Por el equipo de HushVPS · Actualizado 2026 · 9 min de lectura
La frase "sin logs" es la promesa más repetida en la industria de las VPN, y la menos verificable. Cada proveedor comercial la imprime, algunos pagan por una auditoría que captura un solo momento en el tiempo, y todos te piden que te fíes del resto. Hay una forma más limpia de obtener la misma protección sin confiar en el marketing de nadie: ejecuta el endpoint tú mismo. Un VPS WireGuard sin logs convierte la política de un eslogan en el que tienes que creer a una configuración que puedes leer, porque la máquina es tuya y el interruptor de registro está en tu mano. Esta guía recorre todo el camino a alto nivel: por qué gana el autoalojamiento, cómo se arma una caja WireGuard, cómo mantenerla genuinamente sin logs, y cómo construirla y gestionarla sin atar el servidor a tu nombre.
La mayoría de las aplicaciones VPN convencionales ya ejecutan WireGuard bajo el capó, así que la diferencia entre alquilar su salida y construir la tuya no es el protocolo ni la velocidad. La diferencia es quién tiene la confianza. Cuando una empresa dice que no guarda logs, no puedes inspeccionar sus servidores, su hipervisor, su proveedor upstream ni las órdenes judiciales bajo las que pueda estar silenciosamente. La afirmación vive completamente fuera de tu control. Cuando tú eres dueño de la caja, esa misma afirmación se reduce a algo que puedes comprobar línea por línea: WireGuard no registra nada sobre conexiones o contenido de tráfico a menos que configures explícitamente algo para hacerlo.
Hay una segunda ventaja, más silenciosa: la forma del objetivo. Las IPs de salida de una VPN popular son famosas. Están en listas negras, son identificadas y compartidas con miles de desconocidos cuyo comportamiento no puedes influir. Tu propio endpoint es una IP de servidor discreta que solo usas tú. Eso es peor para desaparecer entre la multitud y mejor para mantener una identidad estable e indiscutible que posees por completo. Elegir entre los dos realmente significa elegir para qué te optimizas: cobertura de multitud o control. Un endpoint autoalojado se centra claramente en el control: del exit, de las claves y de los logs.
Los ingredientes son modestos. WireGuard es famoso por ser ligero: un túnel personal apenas se nota en CPU o RAM, y la restricción real es el ancho de banda mensual, no el cómputo. Necesitas tres cosas:
Nada de esto requiere un panel de control, un script de instalación que llame a casa ni ninguna imagen preconfigurada. El punto del autoalojamiento es que el stack es solo lo que tú pones en él, así que empieza con un SO limpio y añade exactamente WireGuard y nada más.
Toda la filosofía de diseño de WireGuard es ser lo suficientemente pequeño para auditar, y la configuración lo refleja. A nivel conceptual, un túnel funcional son cuatro movimientos:
Cada peer (el servidor y cada cliente) tiene su propia clave privada y una clave pública correspondiente. La clave privada nunca sale del dispositivo al que pertenece. Genera la clave del servidor en el servidor (o fuera de línea y copia solo lo necesario) y genera la clave de cada cliente en el cliente. Los peers de WireGuard se autentican entre sí únicamente por clave pública, así que no hay contraseñas, certificados ni cuentas en ningún lugar.
El servidor tiene una interfaz, convencionalmente wg0, con su clave privada, un puerto UDP de escucha y una dirección interna para la subred del túnel (algo en un rango privado como 10.8.0.0/24). Luego añades un bloque [Peer] por cliente, cada uno nombrando la clave pública de ese cliente y la dirección del túnel que se le permite usar. Esta lista de allowed-IPs es también la lista de control de acceso: un peer solo puede enviar tráfico desde las direcciones que le concedas.
Para que la caja actúe como salida VPN en lugar de solo una malla privada, activa el reenvío de IP en el kernel y añade una regla NAT para que el tráfico del túnel se enmascare hacia la interfaz pública del servidor. Este es el punto donde la gente tropieza: sin reenvío y NAT, los clientes se conectan pero no pueden llegar a Internet. Mantén el cortafuegos estricto por lo demás: abre solo el puerto UDP de WireGuard al mundo y deja todo lo demás cerrado.
Inicia la interfaz, confirma que sobrevive a un reinicio habilitándola como servicio, y entrega a cada cliente una configuración que nombre la clave pública del servidor, su IP pública y puerto, y un allowed-IPs de 0.0.0.0/0 si quieres que ese cliente enrute todo su tráfico a través del túnel. La documentación de inicio rápido de WireGuard cubre los comandos exactos; la forma anterior es lo que esos comandos suman.
Ese es todo el modelo mental. No hay un zoológico de demonios, ni configuración extensa, y, críticamente, nada en la configuración predeterminada que escriba un registro de quién se conectó o a dónde fueron sus paquetes.
Aquí está la parte que hace que todo el ejercicio valga la pena. WireGuard no registra conexiones ni tráfico por diseño: la herramienta wg te muestra una marca de tiempo de handshake en vivo y contadores de transferencia para cada peer, pero ese estado vive en memoria y no se escribe en disco como historial. Así que "sin logs" en tu propia caja no es algo que actives; es el valor predeterminado, y tu trabajo es simplemente evitar deshacerlo silenciosamente. Algunas cosas a tener en cuenta:
PostUp que registran la actividad de los peers o hacen contabilidad de conexiones. Si quieres un endpoint verdaderamente sin logs, déjalos fuera. Cada línea que registra quién se conectó es una línea que tendrías que defender más tarde.La razón por la que esto es confiable donde una promesa comercial no lo es se reduce a incentivos e inspeccionabilidad. No hay departamento de marketing, ni presión de accionistas, ni un tercero entre tú y la salida que pueda cambiar la política sin decírtelo. La postura de no logs es una propiedad de una máquina que administras, no una afirmación que externalizaste. Se basa en la misma minimización a nivel de plataforma detrás de nuestro enfoque de VPS sin logs, extendida a una carga de trabajo donde tú, no el proveedor, posees el interruptor.
Una VPN sin logs pierde gran parte de su valor si la forma en que la construyes y gestionas te vincula de vuelta al servidor. El túnel puede estar limpio, pero si pediste el VPS con un nombre real, pagaste con tarjeta y te conectas por SSH desde tu IP de casa, los metadatos alrededor de la máquina cuentan la historia que el túnel pretendía ocultar. Cerrar esa brecha es sencillo:
Hecho así, ambos extremos del problema de confianza quedan cerrados. El proveedor nunca sabe quién eres, la red nunca te ve administrar la máquina y el punto final no guarda ningún registro de lo que fluyó a través de él. Esa es una VPN genuinamente sin logs, y cada eslabón de la cadena es inspeccionable por ti.
Una vez que tienes una máquina que controlas por completo, el túnel rara vez es lo único que vive en ella. La misma caja tiende a convertirse en tu puerta principal privada para todo lo demás: un host de salto, una forma de llegar a servicios en casa o el punto de entrada para una pila más grande que preferirías que nadie más pudiera leer. Si esa es la dirección que tomas, nuestra guía para ejecutar un VPS privado de autoalojamiento continúa justo donde termina esta, en infraestructura que mantiene la misma postura de sin logs y sin KYC. Un endpoint WireGuard es un excelente primer servicio precisamente porque enseña los hábitos —posee las claves, posee los logs, mantén los metadatos limpios— que hacen que todo lo demás que alojas también sea privado.
Una nota final sobre el alcance: la privacidad no es lo mismo que la ilegalidad. HushVPS es legal en una jurisdicción extraterritorial y minimiza los datos, y ejecutar una VPN personal o para un grupo pequeño para ti, tu hogar o unas pocas personas de confianza está dentro de nuestra política de uso aceptable. Usar un túnel para lavar tráfico de ataques, distribuir malware o dañar a otros no lo está. Construye el endpoint que siempre tuviste permitido tener: uno donde la promesa de no logs sea tuya para mantener.
Sin nombre, sin tarjeta, sin KYC: pide a través de Tor y conserva la única clave de administrador. WireGuard es muy ligero, así que incluso el fantasma más pequeño ejecuta un túnel personal con espacio de sobra.
Sigue leyendo: qué retiene realmente un VPS sin logs · cómo funciona el pedido anónimo · planes y precios