Inicio → Protocolos y cifrado
El segundo criterio que separa un ranking de otro, dentro de la vista general sobre por qué cada comparativa de VPN da un ganador distinto, es el protocolo de conexión — y es también el criterio más envuelto en lenguaje de marketing que no dice nada verificable.
Casi todos los proveedores serios usan hoy el mismo estándar de cifrado, AES de 256 bits, junto con protocolos modernos. Llamarlo "cifrado de nivel militar" no aporta ninguna información adicional: es el mismo estándar que usa prácticamente cualquier banco o servicio en línea serio, no una característica exclusiva de un proveedor sobre otro. Cuando dos proveedores usan el mismo cifrado de fondo, la diferencia real está en el protocolo que envuelve ese cifrado, y en qué tan bien está implementado — algo que ninguna frase de marketing describe.
En la práctica, casi toda la oferta actual se reduce a tres familias de protocolo. WireGuard es el más reciente, con un código base mucho más pequeño y auditable, y en general el mejor comportamiento al cambiar de red. OpenVPN es el más probado a lo largo del tiempo, muy flexible, pero con una sobrecarga mayor que puede notarse en la velocidad. IKEv2/IPsec ofrece buen comportamiento en dispositivos móviles y una reconexión razonablemente rápida, aunque su implementación varía más de un proveedor a otro que la de los otros dos. Ninguno de los tres es "el mejor" de forma absoluta — cada uno tiene un comportamiento distinto que conviene conocer antes de asumir que el nombre del protocolo por sí solo garantiza algo.
La mayoría de las pruebas de velocidad se hacen en condiciones de laboratorio: una sola red, estable, sin interrupciones. En el uso real, el escenario más común es pasar de datos móviles a Wi-Fi varias veces al día, o moverse entre zonas con distinta cobertura. Un protocolo como WireGuard puede reestablecer la conexión de forma casi instantánea en ese escenario, mientras que una implementación más antigua de otro protocolo puede requerir una renegociación completa cada vez, algo que se siente como una desconexión aunque técnicamente no lo sea. Esta diferencia no aparece en ninguna ficha técnica, pero es la que más se nota en el día a día.
Un protocolo bien implementado no reutiliza la misma clave de cifrado para toda la sesión indefinidamente: genera claves nuevas de forma periódica, una propiedad conocida como "perfect forward secrecy". Su valor práctico es que, incluso si una clave específica llegara a comprometerse en algún momento, no expone el resto de la sesión ni sesiones anteriores. Es una de esas características que no se ve en el uso diario del servicio, pero que marca una diferencia real entre una implementación cuidada y una hecha de forma superficial.
El kill switch corta el acceso a internet por completo si la conexión VPN se interrumpe inesperadamente, para evitar que el tráfico siga circulando sin protección sin que la persona lo note. La diferencia entre una implementación real y una decorativa se nota en los detalles: un kill switch a nivel de sistema operativo bloquea todo el tráfico saliente durante el corte, mientras que uno que solo cierra la aplicación de turno puede dejar pasar tráfico de otras aplicaciones abiertas en ese momento. Esto solo se puede confirmar probándolo directamente, no leyendo la lista de funciones anunciadas.
Incluso con un túnel cifrado funcionando correctamente, es posible que las consultas DNS o el tráfico IPv6 se escapen por fuera de ese túnel si el cliente no está bien configurado, revelando exactamente la información que se buscaba ocultar. Existen pruebas gratuitas y rápidas para verificar esto directamente, y conviene hacerlas con la conexión ya activa en lugar de asumir que "si dice que protege contra fugas, protege contra fugas".
Un cliente o protocolo de código abierto puede ser revisado públicamente por cualquier especialista en seguridad, lo que reduce la dependencia de la palabra del proveedor. Un cliente de código cerrado no es automáticamente peor, pero traslada toda la confianza a la reputación de la empresa, sin posibilidad de verificación externa independiente. WireGuard, por su tamaño reducido, es particularmente más fácil de auditar por completo que protocolos más antiguos y extensos.
Algunos proveedores toman un protocolo existente, le hacen ajustes internos y lo lanzan bajo un nombre comercial propio, presentado como una innovación exclusiva. En varios casos, la base sigue siendo WireGuard u otro protocolo ya conocido, con modificaciones menores de rendimiento. Esto no es necesariamente un problema — puede incluso mejorar algún aspecto puntual — pero un nombre propietario dificulta la verificación independiente si el código no se publica abiertamente, y convierte una decisión técnica en una decisión de confianza hacia la marca. Vale la pena investigar sobre qué protocolo base está realmente construido un nombre comercial antes de darle crédito por sí solo.
En un teléfono, el protocolo también determina qué tan bien se comporta la conexión cuando la pantalla se bloquea o la aplicación pasa a segundo plano — un escenario constante en el uso diario que rara vez se prueba en una reseña. IKEv2/IPsec tiene fama de comportarse bien en este aspecto específico gracias a su diseño original pensado para redes móviles, aunque una implementación moderna de WireGuard puede igualarlo o superarlo según cómo la haya construido cada proveedor. La única forma confiable de saberlo es probarlo en el propio teléfono, con el uso habitual, durante al menos varios días.
Ninguno de estos puntos requiere conocimientos avanzados de criptografía para verificarse: la mayoría se confirma con una búsqueda puntual o con una prueba directa de unos minutos, y el resultado pesa más que cualquier cifra de "cifrado de nivel militar" repetida en la página de precios.