Post actualizado el día octubre 28, 2026 by DeiviSanzPlay
Antes de comparar: qué significa «privacidad» en una VPN
La mayoría de comparativas se centran en velocidad y precio. Para privacidad real hay tres cosas que importan más: la política de registros (y si ha sido auditada), la jurisdicción donde opera el proveedor y si la app filtra DNS o IPv6 cuando se cae el túnel. Un servicio rápido con logs de conexión no protege nada.
En esta guía no vas a encontrar un ranking cerrado. Vas a encontrar un método de configuración que puedes aplicar a casi cualquier proveedor serio, con ejemplos de ajustes concretos y de cuándo ese ajuste falla.
Paso 1: elige el protocolo antes de instalar nada
Instalar la app y pulsar «conectar» es el error más común. El protocolo determina qué tan expuesto queda tu tráfico y cuánto rinde la conexión.
- WireGuard (o su implementación propia, tipo NordLynx o similar): rápido, código moderno y pequeño. Buen equilibrio para uso diario. Limitación: no ofusca el tráfico por sí mismo, así que en redes que bloquean VPN puede no conectar.
- OpenVPN UDP: maduro y muy compatible. Más lento que WireGuard en móvil, pero fiable en routers y dispositivos viejos.
- IKEv2/IPSec: buena reconexión al cambiar de WiFi a datos móviles. Útil en portátil que se mueve mucho.
- Obfuscados (Stealth, Shadowsocks, OpenVPN sobre TCP 443): para redes restrictivas. Sacrifican velocidad de forma notable.
Ejemplo concreto: en una red de oficina que bloquea WireGuard por puerto UDP, cambiar a un perfil obfuscado por TCP 443 suele resolver la conexión, pero la velocidad puede caer a la mitad. Si tu prioridad es descargar archivos grandes, ese perfil no te sirve.
Paso 2: activa el kill switch y compruébalo de verdad
El kill switch corta el tráfico si el túnel cae. Casi todas las apps lo tienen, pero muchos usuarios lo activan y nunca lo prueban.
- Conecta la VPN y confirma tu IP pública en un servicio de comprobación.
- Corta manualmente la conexión (modo avión en móvil, o desactivando la interfaz VPN desde el sistema).
- Intenta cargar una web. Debe fallar. Si carga, el kill switch no está funcionando o solo cubre parte del tráfico.
- Repite la prueba con DNS: visita una página de test de fuga DNS y verifica que el resolver mostrado sea el del proveedor, no el de tu operadora.
Aquí aparece una limitación real: en algunos sistemas operativos el kill switch solo actúa sobre la app de la VPN y no sobre todo el dispositivo. Si necesitas protección total a nivel de sistema, la solución pasa por configurar la VPN en el router o usar un cortafuegos por software.
Paso 3: DNS, IPv6 y WebRTC
Tres fugas clásicas que ninguna comparativa suele detallar:
- DNS: activa el DNS del proveedor dentro de la app. Si tu sistema tiene DoH o DoT configurado con otro resolver, puede saltarse el de la VPN. Revisa qué resuelve realmente.
- IPv6: muchas VPN solo tunelizan IPv4. Si tu operadora da IPv6 nativo, parte del tráfico puede salir sin pasar por el túnel. Opciones: desactivar IPv6 en el sistema o elegir un proveedor que lo soporte dentro de la VPN.
- WebRTC en navegador: puede revelar tu IP local aunque la VPN esté activa. En Firefox se controla con media.peerconnection.enabled; en Chrome hay extensiones, pero la opción más limpia es usar un navegador con contenedores o perfiles separados.
Paso 4: configuración por dispositivo
Ordenador de escritorio
Instala el cliente oficial, elige WireGuard u OpenVPN, activa kill switch y DNS del proveedor, y desactiva el arranque automático si no quieres que la VPN esté siempre encendida. Para trabajo remoto, algunos proveedores permiten dividir el túnel (split tunneling) para que solo el tráfico corporativo pase por la VPN. Útil, pero mal configurado puede filtrar datos que creías protegidos.
Móvil
Aquí el punto crítico es la reconexión. Activa «conectar al iniciar» y «siempre activa» si tu proveedor lo permite. En iOS, la VPN bajo demanda funciona bien; en Android, revisa que la app tenga permiso para excluirse de la optimización de batería, o el sistema la matará en segundo plano. Limitación: en algunos Android muy agresivos con la gestión de energía, la VPN se cae y no se reconecta hasta que abres la app.
Router
Configurar la VPN en el router protege todos los dispositivos de la casa, incluidas televisiones y consolas. A cambio, pierdes la flexibilidad de cambiar de servidor rápido y la velocidad del router puede convertirse en el cuello de botella. Un router doméstico con WireGuard suele quedar muy por debajo de la velocidad del cliente en un PC.
Paso 5: verificación final con pruebas objetivas
Después de configurar, haz estas comprobaciones y anota los resultados:
- IP pública distinta a la real y coherente con el país del servidor elegido.
- Test de fugas DNS sin resultados de tu operadora.
- Test de fugas IPv6 sin dirección visible.
- WebRTC sin IP local expuesta.
- Velocidad medida en tres momentos distintos del día.
Un ejemplo de mi propia experiencia: tras configurar un perfil obfuscado para una red que bloqueaba UDP, el test de fugas DNS seguía mostrando el resolver de la red. El problema no era el proveedor, sino que el sistema tenía DoH activado con un resolver externo. Desactivarlo y dejar que la VPN gestionara el DNS resolvió la fuga. Sin hacer el test, habría seguido creyendo que todo estaba cubierto.
Qué no resuelve una VPN
Una VPN cifra el tráfico entre tu dispositivo y el servidor del proveedor. No te hace anónimo. No evita que las webs te identifiquen por cookies o huella del navegador. No protege si el proveedor registra metadatos. No sustituye a una buena higiene de cuentas: contraseñas únicas, segundo factor y revisiones periódicas de sesiones abiertas.
Y no funciona igual para todos: si tu amenaza es un operador que quiere ver qué webs visitas, una VPN decente ayuda. Si tu amenaza es un adversario con capacidad de correlacionar tráfico en ambos extremos, la VPN por sí sola no basta.
Cómo comparar proveedores con criterio
En lugar de fiarte de una lista, revisa estos puntos en la documentación pública de cada proveedor:
- Política de registros clara y, si es posible, auditada por terceros independientes. Sin auditoría, la promesa es solo marketing.
- Jurisdicción y legislación aplicable sobre retención de datos.
- Soporte real de WireGuard, kill switch y DNS propio.
- Precio total, incluyendo renovación, no solo la oferta inicial.
- Historial de incidentes y cómo los comunicaron.
Fuentes de referencia habituales: documentación técnica de los propios proveedores, informes de auditoría publicados, guías de organismos de privacidad y análisis independientes de seguridad. Contrasta siempre al menos dos fuentes antes de decidir.
Resumen operativo
Elige protocolo según la red, activa y prueba el kill switch, cierra fugas de DNS e IPv6, ajusta por dispositivo y verifica con tests objetivos. La comparativa útil no es la que te dice cuál es «la mejor», sino la que te permite comprobar tu propia configuración. Y recuerda: ninguna configuración garantiza resultados absolutos; cada red, dispositivo y proveedor introduce variables que solo se detectan probando.
Perfiles verificables: Sitio web
Publicado el 28 de October de 2026. Última revisión: 28 de October de 2026.
