Qué oculta una VPN y qué deja a la vista

La afirmación de que una VPN te hace anónimo es el mito más caro de la privacidad del consumidor, porque es medio cierto y la mitad falsa es la que la gente usa. Un túnel sí oculta tu destino a la red en la que estás y sí oculta tu dirección de casa al sitio que visitas. No oculta quién eres cuando inicias sesión, qué lleva tu navegador ni qué puede observar el operador de la VPN. La pregunta útil nunca es si una VPN te oculta, sino oculto de qué observador, para qué tráfico.

El mito: un túnel es un interruptor de anonimato

Una VPN cifra el camino entre tu dispositivo y el servidor VPN y luego reenvía tus peticiones desde la dirección del servidor. Todo lo que envías por ese camino queda oculto al operador de Wi-Fi y al proveedor que está delante del túnel. Eso es un cambio real, y por eso una red de hotel ya no ve qué sitios abres. No es anonimato, porque el túnel mueve el punto de observación en lugar de eliminarlo.

La corrección importa en la práctica. Si inicias sesión en una cuenta de trabajo a través de una VPN, el sitio sigue conociendo la cuenta. Si tu navegador guarda una cookie de una red publicitaria, el túnel no la borra. Si el cliente está configurado para excluir el tráfico local, ese tráfico nunca entra en el túnel. Un candado cerrado describe el túnel, no la suma de lo que has revelado.

Qué pierde y qué conserva la red de acceso

La red de acceso, es decir, el operador de Wi-Fi o el proveedor que lleva tu conexión hasta el servidor VPN, sigue viendo que existe una conexión VPN. Puede registrar la dirección del punto final, cuándo te conectaste, cuánto duró la sesión y aproximadamente cuántos datos se movieron. El análisis de tráfico de esa forma puede ser informativo incluso cuando el contenido es ilegible, y por eso cifrado e invisible son afirmaciones distintas.

También conserva todo lo que le dijiste directamente: un inicio de sesión en un portal cautivo, un número de habitación, un pago por el acceso. Y puede seguir viendo DNS si el cliente o el resolutor del sistema envía consultas fuera del túnel. Esa fuga es habitual en configuraciones de túnel dividido y en dispositivos que conservan el servidor DNS del router o del operador. Comprueba el resolutor en uso mientras estás conectado, no solo la dirección de salida.

Qué sigue reconociendo el sitio web

El sitio ve la dirección de salida del servidor VPN, no tu dirección de casa, en las conexiones que usan el túnel. Ese es todo el cambio a nivel de IP. Lo que ve más allá de la dirección no ha cambiado: la cuenta con la que inicias sesión, las cookies que puso antes, el navegador y el sistema operativo que presentas y el momento de tus peticiones. Un sitio que ya te conoce no se vuelve un desconocido porque haya cambiado la dirección de origen.

La ubicación merece su propia línea. Un sitio que pide la ubicación al navegador recibe una respuesta controlada por el permiso del navegador, no por la VPN. El GPS del teléfono es independiente del túnel. Por eso una dirección que se geolocaliza en otro país mientras el mapa sigue mostrando tu ciudad no es un fallo de la VPN; son dos canales de ubicación distintos que no coinciden.

La huella digital es la otra mitad. El tamaño de la pantalla, las fuentes, la zona horaria, el idioma y la salida de canvas pueden distinguir navegadores incluso cuando la dirección se comparte con miles de otros usuarios. Una VPN cambia una entrada de ese perfil y deja el resto intacto.

Qué puede ver el operador

El operador termina tu túnel y reenvía la petición, así que se sitúa donde antes se situaba tu proveedor. Puede ver las direcciones de destino y, sin un hello de cliente cifrado, los nombres de host que solicitas; ve las consultas DNS si usas su resolutor; ve el volumen y el momento. No puede leer el contenido de una sesión HTTPS sin interceptarla con un certificado en el que tu dispositivo confíe, y ese es un ataque distinto y más ruidoso.

La visibilidad no es la retención. Un proveedor puede ser técnicamente capaz de observar una petición y aun así no registrarla, o registrar metadatos de conexión mientras descarta el contenido. La pregunta honesta es qué obligan a guardar la política y la jurisdicción del proveedor, y una insignia de sin registros no responde a eso. Trata al operador como una parte a la que eliges confiar tus metadatos.

Qué conserva el dispositivo, con túnel o sin él

Nada del túnel llega al interior del dispositivo. El historial de navegación se queda en el navegador, las descargas se quedan en el sistema de archivos y una aplicación con acceso al micrófono o a la pantalla conserva ese acceso. El software de monitorización de la máquina puede leer datos antes de que se cifren o después de que se descifren, y por eso una VPN no es una defensa contra un punto final comprometido.

Lo mismo vale para las cuentas. Una cookie de sesión copiada del dispositivo funciona desde cualquier dirección, y una contraseña reutilizada entre sitios vincula identidades que ningún túnel separa. Si la amenaza que te preocupa es alguien que tiene el dispositivo en la mano, la VPN no la resuelve.

Prueba la cobertura que has comprado de verdad

Prueba las propiedades en las que confías en lugar de la afirmación de marketing. Con el túnel activo, comprueba la dirección pública, el resolutor DNS y la ruta IPv6. Un túnel solo IPv4 en una red de doble pila puede dejar el tráfico IPv6 completamente fuera. La guía de EFF para elegir una VPN plantea la misma pregunta como un modelo de amenaza y no como una clasificación de productos.

Después prueba el comportamiento ante un fallo. Desconecta el túnel y confirma si el tráfico se detiene o vuelve al camino directo; eso depende del ajuste del kill switch del cliente, no del nombre del protocolo. Por último, enumera las aplicaciones y los prefijos que el cliente excluye. El túnel dividido es donde viven la mayoría de las sorpresas, porque la cobertura que compraste es la que el cliente está configurado para entregar.