El wifi público es lo bastante seguro para leer noticias y lo bastante riesgoso como para no entrar a tu banco sin tomar precauciones.

Las dos cosas tienen la misma explicación: HTTPS ya cifra el contenido de casi todos los sitios, así que la persona de la mesa de al lado no puede leer tus mensajes ni robarte la contraseña; pero la red sigue viendo qué sitios visitas, tu celular sigue anunciándose, y crear una red falsa con el nombre de la cafetería toma unos minutos. Aquí va lo que de verdad se ve, los cuatro riesgos reales y seis reglas que resuelven casi todo.

Da igual si es el wifi gratis de una plaza comercial, del aeropuerto, de un hotel o de la cafetería de la esquina: todos funcionan igual.

  EN UN WIFI PÚBLICO, LA RED VE

  qué sitios abres        ✓
  cuándo y cuánto tiempo  ✓
  lo que dice la página   ✗
  tus mensajes            ✗
      └─ la VPN quita la primera línea

Qué pueden ver de ti en un wifi público

Todos los que están en la misma red comparten el mismo camino hacia el router, y el dueño de la red ve todo lo que pasa por él. Lo que se ve:

  • A qué sitios te conectas. Las consultas de DNS (la agenda telefónica de internet: nombre a dirección) y el nombre del sitio en el saludo inicial de HTTPS casi siempre viajan sin cifrar.
  • Cuándo y cuánto. La hora y el volumen de cada conexión. Una videollamada no se ve igual que un correo.
  • Tu equipo: su nombre, la marca y las solicitudes que las apps hacen en segundo plano.
  • Todo lo que no va cifrado: apps viejas, algunos aparatos inteligentes y algún sitio que todavía usa HTTP sin la S.

Lo que no se ve en sitios con HTTPS: el contenido de las páginas, los formularios, las contraseñas y los mensajes. Esa parte funciona, y es la razón por la que el wifi público ya no es el desastre de hace diez años.

  ASÍ SE VE UNA RED FALSA

  real   Cafe_Clientes   clave en caja
  falsa  Cafe_Clientes   sin clave
             └─ mismo nombre, más señal
                y más fácil de entrar
  el celular elige la más fácil

¿HTTPS lo hace seguro?

En buena parte, pero con tres huecos. El DNS: la pregunta «¿dónde está este sitio?» normalmente va sin cifrar, así que la red guarda la lista de todo lo que visitaste, y una red maliciosa puede responder con una dirección falsa. El portal: la página de «acepto los términos» que aparece al conectarte a veces carga sin cifrar, y lo que escribes ahí, tu número, tu correo o tu número de habitación, va sin protección. Y las apps: no todas usan HTTPS con el mismo cuidado que un navegador.

Los peligros reales del wifi público

La red gemela. Alguien transmite desde una laptop una red llamada «Aeropuerto_WiFi_Gratis». Los celulares eligen la señal más fuerte, te conectas y tu tráfico pasa por su máquina. HTTPS sigue protegiendo el contenido, pero el DNS y el portal son suyos.

La conexión automática. Tu celular recuerda los nombres de las redes y se vuelve a conectar a cualquiera que se llame igual, sin preguntar. De eso vive la red gemela.

Lo que dejas compartido. Archivos compartidos, AirDrop abierto a todos, la impresora compartida o un servidor de videos: todo sigue prendido cuando te conectas a la red de un extraño, y cualquiera en esa red puede ver tu equipo e intentar entrar.

Los formularios del portal. Los hoteles piden apellido y número de habitación; los aeropuertos, un número de celular. Casi nunca dicen a dónde van esos datos ni cuánto tiempo los guardan.

  QUÉ RESUELVE UNA VPN AQUÍ

  que espíen la red         resuelto
  una red falsa             resuelto
  DNS cambiado por la red   resuelto
  phishing en el portal     no
  malware que descargas     no

Cómo protegerte en un wifi público: seis reglas

  1. Pregunta cuál es la red de verdad. Una pregunta al personal elimina casi todas las redes gemelas. En el aeropuerto, usa el nombre de los letreros oficiales.
  2. Apaga la conexión automática. En iPhone, toca la (i) junto a la red y desactiva la conexión automática; en Android, abre los detalles de la red y desactívala ahí.
  3. Pasa el portal y después empieza a trabajar. Nunca escribas datos de tarjeta ni contraseñas de tus cuentas en la página del portal. Ninguna cafetería los necesita.
  4. Apaga lo que compartes. AirDrop solo para contactos, la red marcada como pública en Windows y nada de compartir archivos ni impresoras.
  5. Usa tus datos para lo delicado. La conexión con tu compañía va cifrada y otros usuarios no ven tu tráfico. El banco, con datos; los videos, con wifi.
  6. Prende la VPN antes de hacer cualquier otra cosa. Por qué, en la siguiente sección.

Después de conectarte, la revisión de privacidad del navegador te muestra lo que tu equipo le cuenta solo a los sitios, y cuál es mi IP te enseña la dirección que estás usando.

  SEIS REGLAS ANTES DE CONECTARTE

  [ ] pregunta el nombre exacto
  [ ] apaga la conexión automática
  [ ] prende la VPN primero
  [ ] no escribas de más en el portal
  [ ] olvida la red al terminar
  [ ] el banco, solo con datos

Si una red ya te dio mala espina, el orden de lo que haces importa más que el susto:

Prompt para la IA
Ayúdame a saber qué arriesgué en una red en la que
no confío.

Dónde: (café / hotel / aeropuerto / plaza).
Red: (abierta / con contraseña / con página de
acceso).
Qué hice: (revisé el correo, entré al banco, solo
leí noticias).
¿Tenía la VPN prendida?: (sí / no / no me acuerdo).
¿Me pidieron instalar un certificado o un perfil?:
(sí / no).

Dime qué fue riesgoso de verdad y qué no, y qué
hago ahora, en orden. Si el riesgo es mínimo,
dímelo claro en lugar de asustarme.

Qué resuelve una VPN en el wifi público

Con la VPN prendida, todo lo que manda tu equipo pasa por un túnel cifrado hasta el servidor de la VPN, y el DNS también, si la app lo manda por dentro, como hacen casi todas. El router de la cafetería y quien maneje una red gemela solo ven una conexión cifrada hacia una dirección: ni lista de sitios, ni DNS, ni tráfico de apps. Eso cierra los huecos que deja HTTPS.

Lo que no hace: proteger lo que escribiste en el portal, porque eso pasa antes de que exista el túnel; apagar lo que tienes compartido en tu equipo; ni cubrir los segundos en que el túnel se cae. Para eso último necesitas el kill switch (sin túnel, no hay internet) de la VPN, que bloquea el tráfico hasta que el túnel regresa en lugar de soltarlo a la red abierta. Si tu VPN se cae seguido, revisa ¿por qué mi VPN se desconecta?. Y si no tienes VPN a la mano, activar el DNS privado al menos cifra la lista de sitios.

En resumen: en un wifi público, HTTPS protege el contenido y la VPN protege todo lo demás, o sea, a dónde fuiste y cuándo. Juntos hacen que la red de un hotel o de un aeropuerto sea casi tan privada como la de tu casa.

404 VPN funciona con VLESS, y en Android usa la función «VPN siempre activada» del sistema, que no deja salir tráfico mientras se reconecta si activas la opción de bloquear conexiones sin VPN. El plan gratis trae 2 GB al día sin tarjeta, y también hay app para Mac, el cliente abierto Tunnel y el bot de Telegram: página de descarga.