¿Puede alguien ver tu IP en una aplicación de chat? Qué sabe cada observador

«¿Con quién hablo?» son dos preguntas en una sola frase. Una trata de la cuenta que escribió el mensaje, la otra de la máquina en el extremo opuesto de la conexión de red que tu cliente mantiene realmente. En un chat retransmitido casi nunca son la misma entidad, y esa diferencia explica la mayor parte de la confusión sobre qué oculta un VPN y qué no a la persona a la que escribes. Si aciertas con la topología, la pregunta sobre la privacidad se vuelve contestable en lugar de emocional.

Tu cliente habla con el servicio, no con la otra persona

Piensa en una aplicación de chat de texto en la que cada participante se conecta al servicio y el servicio entrega mensajes entre cuentas. Tu cliente mantiene una conexión con el servicio; el otro participante mantiene una conexión separada con el mismo servicio. El mensaje viaja de su cliente al servicio y del servicio al tuyo, lo que significa que tu par de transporte es un extremo del servicio y no su dispositivo.

Alex's client  ->  chat service  ->  your client

Todo lo que sigue sale de ese único diagrama. Mirar tu propia conexión identifica el servicio, no a Álex. Mirar la conexión de Álex identifica el servicio desde el otro lado. Ninguna de las dos observaciones es, por sí sola, un registro a nivel de paquete del dispositivo de la otra persona, y ninguna cantidad de inspección de tu propio tráfico la convierte en uno.

Observadores distintos recogen pruebas distintas

El servicio está en una posición más fuerte que cualquiera de los participantes porque termina ambas conexiones y además sabe qué cuenta posee cada una. Qué conserva, cuánto tiempo lo guarda, qué registros une y a quién se los revela son preguntas separadas con respuestas separadas, y ninguna de ellas se responde con «la aplicación está cifrada de extremo a extremo».

Tú, como destinatario, estás en una posición débil para los hechos de red pero fuerte para los hechos de contenido: el texto del mensaje, el nombre mostrado, todo lo que el remitente escribió o adjuntó. Un remitente que escribe su propia dirección la ha revelado, y esa revelación no es una observación de red aunque se lea como una.

Si Álex se conecta mediante un VPN, el servicio puede ver la dirección de salida de esa conexión en lugar de la dirección de casa de Álex. Eso es una afirmación sobre lo que ve el servicio. No significa que la dirección de salida se te entregue, y desde luego no significa que tu propia conexión quede anonimizada por la elección de transporte de Álex.

Cuando la aplicación es realmente entre pares

El modelo de retransmisión es un modelo, no una ley. Algunas funciones de mensajería establecen rutas directas entre clientes, por ejemplo un canal de datos en el navegador negociado mediante un servidor de señalización, o un modo de transferencia de archivos que conecta los dos dispositivos para evitar retransmitir datos voluminosos. En esos casos el par de transporte es de verdad el dispositivo del otro participante, y el análisis de observadores cambia por completo.

La etiqueta amistosa de una aplicación no basta para decirte en cuál de los dos casos estás. «Mensaje directo» describe quién lo lee, no cómo se transporta, y una función de llamada o de compartir pantalla dentro de la misma aplicación puede usar una topología distinta de la del hilo de texto que tiene al lado. Lee la documentación del proveedor para la función concreta, o mira qué conexiones abre tu cliente mientras la usas.

La declaración de cifrado de extremo a extremo cubre quién puede leer los contenidos protegidos. No dice nada sobre qué servidores aceptan conexiones, qué metadatos ven o si existe una ruta directa, y el análisis de RFC 6973 sobre las capacidades del observador es una disciplina útil: nombra al observador y luego enumera qué puede recoger realmente.

Qué significa esto para un VPN

Un VPN cambia lo que el servicio ve de tu conexión. No cambia quién es tu par de transporte y no le da al otro participante una visión nueva de tu dirección. Esperar que un VPN te oculte a la persona a la que escribes es un error de categoría: su cliente nunca tuvo una conexión con el tuyo.

Lo que un VPN sí puede cambiar es una función de ruta directa. Si la aplicación, de otro modo, negociaría una conexión entre pares, encaminar tu tráfico por un túnel puede forzar en cambio una retransmisión, y algunas funciones se comportarán distinto o retrocederán; es un efecto real, pero va de topología, no de desaparecer de la conversación.

Después mantén las dos preguntas separadas en todo lo que anotes. Qué cuenta envió esto y qué extremo lo transportó. Responde a ambas de forma explícita, anota quién puede observar cada respuesta y deja de combinarlas en un solo veredicto sobre si un mensaje se puede rastrear.