¿Es seguro usar una VPN? Quién puede ver qué

• Tu red local y tu proveedor de internet (la fibra de casa, la wifi de la oficina o de la universidad, el punto de acceso de una cafetería): ven que tu dispositivo está conectado a un servidor, cuándo y cuántos datos se han movido. No ven los dominios que visitas ni el contenido.
• El operador de la VPN: ve tu IP de origen, los dominios o direcciones que visitas, los horarios y el volumen. No ve el contenido de las webs HTTPS: páginas, contraseñas, chats o datos de pago.
• Las webs que visitas: ven la IP de salida en lugar de la IP de tu casa. Pero en cuanto inicias sesión, la web sabe quién eres, y las cookies de tu navegador te siguen identificando.
• El software de tu dispositivo: lo que pueden ver tus apps, tu teclado y las extensiones del navegador no tiene nada que ver con la VPN y es igual con ella activada o desactivada.

Hoy casi todas las webs y apps usan HTTPS: una segunda capa de cifrado entre tu dispositivo y la web, cuyas claves solo tienen los dos extremos. El servidor VPN se limita a transmitir esos datos cifrados y no puede abrirlos. La contraseña de tu banco, el texto de un correo y tus mensajes de chat son, para el operador de una VPN, lo mismo que para un proveedor de internet: texto cifrado.

Lo que sigue a la vista es lo que va escrito en el sobre: qué dominio, a qué hora y cuántos datos. Sin VPN lo ven tu red local y tu proveedor; con VPN, el operador. Una VPN traslada esa visibilidad de una parte a otra, y por eso lo más importante es elegir bien al operador.

El contenido solo queda a la vista en dos casos. Uno es una web que sigue usando HTTP sin cifrar, que la barra de direcciones marca como “No seguro”. El otro es un certificado raíz instalado en tu dispositivo por un tercero, que le permite descifrar el HTTPS. Del segundo es del que hay que protegerse, y la comprobación de más abajo te indica dónde mirar.

Estas tres preguntas resuelven casi todo. Para saber cómo verificar cada una y qué hacer si ya tienes instalada una app dudosa, consulta Cómo reconocer una app VPN de riesgo, que enumera diez señales que puedes comprobar tú mismo.

• Quién la gestiona: ¿puedes encontrar la entidad que la opera, cuánto tiempo lleva funcionando, hay un soporte al que puedas contactar y la política de privacidad dice exactamente qué se guarda? El operador tiene ahora la vista de adónde vas, así que su fiabilidad es lo primero.
• Qué app has instalado: un cliente estándar descargado de una tienda de apps o de la web del propio desarrollador (Cisco, OpenVPN, Hiddify, Tailscale y similares) se puede verificar. Un instalador que circula por un chat de grupo o un servicio de archivos compartidos, o un servicio que solo funciona con su propia app, no.
• Qué permisos te ha pedido: una VPN necesita un solo permiso, el de crear el túnel. Contactos, SMS, fotos, ubicación o que instales y confíes en un certificado van más allá de cualquier uso que pueda tener una VPN.

Una app VPN en el iPhone funciona dentro del entorno aislado del sistema. Lo único que recibe es la capacidad de crear un túnel VPN, y el aviso “Desea añadir configuraciones VPN” de la primera conexión es el paso normal. No puede leer los datos de otras apps, tus fotos ni tus mensajes, salvo que se lo permitas por separado.

En el iPhone conviene vigilar tres cosas: cualquier cosa que te pida instalar un perfil y confiar en un certificado; las apps instaladas fuera de la App Store mediante firma empresarial o gestión de dispositivos; y un móvil entregado y gestionado por tu empresa o centro de estudios, cuyo administrador puede ver más que cualquier VPN. Abre Ajustes → General → VPN y gestión de dispositivos y asegúrate de reconocer todas las entradas.

En cuanto a la vigilancia: tu operador móvil ve que usas una conexión cifrada y a qué servidor va, no las webs ni el contenido que pasa por ella. El operador de la VPN ve los dominios y los horarios. Ninguno de los dos ve el contenido HTTPS.

En el iPhone, LeoTun usa clientes oficiales de la App Store (la app de Cisco para el método Cisco y Hiddify para el método Hiddify) y nunca te pide instalar un certificado. Si no te aparecen en la tienda, consulta qué hacer cuando iOS no deja instalar una app.

Hay dos tipos de gratis. El software gratuito, como los clientes de código abierto OpenVPN, Hiddify y Tailscale, no cuesta nada y se puede verificar. Un servicio gratuito es otra cosa: los servidores y el ancho de banda cuestan dinero, y un servicio que no te cobra recupera ese coste por otro lado, normalmente con publicidad, recopilando y vendiendo datos de uso o usando tu dispositivo como salida para otras personas.

Así que juzga una VPN gratis por lo que la mantiene en pie y aplícale después las tres preguntas anteriores. Para todo lo que implique inicios de sesión, pagos o trabajo, usa un servicio cuyo operador puedas identificar. Tienes una comparativa más completa en ¿VPN para China gratis o de pago?

1. Origen: ¿la app viene de una tienda de apps o de la web del desarrollador? Si el instalador te llegó por un chat de grupo, un servicio de archivos compartidos o un código QR, reinstala el mismo cliente desde el canal oficial.
2. Permisos: abre los ajustes del sistema, mira qué permisos tiene la app y desactiva todo salvo la propia VPN. Debería seguir funcionando.
3. Certificados y perfiles: en iOS, Ajustes → General → VPN y gestión de dispositivos; en Android, Ajustes → Seguridad → Cifrado y credenciales → Credenciales de confianza → Usuario. Elimina cualquier entrada que no reconozcas y desinstala el software que la puso ahí.
4. Salida: una vez conectado, abre una página que muestre tu IP y confirma que corresponde a la región que elegiste. Después haz una prueba de DNS como se explica en Fuga de DNS y envenenamiento de DNS.
5. HTTPS: abre la web de tu banco o tu correo y pulsa el candado. El emisor del certificado debería ser una autoridad de certificación normal. Si el navegador avisa de un problema con el certificado, detente ahí.
6. Uso en segundo plano: si la app sube muchos datos estando inactiva y la batería se agota claramente más rápido, deja de usarla y elige otra.

Una VPN protege el trayecto: quienes están en la misma wifi, la red local y tu proveedor no pueden ver adónde vas. La seguridad dentro del dispositivo y dentro de tus cuentas depende de las actualizaciones del sistema, de usar software de fuentes fiables y de tus hábitos. Lo que sigue está en tus manos, con VPN o sin ella.

• Phishing: páginas de inicio de sesión falsas, falsos agentes de soporte, enlaces de premios falsos. Si eres tú quien escribe la contraseña, el túnel cifrado la entrega fielmente. Lee el dominio antes de escribir.
• Malware: un troyano en el dispositivo, un programa crackeado con puerta trasera o una extensión del navegador de origen desconocido se quedan con tus datos antes de que entren en la VPN.
• Cuentas con sesión iniciada: si entras en WeChat, Google o Taobao, la plataforma sabe que eres tú, sea cual sea la IP de salida. Una VPN cambia tu dirección, no tu identidad.
• Contraseñas débiles y repetidas: se filtra una web y las demás se abren con la misma llave. Pon contraseñas propias a las cuentas importantes y activa la verificación en dos pasos.
• La información que tú mismo entregas: lo que publicas, los formularios que rellenas y el acceso a ubicación y contactos que concedes a las apps.

• Los clientes son las versiones oficiales y de código abierto de Cisco, OpenVPN, Hiddify y Tailscale, replicadas sin modificar. Puedes sustituir en cualquier momento la copia descargada aquí por la del canal oficial.
• Todos los protocolos son estándar, así que puedes capturar el tráfico e inspeccionarlo tú mismo.
• Para registrarte basta un correo electrónico: sin número de teléfono ni verificación de identidad.
• Solo guardamos la información que necesita la facturación. No registramos las webs que visitas, no inspeccionamos el tráfico, no inyectamos publicidad ni vendemos datos.
• No hay que instalar ningún certificado ni pedimos acceso a contactos o ubicación.