¿Es seguro el Wi-Fi público?

Empecemos por lo que ha cambiado. En 2014 estaba cifrado aproximadamente un tercio del tráfico web; hoy más del 95 % de las cargas de página en Chrome son HTTPS, y los navegadores marcan el HTTP plano como «no seguro». HTTPS significa que la red entre tú y la web, incluido el router de la cafetería y cualquiera que esté escuchando el aire, solo ve bytes cifrados. Las contraseñas, los números de tarjeta y los mensajes atraviesan el Wi-Fi público de forma ilegible, y por eso la advertencia clásica («un hacker puede leer tu correo en el Starbucks») ya no describe el riesgo típico. Lo que queda cae en cinco grupos.

• Metadatos. El operador de la red ve a qué servidores te conectas: las consultas DNS y el nombre del servidor en el saludo TLS delatan la web aunque el contenido vaya cifrado. Una cafetería puede saber que pasaste veinte minutos en un portal de empleo; no puede ver qué ofertas.
• Redes falsas e imitadas. Cualquiera puede emitir una red llamada «Airport_Free_WiFi». Un punto de acceso falso ve todo lo que ve uno real, y además puede servir una página de portal cautivo que pida la contraseña del correo «para iniciar sesión», o redirigir una petición HTTP a una copia de phishing de una web. HTTPS y HSTS frenan la redirección en las webs que ya has visitado; la página de inicio de sesión falsa cuenta contigo.
• Tráfico sin cifrar. Las apps antiguas, algunas apps de acompañamiento de dispositivos inteligentes, FTP, los clientes de correo con IMAP/SMTP en claro y alguna web HTTP ocasional siguen enviando datos legibles. En una red abierta (sin contraseña), esos datos los puede leer cualquiera al alcance; en una red protegida con WPA2 los puede leer cualquiera que conozca la contraseña y haya capturado el establecimiento de tu conexión, que en un hotel es todo el mundo.
• Tu dispositivo, no tu tráfico. En una red compartida, tu portátil es alcanzable por los demás dispositivos que están en ella. Compartir archivos, AirDrop en «Todos», un servidor multimedia o un servicio de escritorio remoto olvidado se convierten en una puerta abierta; la mayoría de los ataques en Wi-Fi público son escaneos automáticos en busca de exactamente eso.
• Robo de sesión. Si una web mezcla HTTP y HTTPS o establece cookies sin el atributo Secure, una cookie puede filtrarse y alguien puede reutilizar tu sesión iniciada. Hoy es raro en las webs grandes; sigue siendo posible en las pequeñas.

Lo que no es un riesgo realista: que alguien «te hackee el móvil» solo porque se unió a la misma red (un teléfono moderno no expone nada a la red por defecto), o que el operador de la red lea tus mensajes en una app con cifrado de extremo a extremo.

1. Confirma el nombre de la red antes de unirte. Pide al personal el nombre exacto o léelo en el tique o en el cartel; un «FreeWiFi» sin contraseña junto a un «Cafe-Guest» con ella es el patrón de una red falsa. Prefiere las redes con contraseña, y WPA3 (aparece en los detalles de la red en tu dispositivo) donde se ofrezca: protege el tráfico de cada dispositivo aunque todo el mundo sepa la contraseña. Los datos móviles siguen siendo la opción más segura para cualquier cosa financiera.
2. Activa el modo solo HTTPS. Chrome: Configuración → Privacidad y seguridad → Seguridad → Usar siempre conexiones seguras. Firefox: Ajustes → Privacidad y seguridad → Modo solo HTTPS. Safari pasa a HTTPS automáticamente y avisa cuando falla. Con esto activado, una red que intente rebajarte a HTTP plano recibe una página de aviso en vez de tus datos.
3. Marca la red como pública y desactiva el uso compartido. Windows pregunta si quieres que tu PC sea detectable la primera vez que te unes: contesta que no, lo que selecciona el perfil de cortafuegos Pública. En macOS, deja AirDrop en Solo contactos o Nadie y el uso compartido de archivos desactivado en Ajustes del Sistema → General → Compartir. En los teléfonos no se comparte nada por defecto; déjalo así.
4. Usa una VPN en redes que no controlas, y pruébala. Una VPN cifra todo, incluidas las consultas DNS y los nombres de servidor que HTTPS deja visibles, y traslada la confianza de la cafetería al proveedor de la VPN. Es el único cambio que elimina a la vez los riesgos de metadatos y de degradación. Solo ayuda si de verdad transporta tu tráfico: el test de VPN comprueba las rutas de IP, DNS, WebRTC e IPv6 en una sola pasada, y qué es una VPN explica qué protege y qué no.
5. Mantén el dispositivo actualizado y el cortafuegos activado. Los escaneos automáticos que apuntan a redes públicas buscan agujeros conocidos y ya parcheados. Las actualizaciones del sistema operativo y del navegador y un cortafuegos activado los cierran; esto importa más que cualquier otro ajuste de esta lista.
6. Usa la autenticación en dos pasos y un gestor de contraseñas. Una contraseña robada no sirve de nada sin el segundo factor, y un gestor de contraseñas no rellenará tus credenciales en un dominio imitado, lo que desmonta el truco del portal cautivo falso y la página de phishing sin que tengas que fijarte en la letra cambiada.
7. Olvida la red al marcharte. Los dispositivos se unen automáticamente a las redes que conocen por el nombre, y un punto de acceso falso llamado como la red de tu hotel puede atraer tu móvil desde la acera de enfrente. Desactiva la conexión automática en redes públicas (iPhone: Ajustes → Wi-Fi → ⓘ → Conexión automática; Android: los ajustes de la red) u olvídalas, y mantén el Wi-Fi apagado cuando no lo uses.

Dos más que no cuestan nada: usa DNS cifrado (DNS privado en Android, el ajuste de DNS sobre HTTPS de Windows 11 o un perfil de resolutor en iOS) para que la red no pueda ver ni manipular tus consultas, y evita escribir en un portal cautivo nada sensible más allá de lo que necesita para dejarte salir a internet.

La tarjeta de abajo ejecuta desde este navegador las comprobaciones que importan en una red pública, contra nuestros propios servidores de prueba. La dirección que ven las webs es la primera línea; si esperabas una VPN y en su lugar aparece el proveedor de la cafetería, la VPN no está transportando tu tráfico. La línea WebRTC te dice si tu navegador expone una segunda dirección fuera de la VPN, la línea DNS muestra qué resolutores te respondieron (el resolutor propio del hotel puede reescribir respuestas; uno público o el de la VPN no puede ser manipulado por el hotel), y la línea IPv6 muestra si una VPN que solo tuneliza IPv4 está dejando tu tráfico IPv6 al descubierto.

Un resultado en verde significa que la red no ve más de lo que debería; un aviso nombra la brecha y enlaza al test completo con la solución. Vuelve a ejecutarlo cada vez que cambies de red: el resultado pertenece a esta conexión, no a tu cuenta.