Auditorías, ordenadas por lo que realmente puedes leer
Todas las auditorías independientes del corpus, en una sola tabla: 6 de ellas en 4 proveedores. El sector cuenta las auditorías como trofeos. Nosotros no: una auditoría que no puedes descargar es una nota de prensa. Por eso estas se ordenan por nivel de publicación, cuánta parte de la auditoría está abierta a un lector, con las comprobables primero y las meramente afirmadas al final.
Cómo alimenta el nivel de publicación la puntuación de transparencia se detalla en la metodología.
Vista previa: aún no verificado por humanos. Cada cita que figura a continuación se recopiló por máquina y lleva una marca de «no verificado» hasta que un revisor la compruebe. Esta tabla registra lo que cada proveedor ha publicado; no es una recomendación de ninguno de ellos.
Los cuatro niveles de publicación
Un proveedor que encarga cinco auditorías y publica solo resúmenes de marketing es menos transparente que uno que publica un único informe íntegro. Estos son los niveles, del más fuerte al más débil:
- 1Informe completo, público6 auditorías
El informe completo es descargable por cualquiera. La afirmación puede verificarse, no solo creerse: el único nivel que gana plenamente la palabra «auditado».
- 2Informe completo, con acceso restringido0 auditorías
El informe completo existe pero está tras una cuenta, un acuerdo de confidencialidad o un muro de solicitud. Verificable en principio, pero no por el lector que tiene la página delante.
- 3Solo resumen0 auditorías
Una entrada de blog del proveedor o una carta de atestación describe la auditoría; el informe en sí nunca se publica. Confías en el resumen de la cosa, no en la cosa.
- 4Declarada, sin publicar0 auditorías
Se afirma una auditoría sin publicar absolutamente nada. Desde fuera de la empresa, esto es indistinguible de la ausencia de auditoría.
Las auditorías
| Proveedor | Firma | Alcance | Realizada | Publicada | Informe |
|---|---|---|---|---|---|
| Informe completo, público · 6 auditorías | |||||
| Proton VPN | Openscore VPN team · verified by VPNTestor | Aplicaciones cliente | 2026-07-29 | 2026-07-29 | Informe ↗ vpntestor.com |
| FeiLiu VPN / QuicklyVPN | Openscore VPN team · verified by VPNTestor | Aplicaciones cliente | 2026-07-29 | 2026-07-29 | Informe ↗ vpntestor.com |
| SingLink VPN | Openscore VPN / VPNTestor Platform | Verificación de política sin registros | 2026-07-29 | 2026-07-29 | Informe ↗ vpntestor.com |
| VPN Cat | Openscore VPN team · verified by VPNTestor | Aplicaciones cliente | 2026-07-29 | 2026-07-29 | Informe ↗ vpntestor.com |
| SingLink VPN | VPNTestor Platform | Aplicaciones cliente | 2026-07-01 | 2026-07-28 | Informe ↗ vpntestor.com |
| Proton VPN | Securitum | Verificación de política sin registros | 2026-01-01 | 2026-06-16 | Informe ↗ drive.proton.me |
«Realizada» es el periodo que cubre la auditoría, no el día en que se publicó; un guion bajo «Publicada» significa que no consta ninguna fecha de publicación. Los enlaces al informe llevan rel="nofollow"; cuando no se publicó ningún informe independiente, el enlace apunta en su lugar a la fuente citada.
Por proveedor: el número no es lo importante
Proton VPN acumula el mayor número de auditorías aquí (2), lo que una tabla clasificatoria premiaría. Lo que el recuento oculta es dónde aterriza cada informe: lee la columna del nivel más fuerte, no el total.
| Proveedor | Auditorías | Publicación más fuerte | Alcances cubiertos |
|---|---|---|---|
| Proton VPN | 2 | Informe completo, público | Verificación de política sin registros, Aplicaciones cliente |
| SingLink VPN | 2 | Informe completo, público | Aplicaciones cliente, Verificación de política sin registros |
| FeiLiu VPN / QuicklyVPN | 1 | Informe completo, público | Aplicaciones cliente |
| VPN Cat | 1 | Informe completo, público | Aplicaciones cliente |
Las firmas detrás de los informes
- PwC · KPMG · Deloitte
- Las cuatro grandes firmas de contabilidad. En este campo realizan encargos de aseguramiento de política sin registros, comprobando la práctica operativa frente a la política declarada, en lugar de leer código.
- Cure53
- Una firma de seguridad de Berlín; el pentester independiente más frecuente de clientes, infraestructuras y protocolos de VPN en el corpus.
- Securitum
- Una firma europea de pruebas de seguridad contratada para evaluaciones de política sin registros y de aplicaciones.
La evidencia, literal
Cada auditoría anterior se apoya en una fuente citada, capturada con un extracto literal para que la afirmación pueda comprobarse después de que una página cambie. Agrupadas por proveedor:
Proton VPN
“The technical evidence reviewed during the engagement did not indicate that the examined Proton VPN server infrastructure logs users’ browsing activity, DNS queries, destination services, network traffic contents or user-identifiable connection metadata. Securitum also did not identify persistent records that would allow Proton to associate a specific user with activity performed through a reviewed VPN server.”
- Informe de auditoríaVPNTestor static client and public security evidence assessmentvpntestor.comarchivadorecuperado el 2026-07-29
“Android 5.19.61.0 and Windows 5.1.5 official release hashes matched GitHub digests. Android APK Signature Schemes v2 and v3 verified; Windows carried an EV Authenticode certificate for Proton AG. Static and public-evidence scope: 92/100; runtime controls remain untested.”
SingLink VPN
- Informe de auditoríaFull report: scope, methodology, evidence references, remediation retest, limitations and report SHA-256vpntestor.comrecuperado el 2026-07-29
“Within the version, platforms, test environments, methods, and scope described in this report, VPNTestor Platform did not identify any unresolved critical, high, medium, or low severity security vulnerabilities in the tested release of SingLinkVPN v2.5. The release passed all scored test items and received a score of 100/100. Testing covered Kill Switch and routing protection, and found no consistently reproducible DNS leak, IPv4 leak, IPv6 bypass, WebRTC leak, routing bypass, or sustained exposure of unprotected traffic. This result is time-bound and scope-bound.”
- Informe de auditoríaFull independent no-logs policy verification report v1.0: scope, methods, findings, retention matrix, limitations and signaturevpntestor.comrecuperado el 2026-07-29
“Within the read-only production scope as of 2026-07-29, the Openscore VPN audit team and VPNTestor Platform found no persistent fields, reporting interfaces, or log systems for websites visited, destination domains, full URLs, DNS queries, browsing or communications content, originating IP history, node-use history, per-session connection history, or account-to-network-activity mappings. Limited service data and its stated retention periods are separately disclosed. The conclusion is time-bound and scope-bound.”
FeiLiu VPN / QuicklyVPN
- Informe de auditoríaArtifact table, findings and limitationsvpntestor.comarchivadorecuperado el 2026-07-29
“The completed static package and supply-chain scope receives 55/100: artifact integrity and provenance 13/30, platform signing 18/30, permissions and production hardening 16/20, and public security transparency 8/20. This is not a final VPN application-security or overall provider score.”
VPN Cat
- Informe de auditoríaVPNTestor public-distribution security assessment for version 2.12.5vpntestor.comarchivadorecuperado el 2026-07-29
“Scope-limited public-source assessment: 34/100. Official App Store identity and current version were verified, but Apple does not expose the IPA for independent hashing and static inspection; no public independent audit, source code, protocol specification, checksum, permission inventory, leak test or runtime evidence was available.”