¿Qué es un warrant canary y los proveedores de alojamiento publican uno?

¿Cómo funciona un warrant canary?

Guardando silencio a la señal convenida. Un proveedor publica una declaración, fechada y a menudo firmada, en la que afirma no haber recibido ningún proceso legal cuya revelación le estuviera prohibida. Renueva esa declaración con un calendario fijo.

Si llega una orden con mordaza, el proveedor deja de renovar. Los lectores que vigilan la página notan la fecha incumplida. Las preguntas frecuentes de la EFF de 2014 remontan el nombre a los canarios que llevaban los mineros para avisar del peligro.

Un warrant canary te informa sobre el correo de una empresa, durante un periodo pasado, y nada más.

¿Por qué sería legal un warrant canary?

Por una teoría, no por una ley. En el derecho estadounidense, el gobierno puede imponer silencio mediante una orden de mordaza. La EFF sostiene que obligar a un proveedor a mentir es otra cosa, y los tribunales rara vez respaldan la expresión obligada.

Las preguntas frecuentes de la EFF del 10 de abril de 2014 dicen que ningún tribunal había respaldado aún un canary. Añade que ninguna ley prohíbe publicar lo que un proveedor no ha recibido.

Las mordazas en sí son reales. Según 18 U.S.C. § 2709(c), un proveedor de comunicaciones que recibe una carta de seguridad nacional no puede revelarla, una vez que el FBI certifica ciertos peligros.

Esta página describe leyes y comentarios publicados; no es asesoramiento legal.

¿Qué leyes imponen secreto a los proveedores de alojamiento?

Varias, a ambos lados del Atlántico. Cada una da un motivo por el que un canary podría existir, y un motivo por el que podría no sobrevivir.

• Estados Unidos: 50 U.S.C. § 1874 permite a un proveedor con mordaza publicar recuentos solo por bandas: 0–999, 0–499, 0–249 o 0–99 al año. Todas las bandas empiezan en cero, así que una banda nunca dice "ninguno".
• Convenio de Budapest sobre ciberdelincuencia: el artículo 16(3) obliga a las partes a exigir a un custodio de datos que mantenga confidencial una orden de conservación. Los artículos 20(3) y 21(3) hacen lo mismo con la recogida en tiempo real y la interceptación.
• Reglamento europeo de e-Evidence: el artículo 13(4) obliga al proveedor a mantener las órdenes confidenciales y secretas. El artículo 13(2) permite a la autoridad retrasar la comunicación a la persona afectada u omitirla.

Cómo formulan Islandia, Suiza, Rumanía y los Países Bajos estos deberes de secreto en su legislación nacional no se verificó para esta página.

¿Qué no puede decirte un warrant canary sobre un servidor alquilado?

Casi todo lo que importa. Un canary habla por la empresa que lo publica, y un servidor alquilado implica a varias empresas.

• Terceros: una orden enviada al datacenter, a su operador de red o a un procesador de pagos nunca toca el canary del proveedor.
• Incautación física: la policía que se lleva una máquina en el datacenter, conforme a la ley local, puede que nunca envíe al proveedor una orden que deba ocultar.
• Actualizaciones perdidas: un canary caducado puede significar una orden, un error, una enfermedad o una empresa que cerró.
• Registros: un canary no dice nada sobre lo que conserva el proveedor, que es justo lo que cualquier orden puede alcanzar.

La pregunta útil no es si un proveedor recibió una orden, sino qué podría llevarse una orden de él.

¿Los proveedores de alojamiento publican warrant canaries?

Algunos sí, pero los canaries son más conocidos entre las marcas de VPN. El 1 de noviembre de 2026, el autocompletado de Google para "warrant canary" sugería marcas de VPN. Para "warrant canary hosting" no sugería ningún canary de alojamiento.

Ravenquay no publica ningún warrant canary. No interpretes esa ausencia como señal de una orden, ni lo contrario. Sencillamente no es algo que Ravenquay ofrezca.

¿Qué publica Ravenquay en su lugar?

La lista completa de registros que conserva, porque eso define qué podría alcanzar cualquier orden. Sin registros: ni registros de conexión ni de tráfico, ninguna dirección IP de visitante o cliente, y ningún rastro de cómo encontraste el sitio salvo un código de referido si tu enlace lo tenía. Solo conservamos lo necesario para facturar y operar tu servidor: el número de cuenta y un email si añades uno; cada recarga y pedido (importe, moneda, red, ID de transacción, fecha); y por servidor su nombre, plan, plazo, ubicación, sistema, clave pública SSH, direcciones IP y fechas, así como la contraseña temporal de root que fijamos cuando no diste una clave, la cual ya no abre el servidor en cuanto la cambias. No tenemos control sobre el equipamiento de red del datacenter. Solo entregamos registros cuando lo ordena un tribunal panameño.

Ravenquay pertenece a DomaineGoat LLC, una empresa constituida en Panamá que responde únicamente ante la ley panameña. El centro de datos que aloja cada servidor opera bajo la ley de su propio país. La misma lista está en la política de privacidad. Por qué la empresa está en Panamá se explica en ¿es Panamá una buena jurisdicción para una empresa de alojamiento.

¿Qué deberías comprobar en lugar de un canary?

Qué recopila, registra y ante qué responde el host. Cinco preguntas hacen más que cualquier canary:

1. ¿Qué datos de identidad pide al registrarse?
2. ¿Qué registra sobre conexiones y tráfico?
3. ¿Qué ley del país rige la empresa y cuál el datacenter?
4. ¿Puedes cifrar tus propios discos con claves que el host nunca ve?
5. ¿Publica una lista fechada de los registros que guarda?

Ravenquay comprobó 34 proveedores de servidores dedicados en 30 October 2026: 13 no exigían ningún ID, 16 podían exigirlo en algunos casos y 3 siempre lo exigían.

Una lista más larga está en qué debería incluir un hosting centrado en la privacidad. Cómo funciona la incautación entre países está en puede la policía incautar mi servidor en otro país. Los precios están en cuánto cuesta un servidor Ravenquay sin límite de tráfico.