¿Qué es una VPN?

La app de VPN de tu dispositivo abre una conexión con uno de los servidores del proveedor y acuerda con él una clave de cifrado, usando un protocolo como WireGuard, OpenVPN o IKEv2/IPsec. A partir de ahí, cada paquete que envía tu dispositivo va envuelto dentro de esa conexión cifrada, el túnel. Tu router de casa, el Wi-Fi de la cafetería, tu proveedor de internet y todos los routers entre tú y el servidor VPN ven solo tráfico cifrado que va a una única dirección: el servidor. El servidor desenvuelve cada paquete y lo reenvía a su destino real con su propia dirección como origen; las respuestas vuelven por el mismo camino.

De ahí se siguen tres consecuencias. Para la web, tú eres el servidor VPN: su dirección, su país, su proveedor. Para tu proveedor de internet, eres alguien que intercambia datos cifrados con un servidor VPN; los destinos y las consultas DNS van dentro del túnel. Y para el proveedor de la VPN eres exactamente tan visible como lo eras antes para tu operador: ve cada destino, así que es la única parte en la que tienes que confiar. Las primeras VPN eran corporativas: un portátil en casa que se unía a la red de la oficina como si estuviera enchufado allí, que es a lo que todavía se refiere la «red privada» del nombre. Las VPN de consumo reutilizan la tecnología para cambiar el lugar por el que tu tráfico entra en el internet público.

Los protocolos importan menos de lo que sugiere el marketing. WireGuard es la opción moderna: poco código, saludos rápidos, cifrados actuales (ChaCha20-Poly1305). OpenVPN es más antiguo, más lento y compatible con todo. IKEv2/IPsec viene integrado en los teléfonos y se reconecta bien cuando pasas del Wi-Fi a los datos móviles. Los tres son seguros bien configurados; las diferencias que notarás son la velocidad y lo rápido que se recupera el túnel tras un cambio de red.

Oculto a las webs y los servicios: tu dirección IP y, con ella, tu ubicación aproximada, tu proveedor y el tipo de tu conexión. Ven en su lugar los del servidor VPN, y muchas webs lo reconocen como una dirección de VPN, porque los rangos de las VPN comerciales están publicados y se encuentran en redes de hosting.

Oculto a tu proveedor y a la red local: cada destino, cada consulta DNS, cada nombre de servidor. Ven el volumen de tráfico cifrado y el servidor VPN con el que hablas, nada más. Es el efecto más potente de la VPN y la razón para usarla en un Wi-Fi público.

No oculto:

• Quién eres para las webs en las que inicias sesión. Tu cuenta, tus cookies y la huella de tu navegador te identifican sea cual sea la dirección desde la que llegas. Una VPN cambia la dirección, no a la persona.
• Nada frente al proveedor de la VPN. Ve lo que antes veía tu operador. Un proveedor con una política creíble y auditada de no registrar nada no guarda nada; uno gratuito suele pagarse con tus datos.
• El contenido de tu tráfico después del servidor. Entre el servidor VPN y la web, la protección viene de HTTPS, exactamente igual que sin VPN. El cifrado de la VPN termina en su servidor.
• El tráfico que rodea el túnel. Una consulta DNS enviada al resolutor de tu proveedor, una petición WebRTC desde la interfaz real de tu navegador o tráfico IPv6 que la VPN no transporta llegan a internet con tu dirección real. Son fugas, son frecuentes y son lo que buscan los tests de este sitio: qué es una fuga de DNS y qué es WebRTC tratan las dos más habituales.
• Tu zona horaria y tu idioma. El navegador sigue comunicando la zona horaria y los idiomas de tu dispositivo; una dirección de VPN en un país con el reloj del dispositivo en otro es una señal que usan los sistemas antifraude y de streaming.

En una frase: una VPN oculta tu ubicación de red a las webs y tus destinos a la red, y nada más.

Merece la pena:

• En Wi-Fi públicos o compartidos: hoteles, aeropuertos, cafeterías, recintos de congresos. El túnel elimina los metadatos que la red podría recopilar y desmonta los trucos de redes falsas (seguridad en Wi-Fi públicos).
• Cuando no quieres que tu proveedor, tu empresa o la red de tu casero vean tus destinos.
• Cuando necesitas aparecer en otro país para un servicio que tienes derecho a usar, como tu propia suscripción de streaming o la web de tu banco mientras viajas.
• Para el acceso remoto a la red de una empresa o de tu casa, el uso original.
• Cuando tu conexión de casa está detrás de un NAT de operador y necesitas una dirección estable y alcanzable; algunos proveedores de VPN ofrecen una dirección dedicada para esto.

No merece la pena:

• Como capa general de «seguridad» en una red doméstica de confianza con HTTPS en todas partes: le queda poco que proteger.
• Para el anonimato. Una VPN traslada la confianza de tu operador al proveedor de la VPN; no elimina a la parte que puede verte. Para eso existe Tor, con sus propios inconvenientes.
• Porque un anuncio dijo que tus datos están «expuestos». Tu dirección IP siempre es visible para las webs que usas; así funciona internet, y revela menos de lo que el anuncio da a entender (qué puede hacer alguien con tu IP).

Costes a sopesar: una cuota mensual, algo menos de velocidad (un desvío más cifrado; poca pérdida con un servidor cercano y WireGuard, mucha con uno lejano o saturado), captchas y bloqueos en webs que desconfían de las direcciones de VPN, y la necesidad de elegir un proveedor en el que confíes más que en tu operador. Las VPN gratuitas que no están gestionadas por una organización a la que puedas poner nombre suelen ser el producto que se vende.

Conecta la VPN y mira la tarjeta de abajo. La primera línea debe mostrar la dirección del servidor VPN y su proveedor, no tu operador; si muestra tu operador, la app no está transportando tu tráfico en absoluto (habitual tras una suspensión o un cambio de red). La línea WebRTC debería mostrar nada o la misma dirección que la primera línea; una segunda dirección distinta es la tuya real filtrándose desde el navegador. La línea DNS debería listar el resolutor de la VPN o uno público alcanzado a través del túnel; el resolutor de tu operador ahí es una fuga de DNS. La línea IPv6 debería estar vacía o pertenecer a la misma red que la dirección de la VPN; una dirección IPv6 de tu proveedor de casa significa que la VPN solo tuneliza IPv4.

El test de VPN completo hace las mismas comprobaciones con más detalle y nombra la solución para cada fallo: la mayoría son un ajuste de la app de VPN («bloquear DNS fuera del túnel», «kill switch», «desactivar IPv6») o un ajuste del navegador para WebRTC. Prueba cada dispositivo y cada navegador por separado, porque el resultado pertenece a ese dispositivo, y vuelve a probar después de cada actualización de la app. Una VPN que pasa la prueba una vez y luego tiene fugas es más común que una que nunca funcionó.