Por qué HTTPS sigue importando cuando termina el túnel VPN

Indicador VPN verde, sensación de privacidad y, de repente, el navegador lanza un aviso de certificado en la web del banco. Nada de ese aviso mejora gracias al túnel. Una VPN protege el camino desde tu dispositivo hasta su propio servidor; HTTPS protege la petición desde tu navegador hasta el extremo TLS del sitio web. Cubren tramos distintos del viaje, y una no sustituye a la otra.

Dos túneles con dos extremos distintos

El túnel VPN termina en el servidor VPN. Más allá de ese punto, tu tráfico continúa por la internet corriente hacia el destino. El operador de la VPN ve los metadatos de la conexión, aunque no puede leer la carga.

HTTPS empieza en tu navegador y termina en el extremo TLS del sitio web. No le importa cómo llegó el paquete al servidor y no depende de que haya una VPN.

Por eso las dos protecciones se componen en lugar de competir. La VPN oculta la petición de la red local y de tu ISP hasta su salida. HTTPS la oculta de cada observador después de esa salida, incluido el propio proveedor de VPN. Ninguna cubre el hueco de la otra. Quien lo entiende deja de preguntar cuál es suficiente.

Un formulario HTTP corriente sigue siendo corriente después de la salida

Un sitio antiguo que acepta un formulario por HTTP queda desprotegido más allá del servidor VPN. El túnel lleva el formulario hasta la salida, y el resto de la ruta lo lleva en claro.

Usa la versión HTTPS auténtica u otro canal oficial para cualquier cosa sensible.

Un indicador conectado no cambia el transporte de la aplicación. El modo solo HTTPS del navegador puede ayudar a evitar una caída accidental, pero no puede arreglar un sitio que nunca ofreció TLS.

Un aviso de certificado no se cura con una VPN

Un nombre de host equivocado, un certificado caducado, un reloj del dispositivo desajustado o una interceptación pueden causar un fallo de validación. La VPN no hace inofensivo ninguno de esos casos.

Comprueba la dirección exacta y el reloj del sistema antes que nada.

Si hay una página de inicio de sesión de red, usa el flujo normal de portal cautivo de la plataforma. No concedas una excepción permanente a un sitio de cuenta sin relación porque una red de hotel te lo haya pedido.

En un dispositivo gestionado, pregunta si hay instalado un certificado de inspección. Eso cambia el acuerdo habitual de confianza y merece una explicación concreta en lugar de un encogimiento de hombros. Pregunta para qué sirve el certificado y de quién es.

El cifrado no detiene el seguimiento

La sesión lleva cookies, inicios de sesión y datos de formularios al sitio exactamente como estaba previsto. Un rastreador también puede viajar en una conexión cifrada, y la mayoría lo hace.

Una VPN cambia la ruta y la dirección de salida aparente. No cambia la identidad que aportas mediante una cuenta y no borra la cookie que te sigue entre sitios.

Mantén las protecciones del navegador que ya usas. La VPN es un añadido, no un sustituto.

Comprueba la dirección, no el indicador

Verifica el nombre de host en la barra de direcciones y el certificado que presenta el sitio. El candado significa que la conexión está cifrada hasta algún extremo; no significa que ese extremo sea el que pretendías.

Dos comandos muestran el certificado y la cadena de redirecciones:

curl -sSI https://bank.example/ | head -5
openssl s_client -connect bank.example:443 -servername bank.example < /dev/null 2>/dev/null | openssl x509 -noout -subject -dates

Si el certificado nombra otro host, detente. Si el reloj está mal, corrígelo antes de reintentar. Si una redirección te lleva a HTTP simple, trátalo como un fallo del sitio y no como una razón para desactivar la validación. El aviso del navegador existe porque la alternativa es adivinar qué extremo recibió tu contraseña.