Cifrado VPN: qué es, cómo funciona y por qué importa (2026)

El cifrado de una VPN mantiene privadas tus actividades en línea y las protege frente a la vigilancia no autorizada. Utiliza funciones criptográficas para hacer que los datos sean ilegibles para terceros.

Cada vez que navegas por Internet, tu proveedor de servicios de Internet (ISP) puede ver los sitios web que visitas. Si esos sitios utilizan HTTP, un protocolo obsoleto y sin cifrar, tu ISP también puede ver lo que haces en ellos.

Esto va en contra de los principios de la privacidad en línea. En EE. UU., por ejemplo, los ISP pueden recopilar y vender datos de los usuarios sin su consentimiento. Estos datos se utilizan principalmente para publicidad dirigida, pero compartir tus actividades en línea con terceros siempre es arriesgado.

Las VPN lo evitan. Cifran todos los datos antes de que salgan de tu dispositivo. Es más, las mejores VPN, como NordVPN, Proton VPN y PIA, mantienen estrictas políticas de no guardar registros (no-logs), lo que significa que tu actividad de navegación no se almacena en sus servidores.

Estas políticas se ponen a prueba de vez en cuando. En 2017, investigadores turcos que investigaban el asesinato del embajador ruso Andrei Karlov incautaron un servidor de ExpressVPN. No encontraron registros de actividad porque, sencillamente, no había ninguno. Conviene ser precisos sobre lo que esto demuestra y lo que no: una política de no guardar registros significa que no existe un historial de lo que has hecho. Los proveedores siguen conservando la información de tu cuenta y de facturación, por lo que decir que no guardan «absolutamente nada» nunca es del todo exacto.

Así que, ¿qué es el cifrado de una VPN y cómo funciona exactamente?

¿Cómo funciona el cifrado de una VPN?

En primer lugar, una VPN crea un túnel seguro desde tu dispositivo hasta su servidor. Utiliza criptografía asimétrica para realizar un intercambio de claves, que es el paso que muchas explicaciones describen de forma algo imprecisa. Tu dispositivo y el servidor no intercambian una clave secreta a través de Internet. Cada uno aporta una parte del cálculo y, de forma independiente, ambos obtienen el mismo secreto compartido, sin que ese secreto llegue a viajar por la red. Si quieres profundizar, lee nuestro artículo sobre qué es la criptografía.

Ese proceso consume muchos recursos y, si se ejecutara de forma continua, ralentizaría drásticamente tu conexión. Por eso, una vez establecido el secreto compartido, la VPN pasa al cifrado simétrico, que es mucho más rápido. Tu tráfico se cifra y se encapsula con esa clave compartida antes de salir de tu dispositivo.

Además del cifrado, el protocolo añade una etiqueta de autenticación a cada paquete (Poly1305 en WireGuard y HMAC en OpenVPN). Si se altera un solo bit durante el tránsito, la etiqueta deja de coincidir y el paquete se descarta. Así es como una VPN verifica que tus datos no hayan sido manipulados y no solo que permanezcan ocultos.

Cuando el tráfico llega al servidor, la VPN lo descifra y lo reenvía al destino previsto. La mayoría de los sitios web utilizan HTTPS hoy en día, que también cifra ese segundo tramo, por lo que la conexión entre el servidor VPN y el sitio web también queda protegida frente a la vigilancia no autorizada.

Después de recibir tu solicitud, el sitio web envía su respuesta de vuelta al servidor VPN. El servidor vuelve a cifrarla y te la reenvía. Tu dispositivo la descifra con la clave compartida y así se completa el proceso de cifrado de la VPN.

Protocolos de cifrado VPN: OpenVPN, WireGuard e IKEv2

El algoritmo de cifrado que utiliza una VPN depende del protocolo VPN, así que primero conviene explicar qué son estos protocolos.

Los protocolos VPN son conjuntos de reglas que determinan cómo se cifran los datos y se envían de forma segura hasta su destino y de vuelta. Sus cuatro funciones principales son:

1. Establecer una conexión segura con el servidor VPN, autenticar el servidor y acordar las claves de cifrado;
2. Crear un túnel VPN y cifrar el flujo de datos del usuario;
3. Transportar de forma segura esos datos desde el dispositivo hasta el destino previsto y de vuelta;
4. Verificar que los datos no hayan sido manipulados durante el tránsito.

Actualmente predominan tres protocolos: WireGuard, OpenVPN e IKEv2/IPsec. Para verlos con más detalle, consulta nuestra guía explicativa de los protocolos VPN.

OpenVPN fue el protocolo dominante durante más de una década. Tiene una base de código amplia y madura, con decenas de miles de líneas de código, y admite una gran variedad de algoritmos de cifrado para el intercambio de claves, la autenticación y el propio canal de datos. Esa flexibilidad es a la vez un punto fuerte y uno débil: más opciones de configuración implican una mayor superficie que auditar.

WireGuard es la opción moderna de referencia. Su base de código es aproximadamente un orden de magnitud menor que la de OpenVPN, lo que hace que sea mucho más fácil de auditar. Utiliza ChaCha20 para el cifrado simétrico, que es rápido y consume pocos recursos, y no está diseñado para ser configurable: las opciones de cifrado son fijas, por lo que no hay margen para configurarlo mal.

IKEv2/IPsec también consume pocos recursos y, gracias a MOBIKE, gestiona los cambios de red sin problemas. Al salir de casa, tu teléfono puede pasar del Wi-Fi a la red móvil sin que se interrumpa el túnel VPN. Por eso sigue siendo la opción preferida en dispositivos móviles.

Tipos habituales de algoritmos de cifrado VPN

Los algoritmos de cifrado VPN se dividen en dos categorías.

Los algoritmos asimétricos utilizan un par de claves: lo que se cifra con una clave solo puede descifrarse con la otra. Las VPN los usan al inicio de una conexión para autenticar el servidor y acordar la clave que empleará el cifrado simétrico. Su seguridad no proviene del emparejamiento de claves en sí, sino de problemas matemáticos que son fáciles de calcular en un sentido, pero prácticamente inviables de invertir, como factorizar productos de números primos extremadamente grandes. La desventaja es que son lentos y requieren mucha potencia de cálculo.

Los algoritmos asimétricos más utilizados son:

• Rivest-Shamir-Adleman (RSA), uno de los más antiguos y todavía muy utilizado. Su seguridad radica en la dificultad de factorizar números muy grandes.
• Criptografía de curva elíptica (ECC), una familia más moderna que incluye Curve25519, que utiliza WireGuard. La ventaja de ECC no radica en la complejidad en sí misma: ofrece una seguridad equivalente a RSA con claves de mucho menor tamaño, lo que la hace considerablemente más rápida.
• Mecanismo de encapsulación de claves basado en retículas modulares (ML-KEM), el estándar poscuántico que el NIST finalizó en 2024. Su importancia es actual, no solo futura: un adversario podría capturar tráfico cifrado hoy y descifrarlo dentro de unos años cuando exista hardware cuántico capaz de hacerlo, un ataque conocido como harvest-now-decrypt-later (recopilar ahora y descifrar después). NordVPN y ExpressVPN ya han implementado protección poscuántica en sus propios protocolos precisamente por este motivo.

El cifrado simétrico utiliza la misma clave para cifrar y descifrar. Es más sencillo, mucho más rápido y requiere mucha menos potencia de cálculo, por eso se utiliza para proteger el tráfico propiamente dicho una vez establecida la conexión.

Los algoritmos simétricos más utilizados son:

• Advanced Encryption Standard (AES), utilizado por casi todas las VPN comerciales, normalmente con claves de 256 bits, es decir, AES-256.
• ChaCha20, diseñado por el criptógrafo Daniel J. Bernstein en 2008 y que en WireGuard se combina con el autenticador Poly1305. Es especialmente rápido en dispositivos sin aceleración de hardware dedicada para AES, algo que ocurre en muchos dispositivos móviles.

El uso conjunto de ambos se denomina criptografía híbrida: asimétrica para la negociación inicial (handshake) y simétrica para el tráfico. Esto es lo que hace que una VPN bien diseñada sea prácticamente invulnerable con la tecnología actual.

Cómo elegir una VPN con un cifrado robusto

No necesitas comprender el cifrado en profundidad para elegir una VPN fiable. Busca un proveedor que ofrezca WireGuard, OpenVPN e IKEv2/IPsec y tendrás cubierto prácticamente cualquier caso de uso.

Conviene evitar por completo dos protocolos. PPTP tiene décadas de antigüedad y su sistema de autenticación se considera vulnerable desde hace años. IKEv1 está obsoleto y ha sido sustituido por IKEv2.

Otros dos requieren más matices que la típica advertencia general. L2TP no proporciona cifrado por sí solo; es un protocolo de tunelización, por lo que siempre lo verás combinado con IPsec como L2TP/IPsec. Esa combinación no se considera insegura, pero se está quedando anticuada y es más lenta que las alternativas.

SSTP se basa en TLS y no presenta vulnerabilidades explotables de forma generalizada, pero es propietario y de código cerrado, por lo que usarlo implica confiar en la implementación de Microsoft sin poder inspeccionarla. No hay motivo para alarmarse por ninguna de las dos opciones si tu proveedor las ofrece, pero ambas son motivos para optar por WireGuard cuando esté disponible.

Por último, algunas VPN utilizan protocolos propietarios modernos. NordVPN desarrolló NordLynx, una variante de WireGuard, y ExpressVPN utiliza Lightway. Los dos son rápidos, han sido auditados de forma independiente y ahora incluyen intercambio de claves poscuántico.

Preguntas frecuentes