Cloudflare: ¿privacidad real o espejismo tras la auditoría de kpmg?
Cloudflare se encuentra nuevamente bajo la lupa, no por una vulnerabilidad técnica, sino por una cuestión mucho más delicada: la privacidad de los datos de sus usuarios. Tras las recientes controversias con LaLiga y las acusaciones de facilitar la piratería, la empresa, cuyo servicio gratuito es ampliamente utilizado, ahora enfrenta un escrutinio sobre la gestión de la información que fluye a través de sus servidores.
El experimento de kpmg y la promesa rota
La compañía, buscando silenciar las dudas, encomendó a KPMG, una de las 'Big Four' de la auditoría, la tarea de examinar el funcionamiento de sus DNS durante todo el año 2024. La promesa era simple: Cloudflare no registraba los datos de navegación de sus usuarios. Pero, como suele ocurrir, la realidad es más compleja. La auditoría, a priori, validaba la afirmación de Cloudflare: los routers en sus centros de datos tenían Syslog deshabilitado y solo se analizaba una pequeña muestra de paquetes, alrededor del 0,05%.
Sin embargo, un detalle crucial, que la compañía no publicitó inicialmente, salió a la luz: Cloudflare sí almacena la dirección IP de los usuarios, aunque elimina el último byte en IPv4 (convirtiendo, por ejemplo, 192.168.1.1 en 192.168.1.x) y los últimos 80 bits en IPv6. Esta información se conserva durante 25 horas antes de ser eliminada. Un período, aunque breve, suficiente para rastrear patrones de navegación y potencialmente vincularlos a identidades.
Dns públicos: ¿conveniencia a qué precio?
El auge de Cloudflare, con sus DNS públicos (1.1.1.1 y 8.8.8.8, recordando a los de Google) diseñados para ser rápidos y fáciles de configurar en cualquier dispositivo, ha generado una dependencia masiva. La facilidad de uso, la velocidad de resolución de dominios y la promesa de privacidad gratuita son atractivos poderosos. Pero la auditoría de KPMG, lejos de disipar las dudas, las ha complicado. La empresa se jacta de no vender datos ni personalizar publicidad, pero la práctica de almacenar, aunque sea temporalmente, direcciones IP, plantea interrogantes sobre la verdadera naturaleza de su compromiso con la privacidad.
La ironía es palpable: mientras Cloudflare se presenta como un baluarte de la privacidad, las propias pruebas revelan una gestión de datos menos transparente de lo que anunciaba. La empresa afirma que