¿Qué es una VPN? Cómo funciona, qué oculta y dónde se queda corta

¿Qué es una VPN y cómo funciona?

Una red privada virtual (VPN) es un servicio que dirige todo el tráfico de internet de su dispositivo a través de un túnel cifrado entre su dispositivo y un servidor VPN; después, el tráfico sale de ese servidor hacia su destino final ^[1]. El cifrado codifica los datos para que solo quien tenga la clave correcta pueda leerlos. Como sus solicitudes parecen provenir del servidor VPN, la VPN enmascara su dirección IP, la dirección numérica que indica su ubicación aproximada y que puede usarse para identificarlo ^[1].

Cloudflare describe la conexión en cuatro pasos: el cliente VPN (la aplicación de su dispositivo) se conecta a través de su proveedor de servicios de internet (ISP) mediante una conexión cifrada; el ISP transmite esa conexión al servidor VPN; el servidor VPN descifra los datos y se conecta al sitio web en su nombre; y el enlace cifrado entre el cliente y el servidor es lo que se denomina túnel VPN ^[2]. Los servidores web solo registran entonces la dirección IP del servidor VPN ^[2].

¿Qué ocurre en el dispositivo?

Técnicamente, un cliente VPN crea una interfaz de red virtual, un adaptador de red que existe solo en software, y la usa para cifrar y descifrar el tráfico antes de entregarlo al hardware real de Wi-Fi o Ethernet ^[3]. Si todo el tráfico pasa por el túnel, se habla de una VPN de túnel completo; si se permite que parte del tráfico, como el de la red local, lo eluda, se habla de una VPN de túnel dividido ^[3].

¿Para qué se usan las VPN?

La Electronic Frontier Foundation (EFF), una organización de defensa de los derechos digitales, afirma que las VPN sirven sobre todo para una cosa, dirigir su conexión a través de otra red, lo que resulta útil en dos situaciones: sortear la censura en una red que bloquea sitios y conectarse a la red de una oficina desde otro lugar ^[1]. Cloudflare añade a la lista de usos habituales la protección en redes Wi-Fi públicas y la posibilidad de sortear restricciones de contenido basadas en la ubicación ^[2].

¿Qué oculta una VPN y a quién?

Una VPN oculta su tráfico saliente a su ISP y al dueño de la red local, como una cafetería o un hotel ^[1]. Como el túnel que atraviesa el ISP está cifrado, el ISP no puede ver lo que usted hace dentro de él ^[2]. Desde el punto de vista de un sitio web, usted parece estar donde se encuentra el servidor VPN ^[1].

La contrapartida es sencilla y a menudo se pasa por alto: aunque una VPN oculta su navegación al ISP, toda ella es visible para el proveedor de la VPN ^[1]. La EFF señala que un proveedor podría vender esa información, igual que podría hacerlo un ISP ^[1]. La propia guía explicativa de Cloudflare afirma que los usuarios solo pueden sentirse seguros con una VPN si confían en el proveedor, porque un proveedor deshonesto podría vender la información de los usuarios o dejarlos expuestos a ataques ^[2].

Una VPN tampoco protege sus datos del operador de la red privada a la que usted se conecta. En una VPN corporativa, quien administra la red corporativa ve su tráfico; en una VPN comercial, lo ve quien administra el servicio ^[1]. En resumen, una VPN traslada la confianza de una empresa (su ISP o el dueño del Wi-Fi) a otra (el proveedor de la VPN); no elimina la necesidad de confiar.

¿De qué no puede protegerlo una VPN?

La publicidad de las VPN suele afirmar que frenan a los delincuentes, el malware, la vigilancia gubernamental y el rastreo en línea; la EFF afirma que estos anuncios exageran enormemente sus beneficios ^[1]. Los principales límites son:

• El rastreo. Una VPN no es una herramienta de anonimato. Las empresas aún pueden rastrearlo mediante GPS, cookies web, píxeles de seguimiento o huellas digitales del navegador ^[1].
• Las cuentas y el historial. Una VPN no impide que las fuerzas del orden obtengan el historial de navegación guardado en su navegador o en una cuenta en la que haya iniciado sesión ^[1].
• Las solicitudes legales al proveedor. Los proveedores de VPN también están sujetos a las solicitudes de las fuerzas del orden, y muchos guardan tanta información como los ISP ^[1]. El proveedor debe cumplir las leyes de los países en los que opera ^[1].
• Los vínculos con el pago. Pagar con tarjeta de crédito vincula su identidad con la cuenta, y el proveedor puede seguir recopilando su dirección IP ^[1].

¿Puede filtrarse el tráfico fuera de una VPN?

Sí. En mayo de 2024, Leviathan Security Group publicó TunnelVision (CVE-2024-3661), una técnica que aprovecha una función integrada de DHCP, el protocolo que distribuye la configuración de red, para forzar que el tráfico de un usuario salga del túnel VPN y se envíe sin cifrar ^[3]. La Base de Datos Nacional de Vulnerabilidades de Estados Unidos (NVD) describe el problema: la opción 121 de DHCP puede añadir rutas a la tabla de enrutamiento de un dispositivo, y un atacante en la misma red local puede leer, interrumpir o posiblemente modificar tráfico que se suponía protegido por la VPN ^[4].

En las pruebas de los investigadores, la VPN siguió mostrándose siempre como conectada y el kill switch (una función que bloquea el tráfico si se cae la conexión VPN) nunca se activó ^[3]. Android no se vio afectado porque no implementa la opción 121 de DHCP ^[3]. Los investigadores concluyeron que las VPN no se diseñaron para mitigar ataques en la red local física y que prometer lo contrario es peligroso ^[3].

¿Y la velocidad?

Algunos usuarios notan conexiones más lentas, según la capacidad de los servidores del proveedor, y un servidor VPN alejado tanto del usuario como del sitio web añade retardo ^[2].

¿Necesita una VPN en una red Wi-Fi pública?

No siempre. La EFF afirma que antes era un consejo habitual usar una VPN en las redes Wi-Fi públicas, pero que ya no es tan necesario para todo el mundo porque la mayor parte del tráfico web se cifra hoy con HTTPS ^[1]. HTTPS es la versión del protocolo web protegida con el candado, que cifra lo que usted envía a un sitio y recibe de él.

HTTPS protege el contenido de las comunicaciones, no los metadatos ^[1]. En un sitio HTTPS, quienes están a lo largo de la ruta suelen poder ver el nombre de dominio (por ejemplo, wikipedia.org) y cuándo lo visita, además del tamaño de las páginas y los archivos, pero no la página concreta, su nombre de usuario ni sus mensajes ^[1]. Una VPN podría ocultar esos metadatos a alguien que escuche en la red local, pero el proveedor de la VPN los vería todos ^[1].

La EFF sugiere que una VPN puede ser útil cuando usted debe usar una red pública en la que no confía y dispone de una VPN en la que sí confía ^[1]. La Comisión Federal de Comercio de Estados Unidos (FTC) también ha advertido que las redes Wi-Fi públicas gratuitas suelen ser inseguras, y sus consejos de 2018 sobre aplicaciones VPN se centraban en proteger la información enviada a través de redes Wi-Fi públicas ^[5]. Tenga en cuenta que una aplicación VPN desactualizada puede no protegerlo bien ni siquiera en ese caso; la EFF cita TunnelVision como ejemplo ^[1].

¿Qué protocolos VPN son seguros?

Un protocolo es el conjunto de reglas que usa una VPN para construir y cifrar el túnel. Si una VPN usa un cifrado vulnerado como el Point-to-Point Tunneling Protocol (PPTP), los datos que circulan por ella pueden descifrarse y verse con facilidad ^[1]. La EFF señala OpenVPN y WireGuard como los dos protocolos que se han vuelto habituales en los servicios para consumidores ^[1].

Los desarrolladores de WireGuard la describen como una VPN sencilla, rápida y moderna que usa criptografía de última generación, como el marco de protocolos Noise, Curve25519 y ChaCha20, y afirman que ha sido revisada por criptógrafos ^[7]. Está diseñada para ser lo bastante pequeña como para que una sola persona pueda revisarla por completo, a diferencia de las bases de código mucho mayores de IPsec u OpenVPN ^[7].

Para las organizaciones, el Centro Nacional de Ciberseguridad (NCSC) del Reino Unido afirma que los protocolos más usados son TLS e IPsec, recomienda IPsec para el acceso por VPN porque es un estándar abierto integrado en muchos sistemas operativos y señala que WireGuard parece prometedor, pero aún no ha demostrado su eficacia en entornos empresariales ^[6]. El NCSC también advierte que algunas redes de terceros restringen o bloquean el tráfico IPsec, mientras que las VPN TLS pueden ser más fiables a través de los firewalls empresariales ^[6].

A veces se confunde iCloud Private Relay de Apple con una VPN. Está diseñado para proteger la navegación en Safari, envía las solicitudes a través de dos relés distintos para que ninguna parte, ni siquiera Apple, vea a la vez quién es usted y qué sitios visita, y no está disponible en todos los países o regiones ^[10].

¿Cómo elegir una VPN de confianza?

Las cuatro comprobaciones de la FTC antes de usar una aplicación VPN son: investigar la aplicación antes de obtenerla, revisar sus solicitudes de permisos, asegurarse de que cifra su información y comprobar si comparte su información con terceros ^[5]. La EFF añade otras preguntas ^[1]:

1. Lea la política de privacidad. Un proveedor podría registrar sus datos si no lo descarta de forma expresa, y la promesa de no guardar registros no es una garantía ^[1].
2. Pregúntese cómo gana dinero. Algunas VPN son gratuitas pero venden sus datos; otras usan límites de datos en modelos freemium o suscripciones periódicas ^[1].
3. Busque auditorías públicas. Las auditorías de seguridad independientes son una buena señal, pero las prácticas pueden cambiar después de una auditoría ^[1].
4. Averigüe quién la administra. Desconfíe de una VPN que nadie respalda con su reputación y revise su página de información en busca de fundadores o personal ^[1].
5. Compruebe el país. El proveedor está sujeto a las leyes del lugar donde opera, incluidas las normas sobre solicitudes de datos por parte del gobierno ^[1].

¿Basta con que figure en una tienda de aplicaciones?

No. La EFF advierte que no se debe dar por hecho que una aplicación VPN es segura porque esté en Google Play o en la App Store de Apple ^[1]. Las directrices de revisión de la App Store de Apple establecen que las aplicaciones VPN no pueden vender, usar ni divulgar datos a terceros con ningún fin ^[9]. Aun así, el Tech Transparency Project informó el 1 de abril de 2025 que 20 de las 100 VPN gratuitas más populares de la App Store de Estados Unidos durante 2024 pertenecían a empresas chinas, ninguna de las cuales revelaba claramente esa propiedad, y que esas aplicaciones se habían descargado más de 70 millones de veces ^[8]. Google Play muestra una insignia de verificación en algunas VPN, que la EFF describe como un pequeño vistazo a las promesas de seguridad de la aplicación y no como un sustituto de la investigación propia ^[1].

¿Las VPN son legales en todas partes?

No. La EFF aconseja mantenerse al día sobre las políticas de cada país en materia de VPN, incluidas las prohibiciones, y señala que las plataformas de streaming bloquean cada vez más los dispositivos que parecen usar una VPN ^[1]. Apple exige a los desarrolladores que ofrecen una aplicación VPN en un territorio que exige licencia para las VPN que proporcionen la información de esa licencia ^[9]. Esta es información general, no asesoramiento jurídico; consulte la legislación del lugar donde vive.

¿Cuál es la situación en Irán?

El informe Freedom on the Net 2024 de Freedom House afirma que muchos iraníes dependen de las VPN para acceder a servicios internacionales bloqueados por las autoridades ^[11]. En febrero de 2024, el Consejo Supremo del Ciberespacio prohibió el uso de VPN sin licencia y afirmó que los particulares tendrían que solicitar la compra de VPN con licencia aprobadas por el gobierno ^[11]; los analistas citados en el informe afirman que se penalizó no solo la distribución y la venta, sino también el uso de VPN ^[11]. El mismo informe señala que el Ministerio de TIC anunció en octubre de 2022 que cualquiera que vendiera o usara VPN ilegales podría ser acusado en virtud del artículo 753 del código penal, y que servicios como NordVPN, Proton VPN y TunnelBear no estaban accesibles durante el periodo que abarca el informe ^[11]. Freedom on the Net 2025 añade que en junio de 2025 se impuso un apagón de internet casi total en todo el país ^[12].

¿Las VPN empresariales son diferentes?

Sí. Una VPN empresarial conecta al personal con los sistemas internos en lugar de enmascarar su ubicación. El NCSC señala que los servicios VPN forman parte de la superficie de ataque expuesta a internet de una organización y deben actualizarse con rapidez cuando se publican parches de seguridad ^[6]. También afirma que una VPN aporta poco a una organización que haya adoptado plenamente un enfoque de confianza cero (zero trust), en el que no se confía en ningún dispositivo por defecto ^[6].

Cloudflare, que vende este tipo de alternativas, sostiene que las VPN tradicionales pueden llevar a un modelo de castillo y foso en el que todo lo que está dentro de la red goza automáticamente de confianza, y afirma que muchas empresas han pasado en su lugar a diseños de borde de servicio de acceso seguro (SASE) ^[2]. Para los particulares, la EFF considera que para muchas personas una VPN no es la medida de seguridad más importante; incluye la mensajería cifrada de extremo a extremo entre las medidas de mayor impacto ^[1].