¿Es seguro el Wi-Fi público?

“¿Es seguro el Wi-Fi público?” son en realidad dos preguntas con un solo abrigo. Sepáralas y el pánico desaparece, porque las dos mitades tienen respuestas muy distintas.

• Tu tráfico: prácticamente resuelto. Alrededor del 95% del tráfico web va cifrado de extremo a extremo. El café no puede leer tu correo, tu sesión bancaria ni tus mensajes.
• Los datos de las apps: prácticamente resuelto. Las apps de banca, mensajería y correo fijan o verifican sus conexiones. La demo de 2012 sobre robar sesiones en Wi-Fi abierto no se reproduce en un móvil actual.
• Los avisos de certificado siguen funcionando. Una red que intenta colocarse en medio de una sesión HTTPS moderna genera una alarma, no un éxito silencioso.

• Tu identidad: peor que nunca. Ahora tienes que iniciar sesión antes de conectarte, y esa pantalla quiere un apellido, una habitación, un correo o un número de teléfono.
• Tu exposición local: igual que siempre. Te unes a una red que no puedes verificar, compartida con todos los demás en el edificio.
• Tu presencia: queda registrada. Conectarte deja un registro con hora de que un dispositivo concreto — y a menudo una persona concreta — estuvo en ese edificio.

Si solo recuerdas una cosa: el peligro se trasladó del contenido a los metadatos. El cifrado resolvió lo primero. Nada en un hotspot gratuito resuelve lo segundo.

La historia de terror del Wi-Fi público que todo el mundo repite viene de una época concreta. Hacia 2010, la mayor parte de la web no estaba cifrada, las cookies de sesión viajaban en claro, y un portátil en el mismo café podía capturarlas del aire con una extensión del navegador. Esa época terminó.

Tres cambios lo cerraron, y los tres están activados por defecto:

• Cifrado en todas partes. Los navegadores ahora tratan el HTTP sin cifrar como una excepción que hay que advertir, no como una forma normal de cargar una página.
• Reglas de transporte estrictas. Los sitios importantes le dicen a tu navegador, de antemano, que nunca acepte una versión sin cifrar de sí mismos — así que el truco clásico de degradación falla antes de empezar.
• Búsquedas de nombre cifradas. Los navegadores y móviles modernos resuelven cada vez más los nombres de dominio dentro de un canal cifrado, lo que deja fuera de la ecuación al router del local.

Cuatro cosas no se arreglaron, porque ninguna tiene que ver con el cifrado.

Nada de esto es exótico. Son las consecuencias normales de unirte a una red sin autenticar, gestionada por alguien a quien nunca has visto — que es justo lo que significa “Wi-Fi gratis”. Lo que suele costarte no es dinero: es lo que se trata en la siguiente sección.

El Wi-Fi gratis no es gratis. El precio es un identificador, cobrado en la puerta, y normalmente es uno que no puedes cambiar: tu apellido, tu habitación, tu número de teléfono real.

Esa última fila es la que merece pararse a pensar. En un país con registro obligatorio de la SIM, “verificar por SMS” no es un paso de comodidad: es una comprobación de identidad montada encima de otra comprobación de identidad. La guía de registro de SIM enumera qué países son esos, y a qué queda realmente vinculado el escaneo de tu pasaporte.

En varios países la comprobación de identidad no es una decisión de marketing del local — está escrita en las normas para poder ofrecer acceso público a internet. Como visitante te la encuentras siempre de la misma forma: el portal quiere un número de móvil local, y tú no tienes ninguno.

• China — los puntos de acceso públicos suelen verificarse con un código SMS a un número chino, que la mayoría de visitantes no puede recibir.
• Rusia — el Wi-Fi público exige identificación del usuario desde 2014, normalmente por número de teléfono.
• India — los portales de aeropuertos y cafeterías suelen enviar un código de un solo uso a un número indio.
• Emiratos Árabes Unidos — el acceso en el hotel está ligado a la habitación y al registro del huésped; algunas redes públicas piden un número local.
• Turquía, Indonesia y buena parte del Golfo — la verificación por SMS es el patrón habitual en las redes abiertas.

El resultado práctico es un círculo vicioso: necesitas internet para conseguir un número local, y necesitas un número local para tener internet. Un perfil de viaje instalado antes de salir lo esquiva, el mismo mecanismo que explora la guía de censura y apps bloqueadas. Las páginas de país de China, India y Emiratos Árabes Unidos tienen los detalles.

Una VPN es el consejo estándar, y es un buen consejo hasta donde llega. Merece la pena precisar hasta dónde es eso.

• Oculta tu tráfico al local. La red ve un túnel cifrado hacia una sola dirección en vez de una lista de destinos.
• Saca al router del local de tus búsquedas de nombre. Eso cierra los trucos de redirección que un portal hostil tendría disponibles de otro modo.
• Desactiva la red que imita a otra. Si el túnel se levanta, importa mucho menos quién opera el punto de acceso.

• No deshace lo que ya les has contado. El portal fue primero. El apellido, el número de habitación, el número de teléfono — todo eso se entregó antes de que existiera el túnel.
• No saca tu dispositivo de la red local. Sigues conectado, sigues siendo detectable, sigues compartiendo lo que sea que tu portátil esté configurado para compartir.
• No ayuda mientras está apagada. Los portales cautivos suelen negarse a cargar con una VPN activa, así que la rutina se convierte en: desconectar, iniciar sesión, olvidarte de volver a conectarla.
• No detiene el registro de presencia. La red sigue registrando que un dispositivo se conectó, cuándo y durante cuánto tiempo.

Todos los problemas anteriores empiezan en el mismo sitio: unirte a la red de otro, en sus condiciones. El dato móvil elimina ese paso. No hay portal donde iniciar sesión, ni segmento compartido, ni nombre que dar — simplemente estás en internet en el momento en que aterrizas.

1. 01
   Cómpralo antes de volar

   Elige tu destino, paga una factura en cripto, y un código QR llega en unos dos minutos. Sin cuenta, sin correo, sin identificación.

2. 02
   Instálalo en casa con Wi-Fi

   Escanea el QR mientras sigues en una red de confianza. La validez empieza en la primera conexión en el extranjero, no en la instalación.

3. 03
   Aterriza y actívalo

   Enciende la línea de viaje para datos y deja tu SIM de casa donde está, para llamadas y mensajes. El Wi-Fi del aeropuerto se convierte en algo que puedes ignorar.

La guía completa está en cómo comprar un eSIM con cripto e instalar y activar tu eSIM. Tu número sigue exactamente donde estaba — WhatsApp, iMessage y los códigos del banco siguen funcionando con la SIM de casa.

La lectura honesta de esa tabla: una VPN sobre el Wi-Fi del hotel arregla la columna del tráfico y deja intacta la columna de la identidad. Tu propia conexión de datos arregla la columna de la identidad — siempre que esa conexión nunca haya estado ligada a ti, que es precisamente el sentido de un eSIM sin KYC. Los precios por país están en la página de destinos.

A veces no hay elección: el congreso retransmite por su propia red, el paquete de datos se agotó, el hotel es una caja de hormigón sin cobertura. Una lista corta que de verdad ayuda:

• Dale al portal lo mínimo posible. Si pide un correo, dale uno que solo exista para portales. El número de habitación y el apellido no puedes evitarlos; casi todo lo demás es opcional en la práctica.
• Olvida la red al salir. Ese único paso mata la reconexión silenciosa meses después, en otro país.
• Desactiva el uso compartido antes de conectarte. AirDrop solo para contactos, uso compartido de archivos e impresoras apagado, y marca la red como “Pública” en Windows.
• Nunca hagas clic para saltarte un aviso de certificado. En un sitio moderno no es un fallo que rodear: es la única alarma que todavía significa algo.
• Mantén la VPN activa después de que cargue el portal. El hueco entre iniciar sesión y volver a conectarla es por donde se filtra toda la sesión.
• Haz cualquier cosa sensible con datos móviles. Banca, subir documentos, inicios de sesión de trabajo — cambia a tu propia conexión durante dos minutos y vuelve a cambiar.

Antes lo era, y esa idea es la razón por la que la gente hace cola por el Wi-Fi del aeropuerto. Ya no es cierto. El roaming con un contrato de casa sigue costando $5–15 al día en muchos sitios, pero un perfil de viaje prepago cuesta unos pocos dólares para todo el viaje — y el Wi-Fi “gratis” con el que lo comparabas suele costar $8–25 al día en cuanto estás en un avión o en un hotel de negocios.

• Una semana de mapas, mensajería y correo cabe sin problema en 1 GB.
• Las videollamadas y el streaming son lo que de verdad mueve la cifra, no navegar.
• El Wi-Fi del hotel sigue haciendo el trabajo pesado para copias de seguridad y descargas — la idea no es dejar de usarlo, es dejar de depender de él.

Las cuentas están en eSIM frente a roaming, y la pregunta de cuánto necesitas en cuántos datos necesitas en el extranjero.

Esta guía sería deshonesta si se quedara en el discurso de ventas. Cambiar la red del café por la tuya resuelve un problema concreto y deja los demás exactamente donde estaban.

• La red móvil sigue viendo un dispositivo en una antena. La ubicación aproximada viene incluida con el servicio celular; no existe una versión de datos móviles sin ella.
• Tus cuentas te siguen identificando. Iniciar sesión en tu correo habitual desde una conexión nueva te identifica ante ese proveedor exactamente igual.
• Las apps siguen informando a casa. Nada en la conexión cambia lo que el software de tu móvil decide enviar.
• No es cifrado. Una conexión propia no sustituye a TLS ni a una VPN — es la capa que va debajo de ellas.

El modelo de amenaza completo, incluido lo que un operador de red puede y no puede deducir, está en la guía de límites de privacidad y en ¿se puede rastrear un eSIM?.