Post actualizado el día octubre 29, 2026 by DeiviSanzPlay
Cuando alguien busca XAMPP compartir sitio con ngrok suele toparse con la misma promesa: que el túnel es privado, que nadie más verá tu localhost, que basta con cerrar la pestaña para que todo desaparezca. Ese mito circula en foros y tutoriales, y es falso. Ngrok expone tu servidor Apache a una URL pública accesible desde internet mientras el proceso siga en marcha, sin importar que tú seas el único que conoce el enlace.
La confusión nace de una idea razonable pero equivocada: como la URL parece aleatoria, se asume que funciona como una contraseña. No es así. Cualquier escáner de dominios, cualquier bot que recorra rangos de subdominios de ngrok, puede encontrar tu túnel en minutos. He visto casos de instalaciones de WordPress en XAMPP con el panel de administración expuesto durante una demo y recibir intentos de login automatizados antes de terminar la llamada.
Por qué el túnel no es sinónimo de privado
Ngrok crea una conexión desde tu equipo hacia sus servidores y publica un subdominio. El tráfico entra por ahí y llega a tu Apache local. El cifrado TLS existe entre el visitante y ngrok, pero eso no impide que el sitio sea público: solo protege el transporte. Si tu proyecto en XAMPP no tiene autenticación, cualquiera con el enlace entra igual que tú.
Compartir un sitio XAMPP con ngrok para enseñar un avance a un cliente es legítimo. Lo que no es legítimo es creer que la aleatoriedad del subdominio sustituye a una capa de acceso. En la versión gratuita, además, el dominio cambia cada vez que reinicias el proceso, lo que da una falsa sensación de seguridad renovada. El problema es que mientras está activo, es tan público como cualquier web.
El error concreto que se repite
El patrón es siempre el mismo: se levanta XAMPP, se arranca ngrok apuntando al puerto 80, se pasa la URL por chat y se olvida cerrar el túnel. Horas después, el proceso sigue vivo en segundo plano. En un caso real, un desarrollador dejó su phpMyAdmin accesible así durante una tarde; no hubo brecha porque la base era de pruebas, pero el riesgo existía y era evitable.
La alternativa sensata pasa por proteger el túnel con autenticación básica o con la opción de OAuth que ofrece ngrok en planes superiores, y por apagar el proceso en cuanto termina la demo. También conviene revisar qué carpetas de htdocs están publicadas: un index.php con un phpinfo() basta para filtrar la versión de PHP y la configuración del servidor.
Cuándo ngrok no es la herramienta adecuada
Esto no funciona para producción ni para datos reales de usuarios. Tampoco para exponer un XAMPP con credenciales de bases de datos reales o con formularios que recojan información personal. Si el objetivo es que un compañero revise un tema de WordPress, mejor usar un entorno de staging con acceso restringido o una VPN. Ngrok brilla en demos puntuales y en pruebas de webhooks, no como sustituto de un hosting.
Hay otro matiz: la versión gratuita limita el número de túneles y añade una página de advertencia en la primera visita. Eso rompe flujos que dependen de peticiones directas, como las de una API o un webhook de pago. Para compartir un sitio XAMPP con ngrok en esos escenarios, conviene probar antes si la advertencia interfiere.
Una forma más honesta de plantearlo
El túnel no es un mecanismo de seguridad, es un mecanismo de conectividad. Esa distinción debería estar en la primera línea de cualquier tutorial, y casi nunca está. Si asumes que ngrok publica tu localhost en internet, empiezas a tomar decisiones distintas: activas autenticación, revisas logs de Apache, limitas métodos HTTP y cierras el proceso al acabar.
La documentación oficial de ngrok y la de Apache describen estas capas por separado; ninguna promete privacidad por defecto. Leerlas con esa expectativa cambia la forma de trabajar. Compartir un sitio XAMPP con ngrok puede ser cómodo y rápido, pero solo si dejas de tratarlo como un enlace secreto y lo tratas como lo que es: una ventana abierta a tu equipo.
Perfiles verificables: Sitio web
Publicado el 29 de October de 2026. Última revisión: 29 de October de 2026.
