Referencia
Cada valor de la ficha de un proveedor tiene un estado, un origen, una fecha y un nivel de la fuente antes incluso de llevar un número. Esta página define todo ello, además de los ocho canales que componen la puntuación de seguridad y el vocabulario de VPN en que se basa.
01
Una ficha no es una tabla de respuestas. Es una tabla de respuestas, cada una con aquello en lo que se apoya y la fecha en que alguien la confirmó por última vez — por eso un campo puede estar completo y aun así valer casi nada para la puntuación.
9 términos
A fecha de as_of
El día en que se confirmó por última vez el valor — no el día en que se creó la página. Cada campo tiene su propio periodo de vigencia antes de que deba volver a comprobarse: 30 días para los precios, 90 para el número de servidores y el historial de medidas coercitivas, 180 para la arquitectura y la retención, y 365 para las auditorías y los datos de la empresa.
Completitud completeness
Qué proporción representan los campos que podían haberse respondido. Es una propiedad de la investigación, no un elogio al proveedor — una ficha escasa y una ficha deficiente no se parecen en nada, y este es el número que las distingue.
Estado state
Uno de known, unknown, not_applicable. Distingue entre tenemos una respuesta, nadie ha publicado una y la pregunta no se aplica aquí. En todo el registro, el 42% de los campos de seguridad son unknown — 2143 de 5159 — y eso es un hecho sobre la divulgación del mercado, no sobre nuestro esfuerzo.
Grado de la fuente level
Cuánto cuenta una fuente. A es un documento primario — un informe de auditoría, un registro judicial, un informe de transparencia — y cuenta por completo. B cuenta en 0.85, C en 0.7 y D, el marketing propio del proveedor, en 0.35. El registro se basa en fuentes de grado A 580, 3200 de grado B, 289 de grado C y 26 de grado D.
Hash material material_hash
Una huella digital de los campos que realmente pueden cambiar una puntuación. Si una reimportación deja el hash donde estaba, no ha cambiado nada material y la fecha de actualización de la ficha tampoco cambia. Es lo que impide que una página afirme una actualidad que no se ha ganado.
Identificador de campo C01, U07, V04
El nombre permanente de una pregunta. La letra indica su bloque — C capacidad, M datos de la empresa, P presión y aplicación, V verificación, X integridad, U usabilidad — y el número nunca se reutiliza. Los identificadores aparecen junto a cada valor de una ficha para que una corrección pueda identificar exactamente un campo.
Origen origin
De dónde procede un valor. document significa que se ha leído un documento, derived significa que una regla lo ha calculado a partir de otros campos, y asserted significa que el proveedor lo afirma y nadie lo ha comprobado. No existe un cuarto origen: un valor tiene una cita que lo respalda, se ha calculado a partir de valores que la tienen o se basa en la palabra del proveedor.
El registro contiene 3285 valores documentados frente a 2875 valores declarados, y 460 de esas declaraciones se apoyan en un campo realmente establecido. Se almacenan de la misma manera y se ponderan de forma muy distinta: una afirmación favorable no examinada retrocede hacia el valor previo del mercado, mientras que una admisión en perjuicio propio conserva todo su peso.
Puntuado scored
Si algún canal o la puntuación de usabilidad tiene en cuenta este campo. 1001 de los 6160 campos registrados no están puntuados — hechos reales que no cambian ninguna cifra. Sin esta marca, el lector no tiene forma de distinguirlos de los que determinan un veredicto.
Vacíos clave key_gaps
Texto redactado que señala lo que no se estableció y qué permitiría resolverlo — un grado de garantía inferior al que da a entender el marketing, un hallazgo que se basa en una sola interpretación de un documento, un campo dejado abierto deliberadamente. Es el contrapeso de una única cifra y se muestra junto con la puntuación, en lugar de ocultarse tras un enlace.
02
Dos números, nunca promediados. La puntuación de seguridad decide el orden por sí sola; la de usabilidad se imprime al lado y no decide nada salvo un empate.
7 términos
Canal breakdown.channels
Una vía por la que se podría identificar a un usuario, con una probabilidad entre 0 y 1. Cada ficha de proveedor muestra los ocho, junto con los campos que los alimentan, lo que hace que el cálculo sea comprobable y no una simple afirmación.
Clase de servicio service_class
Qué tipo de servicio es, impreso con cada puntuación porque ambos carecen de sentido por separado: commercial_vpn, censorship_tool, browser_proxy, p2p_exit, decentralized. 59 de los 77 son VPN comerciales, y decentralized está vacío actualmente.
Límite superior e inferior
Ningún canal puede superar 0.9: la certeza no está disponible a partir de una revisión documental, y un modelo que alcanzara 1.0 estaría afirmándola. En sentido contrario, un único hallazgo puede establecer un límite inferior para un canal —un identificador de hardware persistente en poder del proveedor establece un suelo para la retención que ninguna auditoría puede elevar.
Puntuación de seguridad
De 0 a 100, y es el único criterio que sigue la clasificación. Se calcula a partir de ocho canales de riesgo, cada uno de los cuales representa la probabilidad de que esta ruta concreta identifique al usuario, combinados como 100 × ∏(1 − risk). Un riesgo elevado en cualquier canal hace bajar por sí solo todo el resultado; los riesgos pequeños se acumulan gradualmente en lugar de redondearse a cero.
Puntuación de usabilidad
De 0 a 100, a partir de doce campos ponderados — entre ellos, cobertura, precio, modalidad gratuita, elusión de bloqueos, protocolos, interruptor de emergencia, dispositivos, streaming y P2P. Es una media ponderada de los campos que tienen un valor, por lo que un proveedor no recibe una penalización por un campo que nadie ha completado para ningún proveedor. Nunca se promedia con la seguridad ni hace que un proveedor supere a otro con una puntuación más alta; lo único que decide es cuál de dos fichas con la misma puntuación de seguridad aparece primero.
Sin datos usability.state
Una afirmación sobre la investigación, no sobre el proveedor, en cualquiera de los dos ejes. Un veredicto de no_data de seguridad significa que se ha publicado demasiado poco para situar la ficha: 0 de los 77 tienen uno, ninguna lista los clasifica y cada uno conserva su ficha. Cuando usability.state es no_data, la cifra de usabilidad es un límite inferior y no una posición — se ha publicado demasiado poco para decir dónde se sitúa realmente el proveedor. 10 de los 77 están en esa situación. Permanecen en el registro y en cada filtro, marcados en lugar de ocultos.
Veredicto y las cinco bandas verdict
Una palabra que se lee directamente del entero de seguridad, de modo que un proveedor no pueda llevar una etiqueta que no coincida con su número: fuerte 75 o más, aceptable 55–74, débil 35–54, insuficiente 15–34, no recomendado por debajo de 15.
03
Cada uno es una pregunta, y cada uno se responde a partir de campos con nombre. El desglose en una página de proveedor muestra lo que costó cada canal y por qué.
8 términos
Arquitectura
¿Quién opera la salida? Por lo general, no cuesta nada y, en ocasiones, decide toda la ficha: un servicio que enruta el tráfico a través de dispositivos de terceros no relacionados introduce aquí un riesgo que ninguna cantidad de buenas políticas en otros ámbitos puede compensar.
Desconocimiento
¿Cuánto de esto quedó sin establecer? El canal que pone precio a nuestros puntos ciegos, determinado por cuánto falta de la ficha. Es la razón por la que un proveedor no examinado se clasifica por debajo de uno investigado, en lugar de junto a él.
La conducta permite aliviarlo: un canario de garantía mantenido, un informe de transparencia reciente con cifras, un incidente comunicado con prontitud o la retirada física de un país que impuso un mandato de retención de registros. Ninguna de estas medidas es una afirmación sobre la ausencia de registros — cada una es un comportamiento difícil de falsificar.
Divulgación
¿Ya ha entregado algo? El único canal basado por completo en hechos, no en políticas: incautaciones en las que se obtuvieron datos, registros judiciales de entregas obligatorias, historial de divulgaciones. El contenido divulgado está cerca de ser motivo de descalificación; los datos de la cuenta por sí solos tienen un peso mucho menor.
Higiene
¿Qué material identificativo se recopila de paso y se puede comprobar siquiera el cliente? Diez campos pequeños — servidores que solo usan RAM, uso compartido de IP, registro sin correo electrónico, pago anónimo, DNS en el túnel, SDK de terceros, propiedad del servidor, código abierto, compilaciones reproducibles y pentests. Baratos por separado, con un tope conjunto y una forma fiable de saber si alguien está prestando atención.
Integridad
¿Se le ha descubierto diciendo una cosa y haciendo otra? Mentiras documentadas, vacíos entre el marketing y los resultados de auditoría, opacidad sobre la propiedad, el historial del grupo propietario y cómo se financia el nivel gratuito. Pequeñas señales de marketing — afirmaciones de anonimato absoluto, insistencia en las suscripciones de por vida, cobertura que solo existe en sitios afiliados — suman un poco cada una.
Jurisdicción
¿Puede alguien obligar a entregar lo que existe sin que el proveedor tenga capacidad de decisión? Lea la información a partir del lugar donde está registrada la empresa y de dónde se encuentra su propietario efectivo — un mandato sobre el propietario pesa menos que uno sobre la empresa, pero cuenta.
Retención
¿Existe una ficha que vincule el tráfico con una persona y quién lo comprobó? Es el canal de mayor peso del modelo. Lee el campo de retención, el identificador del dispositivo y todo lo relativo a la auditoría que lo confirmaría o lo pondría en duda — la categoría del auditor, el estándar de aseguramiento, cómo se publicó el informe y si el alcance abarcaba toda la flota o una muestra.
Silencio
¿Diez años, millones de usuarios y nada documentado? Un proveedor con una exposición real —años de actividad × escala de usuarios × jurisdicciones hostiles— y sin incautaciones, registros judiciales ni informes de transparencia no queda por ello probado que esté limpio. La baja exposición no cuesta nada aquí; la alta exposición con un expediente vacío cuesta un poco.
04
Los términos detrás de los identificadores de campo — lo que cada uno realmente exige a un proveedor, y por qué la respuesta cuesta lo que cuesta.
15 términos
Alcance de la auditoría V04_scope_servers
Si una auditoría cubrió toda la flota o una muestra de ella. Una opinión sobre la ausencia de registros basada en una muestra es una declaración sobre los servidores que se mostraron al auditor. El modelo valora la diferencia, en lugar de tratar ambas como «auditadas».
Canario de órdenes secretas P07_warrant_canary
Una declaración publicada de que no se ha recibido ninguna orden secreta, actualizada según un calendario para que su ausencia transmita el mensaje que el operador tiene prohibido enviar. Solo resulta útil si se mantiene: stale y removed se registran por separado, y un canario que dejó de actualizarse silenciosamente no es un hecho neutral.
Compilaciones reproducibles V13_reproducible_builds
Si cualquiera puede reconstruir la aplicación publicada a partir del código fuente publicado y obtener un binario idéntico byte a byte. El código abierto indica qué hace el código; las compilaciones reproducibles demuestran que el código es el que se está ejecutando.
DNS dentro del túnel C06_own_dns_in_tunnel
Si las consultas de nombres se resuelven mediante los resolutores propios del proveedor dentro del túnel. Si se filtran al resolutor predeterminado de la red, un observador descubre todos los sitios que visitas sin llegar a ver tu tráfico.
Identificador del dispositivo C12_device_identifier
Un identificador persistente de tu dispositivo que el propio proveedor conserva, desde un identificador limitado a la aplicación, pasando por un identificador publicitario reiniciable, hasta un identificador de hardware persistente. Este es el campo que puede volver irrelevante un informe impecable de ausencia de registros: no se ha anotado nada sobre tu tráfico y, aun así, se te puede identificar.
Informe de transparencia P05_transparency_report
Un recuento periódico de las solicitudes recibidas y de cuántas se respondieron con datos. Se puntúa según si está actualizado y contiene cifras — y se contrasta su plausibilidad, ya que cero solicitudes a escala masiva durante años es una afirmación sobre el mundo, no sobre la política.
Interruptor de emergencia U08_kill_switch
Bloquea el tráfico cuando el túnel se cae, en lugar de dejarlo salir silenciosamente por la conexión habitual. Evita el fallo que nadie advierte mientras ocurre.
IPs compartidas y dedicadas C03_ip_sharing
Una dirección de salida compartida sitúa a muchos usuarios detrás de una misma IP, que es en parte el motivo de ser de una VPN. Una IP dedicada es solo tuya — mejor para los servicios que bloquean rangos compartidos, peor para aquello que te trajo aquí.
Mandato de retención C09, C10, C11
Un requisito nacional que obliga a los operadores de VPN a conservar los registros de los usuarios. Algunos de los países incluidos en el registro imponen uno. Importa en dos lugares: el país en el que está registrada la empresa y los países en los que su flota tiene servidores — preguntas distintas con consecuencias distintas.
Nodos de salida P2P C00_architecture
Una arquitectura en la que el tráfico sale a través de los dispositivos de otros usuarios en lugar de hacerlo a través de los servidores del operador, normalmente a cambio de un plan gratuito. Nadie opera la salida, lo que constituye tanto toda la propuesta como todo el problema — y significa que el tráfico de otra persona puede salir a través de ti.
Países de los servidores U02_server_countries
Los países que un proveedor enumera realmente como aquellos donde tiene una ubicación de salida — la lista, no una cifra. Cuando un proveedor no publica ninguna lista, el campo es desconocido en lugar de completarse con información de su marketing, así que cualquier cifra que veas aquí corresponde a la longitud de algo que puedes comprobar. 27 de los 77 no publican ninguna lista; los 41 que sí lo hacen abarcan entre todos 180 países.
Protocolos U07_protocols
Cada protocolo de túnel que admite un cliente, presentado como una lista. Antes, este campo contenía el más rápido; desde el esquema 3.4.0 contiene todos, lo que permite ver cuál es el más débil. WireGuard es pequeño, rápido y moderno; OpenVPN es más antiguo y lento, y todavía se incluye prácticamente en todas partes; L2TP, PPTP y SSTP son obsoletos, y ofrecer uno de ellos es lo que denomina C13_weakest_protocol y fija la puntuación mínima de protocolos. Los nombres de proveedores — NordLynx, Lightway, Hydra, Chameleon — son implementaciones, no protocolos; NordLynx cuenta como WireGuard, que es lo que es.
Retención vinculable C01_linkable_retention
¿Qué registro existe que podría vincular el tráfico con una persona — se pregunta a partir de la evidencia disponible, no de lo que un proveedor afirma sobre sus registros. Cinco respuestas, en orden de lo que cuesta cada una: none_linkable, aggregates_only, session_metadata, source_ip, activity.
Servidores solo con RAM C02_ram_only
Servidores que funcionan desde memoria volátil, sin disco, de modo que una incautación no revela nada que haya sobrevivido al corte de corriente. Cuesta poco declararlo y es difícil de verificar, por lo que el campo distingue yes_verified de yes_declared.
Túnel dividido U09_split_tunneling
Enviar algunas aplicaciones a través del túnel y otras fuera de él. Es práctico y supone decidir qué queda expuesto — por eso se sitúa en el eje de usabilidad, no en el de seguridad.