¿Qué ve mi operador cuando tengo el VPN activado? Lo que queda oculto y lo que no (2026)

Respuesta corta: lo que va dentro del VPN, tu operador no puede leerlo. Pero ve que hay un VPN, a qué dirección está conectado, cuándo estuvo activo y cuántos datos pasaron por él. Lo mismo vale para el operador móvil y para quien gestiona el WiFi de la cafetería. Un VPN reduce mucho lo que se ve de ti, pero no lo deja en cero, y casi toda la confusión vive en esa diferencia.

Qué se ve sin VPN

Sin túnel, tu operador está en el camino de cada paquete. Ve la dirección de cada servidor con la hora, las consultas DNS si responde su propio resolvedor, y el nombre de la web al principio de casi cada conexión HTTPS (el campo SNI), incluso con el DNS cifrado. Encrypted Client Hello cambia esto, pero todavía está lejos de estar en todas partes. Las páginas, formularios y mensajes de una web con HTTPS no los ve.

Qué sigue visible con VPN: servidor, horarios, volumen

Con VPN, todos los paquetes van a un único servidor: la larga lista de direcciones se convierte en un solo flujo. Pero la dirección de ese servidor sigue a la vista y dice algo: las redes de centros de datos no se parecen a las de los clientes particulares. Una conexión larga desde la fibra de casa hacia una sola máquina en un centro de datos ya es un patrón reconocible.

El cifrado protege el contenido, no el sobre. El operador sigue viendo cuándo se abre y se cierra la conexión, cuántos bytes van en cada sentido y en qué ráfagas. Un flujo regular en ambos sentidos durante media hora parece una llamada; varios gigas en un solo sentido, una descarga. Qué web abriste no sale de ahí; tus horarios, sí. La fórmula honesta: un VPN oculta lo que pasa por él, no el hecho de que lo usas.

El saludo del propio túnel

Los saludos TLS de las webs que abres viajan dentro del túnel. El del túnel, en cambio, va por fuera, y lo que se lee en él depende del protocolo:

• VLESS Reality dirige el saludo a una web real de terceros y lleva su nombre: no hay un dominio tuyo que registrar. El punto débil está en otro sitio: la conexión llega a una dirección a la que ese nombre no pertenece, y eso se puede comparar.
• Hysteria2 y otros protocolos sobre QUIC: el primer paquete QUIC se protege con claves derivadas de un valor publicado en la RFC 9001. Cualquiera en el camino puede descifrarlo y leer el nombre. QUIC por sí solo no oculta el nombre.
• VLESS o Trojan sobre TLS normal con dominio propio: el dominio va en claro en el saludo; es una etiqueta permanente de tu tráfico.
• WireGuard no tiene TLS y, por tanto, tampoco nombre. Eso no lo hace invisible: su saludo son mensajes de 148 y 92 bytes con el primer byte fijo, y una regla sencilla por longitud los reconoce.

Por dónde se escapa tráfico fuera del túnel

• DNS fuera del túnel. Si el cliente no se encarga de resolver los nombres, las consultas van al resolvedor del operador, y eso es casi toda la lista de webs que el VPN debía ocultar.
• IPv6. Si el túnel solo lleva IPv4 y tu línea tiene IPv6, las webs con IPv6 se alcanzan directamente. Qué te da cada operador en España lo contamos en CGNAT e IPv6 en la fibra española.
• Excepciones. Las webs y apps que mandaste por fuera del VPN, el operador las ve como sin VPN.
• Encendido y reconexión. Mientras el túnel se levanta —al encender y tras cada cambio de red—, el tráfico va por el camino normal. Sin bloqueo ante caídas, esos segundos se ven.

Cómo lo resuelve nuestra aplicación

• Dónde estás. En «Where are you?» hay dos modos. «I am abroad»: todo el tráfico pasa por nosotros, webs rusas incluidas. «I am in Russia»: las webs rusas se abren directamente y tu operador las ve como sin VPN. Fuera de Rusia, elige «I am abroad». Por ahora la aplicación está solo en inglés y ruso.
• DNS en iPhone y iPad. Los nombres los resuelve Cloudflare por DNS-over-HTTPS a través del servidor VPN. Los de las webs que se abren directamente, el DNS público de Yandex, fuera del VPN.
• DNS en el ordenador. Los nombres los resuelven Cloudflare y Google, con las consultas a través del servidor VPN; la aplicación manda el IPv6 al túnel junto con el IPv4.
• La dirección del servidor la pide la aplicación al DNS de tu red antes de conectarse; si no, no tendría a qué conectarse. Esa consulta sí la ve tu operador.
• Caídas. En iPhone y iPad está el interruptor «Block the internet if the VPN drops»: mientras el VPN está activado, nada pasa por fuera.

El observador no desaparece, se muda

Todo lo que tu operador deja de ver lo ve otro: tu tráfico sale a internet desde el servidor VPN, y quien lo gestiona ocupa ahora el lugar del operador. Por eso la pregunta «¿qué ve mi operador?» siempre va junto a «¿qué ve el servicio VPN?». Qué ve una red WiFi que no controlas, en WiFi de piso compartido, alquiler turístico y coworking.

Qué debe conservar tu operador lo decide la ley. En España, la Ley 25/2007 obliga a los operadores a guardar durante doce meses los datos de tráfico de las comunicaciones, entre ellos la dirección IP asignada; en América Latina cada país tiene su propia norma. Con VPN, esos datos describen una conexión al servidor VPN, no las webs visitadas.

Cómo comprobar tu conexión

1. 1Activa el VPN y abre nuestro test de fugas: muestra qué dirección y qué país ven las webs, si hay fuga por WebRTC y la zona horaria. El DNS todavía no lo comprueba.
2. 2Comprueba el IPv6 en el ordenador con curl -6 https://ifconfig.co. Si sale la dirección de tu casa, el IPv6 se salta el túnel; un error de conexión significa que no hay IPv6, y eso también está bien.
3. 3Comprueba la reconexión: apaga y enciende el WiFi y abre el test enseguida. Es en esos segundos donde se ve si funciona el bloqueo ante caídas.
4. 4Repite la comprobación cuando cambies de cliente, actualices el sistema o cambies de línea, no cada semana.

Preguntas frecuentes