¿Qué es el rastreo de VPN? ¿Cómo evitar que te rastreen?

Introducción: por qué una VPN no es un "salvoconducto"

La suposición típica es: instalas NordVPN / Surfshark / un WireGuard propio, cambias tu IP de salida y "ya nadie puede saber quién eres". Es una mentalidad de la década de 2010. La tecnología de rastreo hace tiempo que superó la "capa IP":

• Detectar que "usas una VPN" es una capacidad básica de los sistemas antifraude (comprueban si la IP pertenece al ASN de un proveedor de VPN; casi todos los rangos de centros de datos de las VPN comerciales ya están marcados)
• Identificar "tu IP real anterior" solo requiere la capa IP (fugas de WebRTC / IPv6 / DNS, acceso al origen eludiendo la CDN), y basta un solo descuido para que una cookie te marque para siempre
• Identificar "qué persona concreta eres" no depende en absoluto de la IP, sino de la huella del navegador, los patrones de comportamiento y la vinculación entre cuentas
• En casos extremos, la cooperación judicial (citaciones / investigaciones transfronterizas) puede obligar a los proveedores de VPN a entregar sus registros

Dicho de otro modo, lo que te rastrea no es una única vulnerabilidad, sino la intersección de N dimensiones — tienes que defenderte en todas ellas, mientras que al rastreador le basta con acertar en cualquiera. Por eso el "anonimato total" es casi imposible desde el punto de vista de la ingeniería, pero "reducir significativamente la vinculación" sí es alcanzable, y este artículo explica cómo.

① Fugas en la capa IP: tu IP real, expuesta directamente

El caso más clásico y más común. Una VPN solo toma el control del tráfico HTTP / TCP del navegador, pero los siguientes canales pueden saltarse la VPN por completo y entregar directamente la IP pública de tu casa a la otra parte:

1.1 Fugas de WebRTC

El WebRTC integrado en el navegador (que se usa para videollamadas) utiliza activamente el protocolo STUN para descubrir la IP pública que ve, y JavaScript puede leer ese valor directamente. Los proxies HTTP / SOCKS solo interceptan TCP, mientras que STUN va por UDP: se salta por completo el proxy, sale por el adaptador de red de tu casa y expone tu IP real.

Defensa: Usa una VPN en modo TUN (Mihomo / Clash Premium / WireGuard TUN / Tailscale), que toma el control de todo el tráfico TCP+UDP en el adaptador de red virtual. Si solo usas un proxy en el navegador, restringe WebRTC con una directiva en lugar de eliminarlo: en Chrome / Edge, la directiva empresarial WebRtcIPHandling = disable_non_proxied_udp; en Brave, activa "Disable Non-Proxied UDP"; en Firefox, about:config → media.peerconnection.ice.proxy_only_if_behind_proxy = true.

Pruébalo: Usa nuestro detector de fugas /leak para comprobar si la IP pública que devuelve WebRTC STUN coincide con tu salida HTTP.

1.2 Fugas por doble pila IPv6

Tu VPN solo hace de proxy para IPv4, pero tu banda ancha doméstica también tiene IPv6: el navegador prefiere salir por IPv6 y se salta la VPN por completo. Es una vulnerabilidad muy común entre los usuarios de banda ancha doméstica de China Telecom.

Defensa: Usa una VPN que cubra tanto IPv4 como IPv6, o desactiva IPv6 a nivel del sistema / navegador. En Windows, edita el registro; en macOS, usa networksetup.

1.3 Fugas de DNS (se tratan aparte, ver ② Capa DNS)

1.4 Acceso al origen eludiendo la CDN

Si un sitio usa una CDN como Cloudflare, en realidad te conectas a la IP de un nodo perimetral de la CDN; pero si un atacante obtiene la IP real del servidor de origen, puede saltarse la CDN y acceder directamente. Lo contrario también vale para los rastreadores: si el nodo de la CDN al que te conectas está en China, pero algún recurso estático de la misma sesión se obtiene directamente del origen (sin pasar por la CDN), tu IP real acaba en los registros de acceso del servidor de origen.

Defensa: Este caso límite depende sobre todo de que la configuración del propio sitio sea estricta; el usuario puede hacer poco por su parte.

② Fugas en la capa DNS: los dominios que consultas revelan tu identidad

Tu tráfico IP pasa por la VPN, pero las consultas DNS pueden seguir yendo por tu ISP local. Esto puede provocar fugas de dos maneras:

2.1 El país del resolutor no coincide

La salida de tu VPN está en los Países Bajos, pero cuando tu sistema hace consultas DNS, el resolutor stub usa el DNS configurado por tu proveedor de banda ancha doméstica (China Telecom). Cuando el servidor de nombres autoritativo recibe la consulta, ve una IP de origen de China Telecom, lo que revela tu ubicación real a los operadores de todos los dominios que visitas.

2.2 Fugas de subred por ECS

Los resolutores recursivos públicos (el 8.8.8.8 de Google tiene EDNS Client Subnet activado por defecto) reenvían tu subred /24 real al servidor autoritativo de destino para el "enrutamiento de CDN basado en la ubicación". Pero en ese momento tu subred queda revelada a la autoridad remota, con más precisión que la IP de salida del resolutor: apunta a la subred de tu propio barrio.

Defensa:

• Obliga a tu cliente VPN a usar un DNS personalizado: usa el DNS del propio proveedor de VPN (NordVPN / Mullvad / ProtonVPN lo ofrecen)
• No permitas fugas de consultas DNS fuera del túnel: el resolutor vería tu IP real, que no coincidiría con tu tráfico web y te delataría al instante. Ten en cuenta que 1.1.1.1 / 8.8.8.8 son anycast: mientras la consulta vaya por el túnel, llegará a un nodo cercano a la salida de tu VPN y no revelará nada. El verdadero problema es que el sistema se salte el túnel para llegar a ellos directamente
• Si eliges un resolutor recursivo público, asegúrate como mínimo de que esté en el mismo país que la salida de tu VPN
• Usa DoH (DNS sobre HTTPS) para cifrar obligatoriamente las consultas DNS y evitar que el ISP las inspeccione como intermediario (man-in-the-middle)

Pruébalo: Nuestro detector de fugas de DNS /leak usa su propio servidor de nombres autoritativo y enruta de verdad las consultas de tu navegador hacia nuestro servidor, para que veas la IP del resolutor + la subred ECS. Para conocer el mecanismo completo, consulta la guía completa de resolutores de DNS público.

③ Huella TLS (ja3 / ja4): quién es tu cliente

Durante el handshake de HTTPS, el cliente envía un paquete ClientHello al servidor con las versiones de TLS, los conjuntos de cifrado, las extensiones, las curvas elípticas y demás elementos que admite. El orden y el contenido exactos de estos campos varían en cada cliente (Chrome 124 frente a Firefox 123 frente a curl frente a Python requests), y la huella combinada resultante es lo que en el sector se conoce como ja3 / ja4.

Los sitios pueden registrar la huella ja3 / ja4 de cada visitante y compararla con el User-Agent: si tu UA dice ser Chrome 124 pero tu huella ja3 coincide con Python requests, se trata de tráfico de bots o de scripts. También es una de las señales principales que usan servicios antibots como Cloudflare y Akamai.

Defensa:

• Usa un navegador convencional auténtico (Chrome / Firefox / Edge); no ejecutes Selenium / Puppeteer tal cual, porque sus huellas ja3 son extremadamente reconocibles
• Cuando necesites automatizar, usa undetected-chromedriver / Playwright + curl-impersonate
• No instales extensiones "antihuella" en el navegador — en realidad hacen que tu ja3 sea más reconocible que el de un Chrome normal, lo que equivale a marcarte tú mismo como alguien que usa herramientas antirrastreo

④ Huella HTTP / del navegador: Canvas / WebGL / fuentes / zona horaria

Las huellas expuestas en la capa de aplicación son más ricas y más difíciles de contrarrestar:

Trampa clave: Que tu zona horaria / idioma / fuentes no coincidan con el país de salida de tu VPN es una señal muy clara de "uso de VPN". Tu VPN sale por EE. UU., pero la zona horaria del navegador sigue siendo Asia/Shanghai y el idioma es zh-CN: se nota al instante.

Defensa:

• "Parecer normal" — no instales extensiones antihuella en el navegador: eso en sí ya es anómalo. La huella de un Chrome corriente de un usuario normal es el mejor disfraz.
• Separa los usos: usa tu navegador principal para tu identidad real y un perfil de navegador aparte / una VM / Tails / Whonix para las actividades que requieren privacidad
• Mantén coherentes el país de salida de tu VPN, la zona horaria del sistema y el idioma del navegador; como mínimo, evita la fuga de esta señal tan delatora: "soy un usuario chino conectado a través de una VPN de EE. UU."
• El Navegador Tor está diseñado precisamente para esto: todos los usuarios parecen idénticos, a costa del rendimiento

Pruébalo: Usa nuestro detector de huella del navegador /fingerprint para ver el grado de singularidad de las 14 dimensiones de tu huella.

⑤ Huella de la capa TCP/IP: Initial Window / TTL / MTU

Incluso antes de llegar a la capa de aplicación, ya existen huellas en la capa de red. La implementación de la pila TCP/IP de cada sistema operativo difiere ligeramente:

• TTL inicial: Windows usa 128 por defecto; Linux, 64; macOS, 64; iOS, 64
• Ventana inicial de TCP (Initial Window Size): Windows, 64 KB; Linux, 14600; macOS, 65535
• Orden de las opciones TCP: cada sistema operativo envía las opciones MSS / SACK / Timestamp en un orden distinto
• MTU: la banda ancha doméstica normal usa 1500; PPPoE, 1492; los túneles VPN, normalmente 1380-1450

La herramienta p0f (huella pasiva del sistema operativo) aprovecha precisamente estos campos para determinar el sistema operativo del otro extremo (peer) sin enviar ningún paquete de sondeo. Los sitios pueden recopilar esta información y compararla con el UA que declaras: si tu UA dice Mac Safari, pero el TTL es 128 y la Initial Window coincide con los valores de Windows, en realidad usas Windows con un UA de Mac falsificado.

La MTU también puede ser una fuga que revela que "usas una VPN": como los túneles VPN suelen tener una MTU inferior a 1500, el tráfico se distingue claramente del de la banda ancha nativa.

Defensa:

• Usa una VPN en modo TUN: toma el control la pila del propio servidor VPN, así que la huella TCP/IP que ven los sitios es la del servidor VPN, no la de tu cliente
• OpenVPN / WireGuard usan el modo TUN por defecto; los proxies HTTP/SOCKS no: esa es la diferencia clave
• No fuerces la MTU del túnel a 1500 solo para "parecer menos una VPN": la propia encapsulación del túnel consume decenas de bytes, y pasarse provoca fragmentación o un agujero negro de PMTUD (los paquetes grandes se atascan y las páginas cargan a medias). Mantén el valor predeterminado de tu cliente (WireGuard 1420, OpenVPN automático)

⑥ Análisis de comportamiento: horarios del tráfico + hábitos de escritura

Es la dimensión más difícil de contrarrestar, porque no depende de ninguna huella técnica, sino que se basa por completo en el aprendizaje automático:

• Distribución de los horarios de acceso: si tus horas de conexión diarias coinciden en varias cuentas, se trata de la misma persona
• Trayectoria del cursor / velocidad de desplazamiento / ritmo de tecleo: son únicos de cada persona, y los bancos / sistemas antifraude los recopilan
• Duración de las sesiones / patrones de navegación: tus hábitos de navegación son únicos
• Rasgos del texto que escribes: tu tasa de errores al escribir, tus preferencias de vocabulario y tu gramática

Defensa:

• Separa estrictamente los horarios de uso entre cuentas: no inicies sesión en la "cuenta A + cuenta B" al mismo tiempo; espácialas varias horas
• Cuando de verdad necesites anonimato, cambia de dispositivo (del portátil al teléfono / tableta)
• Es imposible defenderse por completo, pero puedes dificultar notablemente la vinculación

⑦ Registros del proveedor de VPN + jurisdicción legal

Las VPN tienen aquí su pecado original. Confías en que el proveedor de VPN no guarda registros, pero en realidad:

• Los proveedores de VPN comerciales pueden ser adquiridos (Avast fue adquirida por NortonLifeLock → cambió su política de privacidad)
• Un proveedor puede recopilar registros en secreto (en 2017, PureVPN entregó registros de usuarios al FBI, pese a que antes afirmaba ser "no-log")
• Las citaciones judiciales pueden obligar a cooperar: EE. UU. / Reino Unido / Canadá / Australia / Nueva Zelanda (Cinco Ojos) aceptan investigaciones transfronterizas
• Nueve Ojos = Cinco Ojos + Dinamarca / Francia / Países Bajos / Noruega
• Catorce Ojos = Nueve Ojos + Alemania / Bélgica / Italia / España / Suecia

Criterios de elección:

Una VPN propia te da más control, pero los proveedores de VPS (Vultr / Hetzner / DigitalOcean) guardan sus propios registros y también pueden colaborar con las investigaciones. El anonimato real requiere comprar un VPS con efectivo / criptomonedas y registrarlo con una identidad falsa, lo que supone mucho trabajo de ingeniería.

⑧ Vinculación entre cuentas: varias cuentas que comparten cookies / huellas

Después de iniciar sesión en la cuenta A, el navegador guarda cookies / localStorage / caché. Si cambias a la cuenta B en el mismo navegador, el sitio sabe al instante que eres la misma persona.

• Misma huella + inicio de sesión en varias cuentas en poco tiempo = vinculación entre cuentas
• Rastreo con cookies entre sitios (aunque los navegadores modernos empiezan a restringirlo)
• Scripts de seguimiento de terceros (Google Analytics / Facebook Pixel) que enlazan la actividad entre sitios

Defensa:

• En Firefox, la extensión Multi-Account Containers aísla las cookies / el almacenamiento de cada cuenta
• Varios perfiles en Chrome (avatar arriba a la derecha → añadir un usuario)
• Medida extrema: ejecuta cada cuenta en su propia máquina virtual, y cada VM con una salida VPN distinta

Tabla resumen de estrategias de defensa

Consejos prácticos: ¿cuánto anonimato necesitas realmente?

Antes de decidir hasta dónde deben llegar tus defensas, averigua primero quién te está rastreando realmente:

• Anunciantes + intermediarios de datos (intensidad baja): uBlock Origin + rechazar las cookies de terceros + una VPN normal bastan para la gran mayoría de los escenarios cotidianos
• Sistemas antifraude (intensidad media): lo anterior + DNS de la VPN coherente + zona horaria e idioma que coincidan + perfiles de navegador aislados
• Competidores comerciales / scrapers web (intensidad media-alta): lo anterior + modo TUN + un navegador auténtico (sin rastros de Selenium) + limpiar las cookies residuales
• Gobiernos / investigaciones transfronterizas (intensidad extrema): todo lo anterior es solo la base. Necesitas Tor / Whonix / Tails / un VPS pagado en efectivo + XMR + dispositivos totalmente aislados

La mayoría de la gente solo necesita los niveles 1-2; a partir del nivel 3 es terreno de especialistas. No compliques tu uso diario con un anonimato que en realidad no necesitas.