WiFi que no controlas: piso compartido, alquiler turístico y coworking

En España es normal pasar buena parte de la semana conectado a redes que no administras: la habitación alquilada en Madrid o Barcelona, el apartamento turístico de agosto, el coworking, la casa de los padres. En todas ellas hay alguien con la aplicación de su operador en el móvil, y con ella una lista de dispositivos conectados, con nombre y hora, sin necesidad de saber nada de redes.

Esta guía separa lo que esa persona ve de verdad, lo que no puede ver y qué conviene hacer en los primeros cinco minutos de conectarte. No va de desconfiar de tu compañero de piso: va de que una red compartida registra cosas por diseño, y conviene saber cuáles.

Lo que ve quien administra el router

• La lista de dispositivos. Dirección MAC, nombre anunciado, hora de conexión y de desconexión, concesiones del DHCP. Con eso se reconstruye a qué hora llega y se va cada persona de la casa.
• Las consultas DNS. Si tus equipos usan el DNS que reparte el router —lo normal por DHCP—, cada dominio que visitas pasa por él. Algunos routers de operador guardan registro, y las funciones de control parental lo convierten en un listado explícito por dispositivo.
• Las direcciones IP de destino, el volumen de datos y el horario de cada conexión, aunque el contenido vaya cifrado.
• El nombre del servidor en el saludo TLS (SNI), que viaja en claro al inicio de cada conexión HTTPS salvo que el sitio y el cliente usen Encrypted Client Hello, todavía minoritario.
• Los servicios que anuncias en la red local: impresoras, carpetas compartidas, AirPlay y el nombre de tu equipo por mDNS.

Lo que no ve, si el sitio usa HTTPS: el contenido de las páginas, los mensajes y las contraseñas. El resumen incómodo es que el contenido está cifrado, pero los metadatos —qué dominio, cuándo, cuánto y desde qué dispositivo— quedan al alcance de cualquiera con la app del operador abierta.

El nombre del dispositivo te identifica antes que la IP

«iPhone de Marta», «MacBook-Pro-de-Alex», «PC-DESPACHO». Ese nombre lo anuncia tu propio equipo por DHCP y por mDNS, y aparece tal cual en la lista del router y en la app del operador. En una red con seis personas, es lo que convierte «un dispositivo» en «tú».

1. 1iOS y iPadOS: Ajustes › General › Información › Nombre.
2. 2Android: Ajustes › Acerca del teléfono › Nombre del dispositivo (la ruta varía según el fabricante).
3. 3Windows: Configuración › Sistema › Información › Cambiar el nombre de este equipo.
4. 4macOS: Ajustes del Sistema › General › Compartir › Nombre del ordenador y, dentro de «Editar», el nombre de host local que se anuncia por mDNS.
5. 5Revisa además que esté activa la dirección WiFi privada (iOS) o la MAC aleatoria por red (Android): evita que la misma MAC te siga entre redes, aunque no oculta nada del tráfico.

Lo que tus equipos ofrecen sin que se lo pidas

Un portátil configurado para la red de casa llega a la red del piso compartido con las mismas puertas abiertas. Merece la pena una revisión rápida al conectarte por primera vez.

• Windows: marca la red como Red pública. Eso desactiva la detección de redes y el uso compartido de archivos e impresoras, y endurece el firewall.
• macOS: en Ajustes del Sistema › General › Compartir, deja desactivado lo que no uses —Compartir archivos, Compartir pantalla, Compartir impresoras— y activa el firewall en Red › Firewall.
• AirDrop en «Solo contactos», nunca en «Todos».
• Si desarrollas, comprueba a qué interfaz escuchan tus servicios: un servidor en 0.0.0.0:3000 es visible para todo el piso; en 127.0.0.1:3000, no.
• Desactiva la conexión automática a redes abiertas y no guardes la red del apartamento turístico cuando te vayas.

Claves compartidas y portales cautivos

En los alquileres de temporada la clave WiFi está impresa en la pegatina del router y la conocen todos los que han pasado por allí; el acceso de administración sigue a menudo con la contraseña de fábrica. Y hay un detalle técnico que casi nadie tiene en cuenta: en una red WPA2-PSK, quien conoce la clave y captura el intercambio inicial de un dispositivo en el momento en que se conecta puede descifrar el tráfico de ese dispositivo. WPA3 con SAE cierra esa vía, pero muchos routers domésticos siguen en WPA2 o en modo mixto.

• En el portal cautivo del hotel o del apartamento, no introduzcas el DNI ni datos reales si no es imprescindible; usa una dirección de correo secundaria.
• El portal necesita resolver DNS en claro para funcionar: espera a tener acceso real a internet y levanta el túnel después, nunca antes.
• Si el navegador avisa de un certificado no válido durante el portal, no lo aceptes: cierra y vuelve a empezar.
• Si eres tú quien alquila, cambia la clave entre inquilinos y ofrece una red de invitados con el aislamiento de clientes activado.

La rutina de cinco minutos

1. 1Conéctate y resuelve el portal cautivo si lo hay, sin introducir datos personales.
2. 2Marca la red como pública en Windows, o revisa en macOS que no estás compartiendo nada.
3. 3Comprueba con qué nombre se anuncia tu dispositivo.
4. 4Levanta el túnel y verifica que el DNS que responde ya no es el del router: ipconfig /all en Windows, scutil --dns en macOS, resolvectl status en Linux. Nuestra página de comprobación de fugas te dice qué resolutor y qué salida ve internet.
5. 5Antes de nada importante, confirma que no queda tráfico saliendo por la interfaz local. Si la línea del piso tiene doble pila, el punto crítico es IPv6, y eso lo explicamos en CGNAT e IPv6 en la fibra española.
6. 6Al marcharte, olvida la red para que tu equipo no vuelva a conectarse solo la próxima vez que pases cerca.

Si además notas que la red del sitio va lenta o con mucha latencia, mide antes de sacar conclusiones: la guía de cómo leer un traceroute desde España te dice si el cuello está en el WiFi del local, en su operador o en la ruta hacia tu destino.

Preguntas frecuentes