio del modelo de 0.9 — en lugar de una escala ajustada a este par, que haría que toda comparación pareciera igual de dramática.
Línea por línea
Todos los campos que el contrato publica sobre un proveedor, en los propios grupos del contrato, incluidas las filas donde ambos coinciden — una tabla que solo imprimiera diferencias inventaría un desacuerdo, y una que solo imprimiera las filas interesantes seríamos nosotros eligiendo qué es interesante. Abre un grupo para leer sus filas; cada una indica cuántas contiene y en cuántas de ellas las dos fichas responden de forma distinta.
Una celda verde significa que la propia metodología valora ese valor por debajo del otro, no que lo prefiramos nosotros. Las filas que el modelo no valora no llevan ninguna marca: el precio nunca se marca, porque nada en el modelo dice que lo más barato sea más seguro, y tampoco la cobertura, el número de plataformas o los dispositivos. Cuando un valor nunca se estableció, la celda lo indica en lugar de mostrar un cero.
Lo que realmente ocurrió
Otros pares
Los pares dentro del top 10 tienen página propia — 80 comparaciones en total. Las fichas por debajo de eso no se emparejan aquí: una comparación se gana una página cuando la elección entre las dos es real, y esa elección se hace cerca de la cabeza del registro.
Seguridad
Usabilidad
Puesto 2 de 68 en el registro
Suecia · VPN comercial
Salidas en 50 países
Seguridad
Usabilidad
Puesto 21 de 68 en el registro
Canadá · VPN comercial
Lista de países no publicada
1 solicitud documentadas, ninguna de las cuales produjo datos
3 solicitudes documentadas, ninguna de las cuales produjo datos
Cambios recientes
Preguntas abiertas
Aún abierto en esta ficha.
La cadencia de las auditorías. Mullvad publica un índice de auditorías en el repositorio de la aplicación y es claro sobre la cadencia: el índice afirma expresamente que las auditorías principales de la aplicación se realizan cada dos años, con otras adicionales entre ellas, por lo que la regularidad se registra como repetida sin intervalo fijo y no como una serie anual — nadie declara una cadencia anual.
Dos informes, una fecha. Dos encargos separados comparten 17-02-2026 y la ficha nombra ambos: la revisión de código de GotaTun realizada por Assured, la implementación de WireGuard en espacio de usuario (sin problemas críticos, altos o medios; dos bajos y nueve notas), y la evaluación Mobile App Profile de Leviathan de la aplicación Android, cuyo informe de conformidad da el 17 de febrero de 2026 como fecha de evaluación y AL2 como nivel de garantía. Una fecha, dos informes, ninguna contradicción.
Por qué el recuento es ocho. El recuento de auditorías es ocho porque la revisión de GotaTun queda fuera de la lista propia del repositorio de la aplicación. Antes de ellas, una revisión de X41 D-Sec de 30 días-persona en las cinco plataformas encontró seis vulnerabilidades — tres altas, dos medias y una baja; ninguna crítica.
Lo que no cubre ningún encargo. Ninguno de estos encargos cubre la flota de servidores: todos examinan la aplicación o el protocolo del túnel, por lo que la cobertura de la flota se registra como no aplicable y no como una muestra. Por tanto, la declaración de ausencia de registros en el lado de la infraestructura se basa en la orden de registro de abril de 2023 — la policía sueca acudió a buscar datos de clientes y se fue sin ellos — y no en ninguna auditoría.
Compilaciones reproducibles, solo en Android. Las compilaciones reproducibles solo están disponibles en Android, desde la versión 2025.2, por lo que el campo sigue siendo parcial; las compilaciones de escritorio y de iOS no se pueden verificar bit a bit. Turquía es el único país con mandato de la lista ofrecida y el alojamiento que lo sustenta no está establecido.
Nada publicado sobre las exigencias. Nada de lo registrado se basa en algo que el proveedor publique sobre las exigencias que recibe: no hay informe de transparencia ni canario de orden judicial, por lo que la incautación de abril de 2023 constituye por sí sola ese fundamento. La cobertura del interruptor de emergencia y la política de P2P no están establecidas; la auditoría más reciente es una revisión de código del protocolo, no un encargo sobre ausencia de registros, por lo que V11 está en silencio y la retención se apoya en la declaración.
Aún abierto en esta ficha.
Lo que encontró la prueba de penetración. La puntuación de seguridad se basa en el informe de Packetlabs de junio de 2024 y lo interpreta en sentido negativo. La prueba de penetración encontró que el servicio IKEv2 almacenaba la IP de origen de los usuarios que se conectaban junto con las horas de inicio y finalización de la sesión, en memoria volátil y también en disco, y que los registros de microservicios contenían credenciales de OpenVPN, claves precompartidas de WireGuard y nombres de usuario de IKEv2.
La repetición de la prueba y su propia salvedad. La repetición de la prueba tres semanas después verificó que todo ello se había subsanado, pero la propia conclusión del informe afirma que esto "does not cover every discovery noted within the finding" y atribuye parte del hallazgo a una configuración implementada incorrectamente en el nodo de prueba.
Por qué la retención se valora según el hallazgo. Por tanto, la retención se valora según aquello cuya accesibilidad demostró un auditor, y no según lo que declara la política, y el canal de integridad refleja la distancia entre ambas cosas. Debe leerse como un hallazgo de hace dos años en un nodo, no como una medición actual: el alcance se limitó a ca-023.windscribe.com, y un trabajo más reciente que cubra una parte mayor de la flota es lo que lo resolvería.
La lista que nunca se leyó. La lista de países ofrecida nunca se leyó, por lo que no se pueden calcular ni la puntuación de usabilidad del país ni la intersección del mandato — Windscribe publica una distinción entre físico y virtual, lo que hace que C09b pueda responderse aquí en cuanto se disponga de la lista. La escala de usuarios tampoco está establecida, lo que deja la banda de exposición basada en menos datos de los que debería.
La fuente que citan ahora los tres eventos. AIN.UA todavía recoge los servidores ucranianos incautados el 24 de junio de 2021, y el propio blog de Windscribe recoge el caso griego desestimado el 11 de abril de 2025. La incautación neerlandesa y el propio campo de incautación citan ahora la propia página de ausencia de registros de Windscribe, en lugar de la prensa financiada por afiliados que informó de ello por primera vez: el relato de una empresa sobre su propia incautación es una fuente primaria, no el relato de otra persona sobre una de ellas. El evento ucraniano está fechado en la propia incautación, no en el texto que informó sobre ella.
Notas
Sobre la ficha en conjunto.
La orden de registro de abril de 2023 es la evidencia individual más sólida de esta ficha: la policía acudió a la oficina y se marchó con las manos vacías, lo que constituye evidencia práctica en lugar de documental y envejece mucho más lentamente que una auditoría. El precio es fijo: 5 EUR/mes en todos los plazos; U04_price_monthly contiene 5,80 (el equivalente en USD que Mullvad indica en su propia página); U04b_price_yearly es 69,60, el año completo a esa tarifa.
Sobre la ficha en conjunto.
Tres requerimientos separados en tres jurisdicciones, ninguno de los cuales produjo datos, y los tres fechados. Esta es la ficha que se diseñó para valorar la vía práctica: pesa más que la auditoría, que es una prueba de penetración y no un trabajo sobre la ausencia de registros.
U08 es desktop_only en la propia página de funciones de Windscribe: Firewall se incluye en las aplicaciones de Windows, Mac y Linux, y en Android e iOS la página dirige al usuario al Always-On VPN propio del sistema operativo. Esa es una función de la plataforma, no del proveedor, que es la distinción que contabiliza el campo.
U12b es parcial por el mismo motivo: la página de marketing promete el desbloqueo, mientras que el artículo de soporte declara que la empresa no puede garantizar que todos los servicios de streaming funcionen y un segundo artículo atribuye que Netflix muestre solo Originals a la propia detección de VPN de Netflix.
25 sept 20261 cambio
Precio mensual en USD, plan mensual, según lo cobradoU04_price_monthly
5.8 cambió a 5.69
12 sept 20264 cambios
Puntuación de seguridadsecurity.score
65 cambió a 64
Puntuación de seguridadsecurity.score
64 cambió a 60
Funciona bajo censura activaU06_censorship_circumvention
none cambió a claimed
Puntuación de usabilidadusability.score
55 cambió a 64
13 sept 20261 cambio
Motivo por el que este proveedor está en el catálogoM14_inclusion_basis
hand_picked cambió a adverse_record
12 sept 20264 cambios
Plataformas con clienteU01_platforms
android, browser-extension, ios, linux, macos, windows cambió a android, apple-tv, browser-extension, fire-tv, ios, linux, macos, routers, windows
Puntuación de usabilidadusability.score
65 cambió a 68
Cronología de los acontecimientos de aplicación documentadosP12_case_history
{"date":"2021-06","kind":"seizure","outcome":"nothing_produced","source_url":"https://en.ain.ua/2021/07/28/ukrainian-authorities-seize-windscribe-vpn-servers/"}, {"date":"2025-04","kind":"court_order","outcome":"nothing_produced","source_url":"https://windscribe.com/blog/windscribe-greek-court-case/"}, {"date":"2026-02","kind":"seizure","outcome":"nothing_produced","source_url":"https://www.tomshardware.com/software/vpn/dutch-authorities-allegedly-seize-vpn-server-without-a-warrant-company-claims-that-law-enforcement-will-return-it-after-analyzing-the-device-fully"} cambió a {"date":"2021-06","kind":"seizure","outcome":"nothing_produced","source_url":"https://en.ain.ua/2021/07/28/ukrainian-authorities-seize-windscribe-vpn-servers/"}, {"date":"2025-04","kind":"court_order","outcome":"nothing_produced","source_url":"https://windscribe.com/blog/windscribe-greek-court-case/"}, {"date":"2026-02","kind":"seizure","outcome":"nothing_produced","source_url":"https://windscribe.com/features/no-identifying-logs"}
Puntuación de seguridadsecurity.score
12 cambió a 11
| CanalPresión tomada de lo que quedaba | Mullvad VPNCanal dominante: Retención0 a 0.9, cuanto más largo, peor | WindscribeCanal dominante: Retención0 a 0.9, cuanto más largo, peor |
|---|---|---|
| Retención¿Existe una ficha que vincule el tráfico con una persona, y quién la comprobó? | 0.218 | 0.750 |
| Integridad¿Se le ha descubierto diciendo una cosa y haciendo otra? | 0.000 | 0.320 |
| Jurisdicción¿Alguien puede obligar a entregar lo que existe, sin que el proveedor pueda opinar? | 0.050 | 0.145 |
| Desconocimiento¿Cuánto de esto no estableció nadie? | 0.103 | 0.104 |
| Higiene¿Qué material identificativo se recopila incidentalmente y se puede comprobar al cliente? | 0.050 | 0.083 |
| Arquitectura¿Quién opera la salida y qué hace con el tráfico? | 0.050 | 0.050 |
| Divulgación¿Ya ha entregado algo? | 0.000 | 0.000 |
| Silencio¿Diez años, millones de usuarios y nada en el registro? | 0.000 | 0.000 |
| Lo que queda de 100Los canales se multiplican: cada uno toma una parte de lo que dejó en pie el anterior | 60 | 11 |
Por circunstancia
| Mullvad VPN | Windscribe | |
|---|---|---|
| Torrents | — no establecido | Permitido en algunos servidores partial |
| Streaming | — no establecido | Algunos servicios accesibles partial |
| Dispositivos a la vez | 5 | — no establecido |
| Bajo censura | Declarado que funciona claimed | Declarado que funciona claimed |
| Salidas en países con mandato | 1 Turquía | — no establecido |
| Alojamiento en esos países | — no establecido | — no establecido |
| Empresa bajo un mandato | Ningún mandato de ese tipo no | Ningún mandato de ese tipo no |
| Órdenes secretas | Las órdenes pasan por un juez judicial_only | Las órdenes secretas son posibles secret_order_possible |
Mullvad VPN y Windscribe fueron evaluados por el equipo de HushFleet: Mullvad VPN obtiene 60/100 en seguridad, en la banda Aceptable, y Windscribe 11/100, en la banda No recomendada. Comparten una auditoría independiente, propiedad independiente y registro sin necesidad de cuenta. La brecha de 49 puntos se abre más en Retención — «¿Existe una ficha que vincule el tráfico con una persona, y quién la comprobó?» — tomando 22% de Mullvad VPN y 75% de Windscribe.
| Mullvad VPN | Windscribe | |
|---|---|---|
| Seguridad | 60 aceptable · puesto 2 de 68 | 11 no recomendada · puesto 21 de 68 |
| Usabilidad | 64 sobre 100 | 68 sobre 100 |
| Completitud de la ficha | 87% usabilidad 75% | 84% usabilidad 83% |
| Mullvad VPN | Windscribe | |
|---|---|---|
| Quién opera la salida | Operada por el propio proveedor provider_operated | Operada por el propio proveedor provider_operated |
| Retención según lo declarado | Nada que vincule el tráfico con una persona none_linkableBmullvad.net · | Marcas de tiempo de conexión connection_timestampsBwindscribe.com · |
| Servidores sin disco, solo con RAM | Sí, según la palabra del proveedor yes_declaredBmullvad.net · | Parte de la flota partialAdrive.google.com · |
| Modelo de asignación de IP | Dirección de salida compartida entre usuarios sharedBmullvad.net · | Dirección dedicada ofrecida como opción dedicated_optionBwindscribe.com · |
| Registro sin correo electrónico | Sí, según la palabra del proveedor yes_declared | Sí, según la palabra del proveedor yes_declared |
| Opciones de pago anónimo | Efectivo · Criptomoneda pagada directamente · Vale prepago o tarjeta regaloBmullvad.net · | Criptomoneda mediante un procesadorBwindscribe.com · |
| DNS propio dentro del túnel | Sí, según la palabra del proveedor yes_declared | Sí, según la palabra del proveedor yes_declared |
| Peor categoría de SDK de terceros en la aplicación | Ningún SDK de terceros none | Ningún SDK de terceros none |
| Peor categoría de rastreador de terceros en el sitio | Ningún rastreador de terceros noneBmullvad.net · | — no establecidosin fuente publicada |
| Quién es propietario del hardware | Propiedad y alquiler, ambos mixed | Propiedad y alquiler, ambos mixed |
| Países ofrecidos sujetos a un mandato de registro | 1 TurquíaBmullvad.net · | — no establecidosin fuente publicada |
| Alojamiento en los países con mandato que ofrece | — no establecido | — no establecido |
| El país de constitución impone retención | Ningún mandato de ese tipo no | Ningún mandato de ese tipo no |
| El propietario efectivo está sujeto a un régimen de retención | Ningún régimen de ese tipo no | Ningún régimen de ese tipo no |
| Identificador de dispositivo persistente | No se conserva ninguno noneBplay.google.com · | Un identificador limitado a la aplicación app_scoped_idBplay.google.com · |
| El protocolo más débil que se sigue ofreciendo | — la pregunta no se plantea | — la pregunta no se plantea |
| Lo que hace la salida con el tráfico que pasa | — no establecido | — no establecido |
| Mullvad VPN | Windscribe | |
|---|---|---|
| Al menos una auditoría independiente | Sí, y se leyó el informe yes_verified | Sí, y se leyó el informe yes_verified |
| Cómo se publica el informe | Se publica el informe completo full_pdf | Se publica el informe completo full_pdf |
| Objeto de la auditoría | El protocolo · La seguridad de la aplicaciónAassured.se · 2 fuentes · | La infraestructura · La seguridad de la aplicaciónAdrive.google.com · 2 fuentes · |
| Cobertura de la flota de servidores | — la pregunta no se planteasin fuente publicada | Una muestra de servidores sampleAdrive.google.com · |
| Nombre del auditor |
| Mullvad VPN | Windscribe | |
|---|---|---|
| Incautación de servidores por las autoridades | Incautados, y no había nada utilizable en ellos seizure_no_data | Incautados, y no había nada utilizable en ellos seizure_no_data |
| Historial real de divulgaciones | No consta ninguna divulgación none_known | No consta ninguna divulgación none_known |
| Registro judicial de entrega obligatoria | No consta ningún registro judicial none_knownBmullvad.net · | Dijo a un tribunal que no tenía nada que entregar unable_to_produceBwindscribe.com · |
| Respuesta a un mandato nacional de registro de datos | Nunca estuvo presente en ese país no_presenceBmullvad.net · | — no establecido |
| Mullvad VPN | Windscribe | |
|---|---|---|
| Vacío documentado entre la declaración y el comportamiento | Ninguna mentira documentada none | Ninguna mentira documentada none |
| Marketing frente a hallazgos de la auditoría | Ningún vacío registrado noneCgithub.com · | La política contradice la auditoría policy_contradicts_auditBdrive.google.com · 2 fuentes · |
| Transparencia de la estructura de propiedad | La propiedad se declara y se puede comprobar clear | La propiedad se declara y se puede comprobar clear |
| Acontecimientos adversos en la ficha del grupo propietario | Nada adverso registrado clean | Nada adverso registrado clean |
| Cómo se paga el servicio | Solo suscripciones de pago paid_only |
| Mullvad VPN | Windscribe | |
|---|---|---|
| Entidad jurídica | Mullvad VPN AB, Box 53049, 400 14 Gothenburg, SwedenBmullvad.net · | Windscribe Limited, Toronto, Ontario, CanadaBwindscribe.com · |
| Dónde se sitúa la empresa | Suecia SEBmullvad.net · | Canadá CABwindscribe.com · |
| Año de lanzamiento del servicio | 2009Bmullvad.net · | 2016Bwindscribe.com |
| Mullvad VPN | Windscribe | |
|---|---|---|
| Plataformas con cliente | 5 Android, iOS, Linux, macOS, WindowsBmullvad.net · | 9 Android, Apple TV, Extensión del navegador, Fire TV, iOS, Linux, macOS, Routers, WindowsBwindscribe.com · |
| Países con salida | 50 paísesBmullvad.net · | — no establecidosin fuente publicada |
| Pago mensual | $5.69 al mesBmullvad.net · | $9.00 al mesBwindscribe.com · |
| Pago anual | $69.60 al año en la renovación, facturado una vez |
| Assured Security Consultants (GotaTun code review) and Leviathan Security Group (Android Mobile App Profile assessment) — two engagements, both reports dated 2026-02-17Aassured.se · 3 fuentes · |
| Packetlabs (June 2024 retest, one production node); Leviathan Security Group (desktop 2021, mobile 2022)Adrive.google.com · 2 fuentes · |
| Categoría del auditor | Un especialista en seguridad security_specialist | Un especialista en seguridad security_specialist |
|---|
| Norma de aseguramiento | Otro estándar otherBgithub.com · | No se indica ninguna norma noneAdrive.google.com · |
|---|
| Fecha del informe más reciente | 2026-02-17Aassured.se · 2 fuentes · | 2024-06-26Adrive.google.com · |
|---|
| Frecuencia de auditorías | Repetida, sin intervalo fijo repeated_irregular | Repetida, sin intervalo fijo repeated_irregular |
|---|
| Total de auditorías publicadas | 8Bgithub.com · 2 fuentes · | 3Bwindscribe.com · |
|---|
| Retención según el informe | El informe no aborda la retención not_statedBgithub.com · | Dirección IP de origen source_ipAdrive.google.com · |
|---|
| Código fuente del cliente publicado | Todos los clientes all | Todos los clientes all |
|---|
| Compilaciones reproducibles | En algunas plataformas partialBmullvad.net · | — no establecidosin fuente publicada |
|---|
| Pentest independiente | Sí, y se leyó el informe yes_verified | Sí, y se leyó el informe yes_verified |
|---|
| Solidez de la opinión de aseguramiento | — la pregunta no se planteasin fuente publicada | — no establecidosin fuente publicada |
|---|
| Informe de transparencia | — no establecidosin fuente publicada | Actualizado, con cifras de solicitudes fresh_with_numbersBwindscribe.com · |
|---|
| Las cifras comunicadas son plausibles para esta escala | — la pregunta no se planteasin fuente publicada | Las cifras son plausibles para esta escala plausibleBwindscribe.com · |
|---|
| Disciplina del canario de órdenes judiciales | — no establecidosin fuente publicada | Nunca tuvo uno noneBwindscribe.com · |
|---|
| Solicitudes recibidas | — no establecido | — no establecido |
|---|
| Solicitudes que produjeron datos | — no establecidosin fuente publicada | 0Bwindscribe.com · |
|---|
| Régimen de órdenes secretas | Las órdenes pasan por un juez judicial_onlyBmullvad.net · | Las órdenes secretas son posibles secret_order_possibleBwindscribe.com · |
|---|
| Cronología de los acontecimientos de aplicación documentados | 1 solicitud documentadasBmullvad.net · | 3 solicitudes documentadasCwindscribe.com · 3 fuentes · |
|---|
Una modalidad gratuita financiada por la de pago freemium_fundedBwindscribe.com · |
| Declaraciones de anonimato del 100 % o criptografía de grado militar | — no establecidosin fuente publicada | No hace tal declaración noBwindscribe.com · |
|---|
| Suscripciones vitalicias agresivas | No lo hace no | No lo hace no |
|---|
| La cobertura existe solo en sitios afiliados | También tiene cobertura fuera de los sitios afiliados no | También tiene cobertura fuera de los sitios afiliados no |
|---|
| Incidente de seguridad y cómo se divulgó | Revelado por el proveedor, rápidamente self_disclosed_prompt | Revelado por el proveedor, rápidamente self_disclosed_prompt |
|---|
| Programa de afiliados y nivel de pago | Sin programa de afiliados noneBmullvad.net · | — no establecidosin fuente publicada |
|---|
| Los medios de reseñas gestionados por el propietario declaran el vínculo | — la pregunta no se plantea | — la pregunta no se plantea |
|---|
| Declaración en la tienda de apps | El formulario de la tienda coincide con la política publicada matches_policyBapps.apple.com · 3 fuentes · | El identificador se declara en la tienda, no en la política undisclosed_identifierBplay.google.com · 2 fuentes · |
|---|
| Escala de la base de usuarios (masiva >=10M, mediana >=1M, nicho <1M) | Mediana: un millón de usuarios o más midBmullvad.net · | — no establecidosin fuente publicada |
|---|
| Propietario efectivo último tal como está escrito | Amagicom AB, 100% owned by founders Fredrik Stromberg and Daniel BerntssonBmullvad.net · | Founder-owned: Yegor Sak (CEO), Alex Paguis (CTO), Mark Ulicki (CIO); self-funded, no outside investorsBwindscribe.com · |
|---|
| Otros negocios del grupo propietario | Ninguno declaradoBmullvad.net · | Algo másBwindscribe.com · |
|---|
| País del propietario efectivo último | SEBmullvad.net · | CACwindscribe.com · |
|---|
| Grupo propietario | independent | independent |
|---|
| Fecha en que el propietario actual asumió el control | — la pregunta no se plantea | — la pregunta no se plantea |
|---|
| Papel de esta marca dentro del grupo | La marca principal del grupo principal | La marca principal del grupo principal |
|---|
| Infraestructura compartida con los miembros hermanos del clúster | Infraestructura separada separate | Infraestructura separada separate |
|---|
| $69.00 al año en la renovación, facturado una vezBwindscribe.com · |
| Nivel gratuito utilizable | Sin nivel gratuito noneBmullvad.net · | Un nivel gratuito con límites limited_freeBwindscribe.com · |
|---|
| Funciona bajo censura activa | Declarado que funciona claimed | Declarado que funciona claimed |
|---|
| Protocolos ofrecidos | 1 WireGuardBmullvad.net · 2 fuentes · | 4 WireGuard, OpenVPN, IKEv2, Un protocolo ofuscadoBwindscribe.com · |
|---|
| Cobertura del interruptor de emergencia | — no establecidosin fuente publicada | Solo en escritorio desktop_onlyBwindscribe.com · |
|---|
| Túnel dividido disponible | Disponible yes | Disponible yes |
|---|
| Conexiones simultáneas | 5Bmullvad.net · | — no establecidosin fuente publicada |
|---|
| Fricción para empezar a usarlo | No se necesita una cuenta no_account | No se necesita una cuenta no_account |
|---|
| P2P permitido | — no establecidosin fuente publicada | Permitido en algunos servidores partialBwindscribe.com · |
|---|
| Servicios de streaming principales accesibles | — no establecidosin fuente publicada | Algunos servicios accesibles partialBwindscribe.com · 2 fuentes · |
|---|
