Advertencia de supervisión de red en Android: lee el cambio de confianza
Un aviso de supervisión, una CA instalada y una política gestionada son tres cosas distintas. Comprueba cuál informa Android antes de borrar credenciales.
Tres avisos se parecen en un teléfono, y solo uno de ellos trata de un certificado. Una línea de estado de VPN, una advertencia del almacén de confianza y un cartel de dispositivo gestionado nombran cada uno un control distinto, y la aplicación que está en pantalla en ese momento puede no ser dueña de ninguno. Leer primero el texto exacto te salva de borrar lo que no debes. Recorre las cinco comprobaciones siguientes en orden y detente en la primera que falle, porque la acción correcta cambia por completo en cada paso.
Paso 0: identifica qué aviso estás viendo
El texto importa más que el icono. Un aviso de estado de VPN significa que una aplicación mantiene un VpnService activo. Una advertencia de certificado significa que algo está instalado en un almacén de confianza. Un aviso de dispositivo gestionado significa que un administrador aplicó una política, que puede haber instalado la confianza como parte de esa política.
| Notice | What it asserts | First check |
|---|---|---|
| VPN status | An app is running a local VPN service | Which app holds the active VPN right now |
| Certificate authority installed | A CA exists in a trust store | Issuer, validity and which store holds it |
| Managed device or profile | An administrator owns part of the configuration | Whether device policy installed the credential |
Cuando el texto dice literalmente «Network may be monitored», el emisor es el sistema y no el proveedor de VPN: Android imprime esa línea siempre que una aplicación mantiene un VpnService activo, así que un cliente comercial habitual la produce sin poner nada en el almacén de confianza. Dos de los tres avisos pueden ser ciertos a la vez, y por eso la queja suele nombrar el equivocado. Si la frase dice que hay una CA instalada, la VPN es como mucho una sospechosa, y desinstalarla puede dejar la advertencia exactamente donde estaba.
Paso 1: encuentra la credencial y su almacén
En Android 9 a 12 la ruta es Ajustes, luego Seguridad, luego Cifrado y credenciales, luego Credenciales de confianza; Android 13 y posteriores mueven la misma pantalla a Seguridad y privacidad, luego Más ajustes de seguridad, y las capas de los fabricantes vuelven a renombrar los niveles, así que busca «Credenciales de confianza» en la aplicación de ajustes cuando la ruta no coincida. La pestaña Usuario contiene autoridades instaladas por una persona o una aplicación, y la pestaña Sistema contiene lo que vino con la compilación. Una autoridad empujada por la gestión aparece a través de la política del dispositivo o dentro de un perfil de trabajo, no como un toque casual en el almacén de usuario.
Anota el emisor, las fechas de validez y quién lo instaló. Si la entrada no está en el almacén de usuario, detente aquí, porque es un elemento del sistema o gestionado y no te corresponde borrarlo desde una pantalla de ajustes. Borrar la fila equivocada allí es como un teléfono pierde el Wi-Fi o un inicio de sesión de trabajo mientras la pregunta sobre la confianza queda sin respuesta.
Paso 2: separa la CA de un perfil de VPN de la confianza del teléfono
Un perfil de OpenVPN, o cualquier cliente que autentique su servidor por TLS, puede llevar una CA usada solo por ese cliente para verificar su propio servidor. Un perfil de WireGuard no lleva ninguna CA: se apoya en pares de claves públicas, así que una autoridad que esté en el almacén de confianza de Android nunca pudo venir de una configuración de WireGuard. Ese certificado local al perfil no llega a ninguna otra aplicación, y copiarlo al almacén de confianza del sistema es una operación aparte con un radio de impacto aparte. Mantener los dos separados es el objetivo de este paso, porque solo el segundo cambia lo que otras aplicaciones aceptarán.
Un perfil de VPN que contiene una CA no es, por tanto, prueba de interceptación, y una aplicación de VPN no es dueña de una entrada de confianza que nunca creó. La prueba es barata: detén la VPN y vuelve a leer el aviso. Si la advertencia de certificado sigue ahí, la VPN no la puso y quitar la aplicación no la quitará.
Paso 3: distingue una autoridad de servidor de una identidad de cliente
Un certificado de identidad de cliente y su clave privada autentican este dispositivo ante un servidor. Se confía en una CA para autenticar servidores ante aplicaciones. Se guardan juntos y se parecen en una lista, pero hacen trabajos completamente distintos.
Quitar una identidad de cliente puede romper la autenticación de Wi-Fi o de VPN sin hacer nada por la confianza HTTPS, y quitar una CA afecta a todas las aplicaciones que aceptan esa autoridad. Decide cuál de las dos estás mirando antes de pulsar nada, porque la respuesta nombra al dueño y la vía de recuperación.
Paso 4: pregunta qué aplicaciones confían realmente en ella
La Configuración de seguridad de red de Android fija el límite de la aplicación. Las aplicaciones con objetivo API 24 o posterior confían por defecto en las autoridades del sistema, mientras que las aplicaciones con objetivo API 23 o anterior también confían por defecto en las autoridades añadidas por el usuario, y una aplicación puede nombrar sus propias anclas, añadir reglas por dominio o excluirse por completo de los valores por defecto.
Así que «instalado en el teléfono» no describe la confianza HTTPS de cada aplicación: una autoridad añadida por el usuario puede ser respetada por una aplicación antigua, ignorada por una actual y confiada explícitamente por una aplicación que trae sus propias anclas. Si la autoridad se instaló para Wi-Fi de trabajo, un servicio web privado o una inspección aprobada, la pregunta útil es qué aplicaciones y perfiles dependen de ella. La guía de Configuración de seguridad de red es la referencia sobre hasta dónde llega una autoridad instalada en una aplicación dada, y es la parte que casi todos los resúmenes de esta advertencia omiten.
Paso 5: decide, y luego anota el dueño y el plan de salida
Si la autoridad es esperada, documenta quién la instaló, qué conexiones dependen de ella y cómo se retirará. Confiar en una autoridad es una decisión importante incluso cuando no hay interceptación hoy, porque la confianza es lo que hará posible la interceptación después.
Si no es esperada, investiga a través del dueño del dispositivo o del servicio antes de introducir datos sensibles en ese teléfono. Si está obsoleta, elimina ese elemento concreto a través de quien lo instaló, tras comprobar de qué depende, y nunca empieces borrando todas las credenciales. Ocultar la advertencia cambia la pantalla y nada más. Una clave privada o un perfil completo nunca deben subirse a un servicio público de comprobación de certificados para resolver la duda.
Antes de salir de la pantalla quieres tres respuestas: quién la instaló, qué conexiones dependen de ella y cómo se retira.