Cerrar la sesión de una aplicación VPN no es lo mismo que eliminar un relé

Un usuario cierra la ventana de la VPN, ve el icono de desconectado y da el asunto por terminado. Si el producto instalado también reenvía el tráfico de otras personas, ese icono respondió a una pregunta mucho más pequeña que la que se plantea. Tras un solo botón de desconexión hay tres resultados distintos, y solo uno de ellos trata de tu propia sesión. Abórdalos en orden, porque cada uno tiene pruebas distintas y un responsable distinto.

Tres resultados se esconden tras un solo botón de desconexión

El final de tu propia sesión es el resultado más estrecho: el cliente deja de transportar el tráfico que elegiste y el estado del túnel vuelve a la inactividad. El final de la participación en el reenvío es un suceso distinto, porque afecta a un componente que atiende peticiones para otra persona y a la autorización que lo permite. El tratamiento de los registros almacenados es un tercer suceso por completo, ya que implica información que el proveedor ya guardaba por su parte.

Esos tres no comparten un interruptor. Desinstalar una aplicación local no borra un registro remoto, y eliminar una cuenta no detiene necesariamente un componente en segundo plano que se ejecuta en un dispositivo que olvidaste. Cada resultado tiene además su propio responsable: tú, el administrador del dispositivo o el equipo de soporte del proveedor. Confundirlos produce la situación conocida en la que todos creen que el trabajo está hecho y una de las tres tareas sigue abierta.

La confusión es comprensible, porque los tres se comunican a través de la misma interfaz. Un icono de la bandeja solo puede describir el estado que conoce el cliente, y un cliente al que se le ha dicho que deje de mostrar un estado conectado no tiene motivo para mencionar un proceso auxiliar. Trata el icono como una luz de estado de un subsistema, no como un inventario.

Qué promete realmente la política publicada

Algunos productos gratuitos dicen claramente que usarlos puede situar un dispositivo en una red de pares. El aviso de privacidad de Hola del 14 de abril de 2026 es un ejemplo: advierte que quienes usan el nivel gratuito de sus servicios listados pueden acabar actuando como par en la red de Bright Data. Es una declaración condicional publicada por el proveedor, no la prueba de que un dispositivo o una edición concreta esté reenviando peticiones ahora mismo.

Lee esa declaración por sus condiciones: qué productos, qué ediciones, qué plataformas y a qué se dice que el usuario consiente. Una frase que cubre «los productos y servicios listados» no cubre automáticamente una compilación más antigua, un nivel de pago o una extensión de navegador que se ha retirado de la tienda.

Tampoco te dice qué conserva el operador cuando cesa la participación. Los plazos de conservación, los registros de cuenta y los registros de peticiones se rigen por secciones separadas del mismo documento, y a menudo por un equipo distinto del que entrega el cliente.

Comprueba el componente local, no la ventana

Empieza por lo que está instalado y en ejecución en el dispositivo, porque esa es la parte que puedes verificar. Un cliente VPN que usa una extensión del sistema, un demonio auxiliar o una extensión de navegador deja más de un artefacto, y la aplicación visible suele ser el menos informativo de ellos.

launchctl list | grep -i -E 'vpn|relay|peer'
ss -tunp state established | grep -v 127.0.0.1

El primer comando enumera las tareas de launchd cuyas etiquetas mencionan los términos relevantes, y ahí es donde aparece un auxiliar en segundo plano en macOS. El segundo imprime los sockets establecidos con sus procesos propietarios en Linux, de modo que una conexión que no iniciaste tiene la oportunidad de mostrarse. Ninguno de los dos comandos es una auditoría completa y ninguno demuestra intención, pero ambos son mejores que leer un icono de la barra de menús.

En Windows el primer paso equivalente es una lista de servicios y procesos en lugar de una consulta a launchd, y en cualquier plataforma el inventario de extensiones de navegador importa cuando el producto incluye una. Anota lo que encuentres con marcas de tiempo antes de cambiar nada, porque el estado posterior a la eliminación no se puede reconstruir después.

Una dirección de salida compartida no es un inventario

Un panel que muestra una dirección que reconoces no demuestra que un dispositivo concreto esté reenviando tráfico. Para que una petición atraviese tu máquina tiene que existir una ruta operativa que realice el reenvío, y una ventana de aplicación inactiva no es prueba de esa ruta. Lo contrario también es cierto: una ventana sin usar no dice nada sobre componentes que se ejecutan sin ventana.

Las direcciones son identificadores débiles en general. El NAT de nivel de operador, las salidas de oficina y las salidas compartidas de proveedores ponen a muchos clientes detrás de una sola dirección pública, así que una dirección vista en un registro puede pertenecer a cualquiera de ellos.

Cuando varios dispositivos comparten una salida, separa el que se retira de los demás antes de sacar conclusiones. Eso significa enumerar los dispositivos autorizados y sus propios registros de conexión, no emparejar una sola dirección con una sola máquina.

Cierra el círculo con pruebas, no con una herramienta de limpieza

Usa el proceso oficial de exclusión o eliminación del proveedor y lleva un registro de lo que se eliminó y cuándo. Sigue los pasos documentados para el producto y la plataforma exactos, ya que las instrucciones para otra edición rara vez enumeran todos los componentes de esta.

Si la actividad continúa después de una eliminación compatible, conserva las marcas de tiempo, los nombres de proceso y los registros de conexión relevantes y luego contacta con el operador legítimo o el administrador del dispositivo. Anota lo que observaste antes de cambiar nada, porque el estado posterior a la eliminación no se puede reconstruir después. Recurrir a una herramienta de limpieza cuyo editor nadie puede nombrar convierte una pregunta sobre una dirección en un incidente real. Una incidencia de soporte con una cronología vale más que una máquina limpiada por algo que nadie puede nombrar.

Termina anotando cuál de los tres resultados completaste realmente: sesión cerrada, componente eliminado, registros tratados. Una nota que nombre uno de ellos con honestidad es más útil que una lista de verificación que afirma los tres porque el icono se volvió gris.