Cómo evitar que tu proveedor de internet vea los sitios que visitas

Tu proveedor de acceso a internet sabe qué sitios visitas. No el contenido exacto de las páginas (si el sitio usa HTTPS), pero sí los nombres de dominio: sabe que visitaste tal web de salud, tal foro, tal servicio de streaming, a qué hora y durante cuánto tiempo. Esta información pasa por sus servidores DNS y por los metadatos de tus conexiones. En la mayoría de países, los ISP están incluso obligados legalmente a conservar estos datos durante un periodo definido. En España, la Ley de Conservación de Datos obliga a los operadores a almacenar estos registros durante 12 meses.

No es paranoia, es el funcionamiento normal de la red. Cuando escribes una dirección en tu navegador, tu dispositivo envía una consulta DNS al servidor de tu ISP para traducir el nombre de dominio en una dirección IP. Esta consulta se envía en texto claro, sin cifrar, y tu ISP la registra. Aunque el contenido de la página esté cifrado vía HTTPS, el ISP ve el nombre del sitio que solicitas. Es como enviar una carta en un sobre opaco: el cartero no puede leer el contenido, pero ve la dirección del destinatario.

Qué ve exactamente tu ISP

Para protegerte bien, primero hay que entender qué puede y qué no puede ver el ISP:

Lo que ve: los nombres de dominio que visitas (vía consultas DNS), las direcciones IP de los servidores a los que te conectas, las marcas de tiempo de cada conexión, el volumen de datos intercambiado, y en algunos casos el SNI (Server Name Indication), un campo no cifrado en la negociación TLS que revela el nombre del sitio incluso sin pasar por sus DNS.

Lo que no ve (si el sitio usa HTTPS): el contenido de las páginas, las credenciales que introduces, los mensajes que envías, los archivos que descargas. HTTPS cifra el contenido, pero no los metadatos de conexión.

La distinción es importante. Saber que visitaste un sitio de consulta médica a las 3 de la madrugada ya es información sensible, aunque el ISP no sepa qué página exacta consultaste.

Cambiar de servidor DNS: el primer paso

El método más simple y rápido para evitar que tu ISP vea tus consultas DNS es dejar de usar sus servidores DNS. Por defecto, tu dispositivo usa los DNS de tu ISP. Cada vez que visitas un sitio, la consulta pasa por sus servidores, y la registran.

Al cambiar de servidor DNS, envías tus consultas a un tercero (Cloudflare, Google, Quad9) en lugar de a tu ISP. Pero cuidado: si cambias de servidor DNS sin activar el cifrado, tus consultas siguen viajando en texto claro por la red. Tu ISP ya no las procesa, pero puede interceptarlas en tránsito.

Para que el cambio sea realmente efectivo, hay que usar un DNS cifrado. Existen dos protocolos:

DNS over TLS (DoT) cifra las consultas DNS mediante el protocolo TLS en el puerto 853. Es el protocolo usado por la función "DNS privado" de Android 9+. Introduces un nombre de host como one.one.one.one (Cloudflare) o dns.google y todas tus consultas quedan cifradas. Tu ISP ve que te comunicas con un servidor DNS externo en el puerto 853, pero ya no puede leer el contenido de las consultas.

DNS over HTTPS (DoH) cifra las consultas DNS vía HTTPS en el puerto 443, el mismo que el tráfico web normal. La ventaja: las consultas DNS son indistinguibles del tráfico web habitual. El ISP ni siquiera puede ver que estás haciendo consultas DNS separadas. Firefox, Chrome, Edge y Brave soportan DoH en sus ajustes.

Los principales servidores DNS cifrados:

El problema del SNI: el DNS no siempre basta

Incluso con un DNS cifrado, tu ISP puede seguir viendo los sitios que visitas en algunos casos. Cuando tu navegador se conecta a un servidor HTTPS, envía el nombre del sitio en texto claro en un campo llamado SNI (Server Name Indication) durante la negociación TLS. Este campo permite al servidor saber qué certificado SSL presentar cuando aloja varios sitios en la misma dirección IP.

El ISP que inspecciona los metadatos de tus conexiones puede leer este campo SNI y ver el nombre del sitio, aunque uses un DNS cifrado. Es un fallo conocido, y la solución se llama ECH (Encrypted Client Hello), antes conocido como ESNI. ECH cifra el campo SNI, haciendo imposible que el ISP vea el nombre del sitio durante la negociación TLS.

El despliegue de ECH está en marcha. Cloudflare lo activa en sus servidores, Firefox lo soporta cuando se combina con DoH, y Chrome trabaja en ello. Pero ECH solo funciona si el servidor del sitio visitado lo ha activado por su parte. En 2026, la cobertura avanza pero aún no es universal.

Usar una VPN: la solución más completa

Una VPN (Virtual Private Network) crea un túnel cifrado entre tu dispositivo y un servidor del proveedor VPN. Todo tu tráfico de internet pasa por ese túnel, incluidas las consultas DNS, los metadatos de conexión y el contenido. Tu ISP solo ve una cosa: que estás conectado a un servidor VPN. No sabe qué sitios visitas, qué contenido consultas ni qué servicios usas.

Es la solución más eficaz para ocultar tu actividad a tu ISP, pero tiene implicaciones importantes:

Desplazas la confianza, no la eliminas. Tu ISP ya no ve tu tráfico, pero tu proveedor VPN sí lo ve. Reemplazas una entidad que te vigila por otra. La elección de VPN es crítica. Prioriza proveedores que hayan sometido su política de no conservación de logs a auditorías independientes (Mullvad, IVPN, ProtonVPN han publicado auditorías). Evita las VPN gratuitas: si no te cobran, el producto eres tú.

Impacto en el rendimiento. Una VPN añade un intermediario entre tú y los servidores que visitas. La latencia aumenta (generalmente de 10 a 30 ms según la distancia del servidor VPN), y el ancho de banda puede disminuir, especialmente si el servidor VPN está saturado o geográficamente lejano. Para la navegación web, rara vez se nota. Para gaming online o videoconferencia, se puede notar.

Protocolos VPN. WireGuard es el protocolo más moderno y rápido, con una base de código mínima y rendimiento excelente. OpenVPN es más antiguo pero probado y ampliamente soportado. Evita PPTP, obsoleto e inseguro. La mayoría de proveedores VPN modernos usan WireGuard por defecto.

Kill switch. Verifica que tu cliente VPN tenga un kill switch (interruptor de emergencia). Esta función corta automáticamente tu conexión a internet si la VPN se desconecta, evitando que tu tráfico quede brevemente expuesto sin protección. Sin kill switch, una desconexión momentánea de la VPN (cambio de red Wi-Fi, pérdida de señal móvil) puede revelar tu actividad a tu ISP.

Tor: anonimato máximo, con compromisos

Tor (The Onion Router) hace transitar tu tráfico a través de tres relés sucesivos, cada uno cifrando una capa adicional. El primer relé ve tu dirección IP pero no tu destino. El último relé ve el destino pero no tu dirección IP. Ningún relé ve ambas informaciones a la vez. Tu ISP solo ve que estás conectado a la red Tor, sin saber qué haces en ella.

Tor ofrece un nivel de anonimato superior a una VPN, pero con compromisos significativos:

Lentitud. El triple rebote a través de relés voluntarios hace la navegación notablemente más lenta que con una VPN. El streaming de vídeo es prácticamente inutilizable, e incluso la navegación web básica puede ser laboriosa.

Sospecha. El simple hecho de conectarse a Tor puede llamar la atención en ciertos contextos. Algunos ISP o redes corporativas bloquean las conexiones Tor, y en algunos países, usar Tor está vigilado de cerca. Existen "bridges" de Tor para sortear estos bloqueos, pero su configuración es más técnica.

Fugas potenciales. Si usas Tor para navegar por sitios normales (no .onion), el relé de salida puede ver tu tráfico no cifrado. Asegúrate de visitar solo sitios HTTPS cuando uses Tor. El navegador Tor incluye protecciones por defecto, pero configurarlas incorrectamente o instalar extensiones puede comprometer tu anonimato.

HTTPS en todas partes: necesario pero insuficiente

HTTPS cifra el contenido de los intercambios entre tu navegador y el servidor del sitio visitado. Sin HTTPS, tu ISP (y cualquiera en la red) puede ver todo lo que haces en el sitio: páginas visitadas, formularios rellenados, archivos descargados. Con HTTPS, el ISP solo ve el nombre de dominio (vía DNS o SNI), no el contenido.

En 2026, más del 95 % de las páginas cargadas en Chrome usan HTTPS. Los navegadores modernos muestran un aviso cuando un sitio no usa HTTPS. Si aún encuentras sitios en HTTP, evita introducir información personal en ellos.

HTTPS es una capa base indispensable, pero no oculta los metadatos a tu ISP. No oculta el nombre del sitio que visitas, ni la frecuencia de tus visitas, ni el volumen de datos intercambiado. Para esos metadatos, hay que combinar HTTPS con DNS cifrado o una VPN.

Combinar las protecciones

Ningún método por sí solo cubre todos los ángulos. Estas son las combinaciones por nivel de protección:

Protección básica: DNS cifrado (DoH o DoT) + HTTPS. Tu ISP ya no ve tus consultas DNS. Puede seguir viendo las IPs de los servidores a los que te conectas y potencialmente el SNI, pero no puede leer el contenido. Es la configuración mínima recomendada para todos, y no cuesta nada.

Protección intermedia: VPN de confianza + DNS de la VPN. Todo tu tráfico está cifrado y pasa por el servidor VPN. Tu ISP solo ve la conexión a la VPN. El proveedor VPN se convierte en el eslabón de confianza. Es la opción más práctica para uso diario con buen equilibrio entre privacidad y rendimiento.

Protección máxima: Tor + DNS cifrado + HTTPS. El triple relé de Tor oculta tanto tu identidad como tu destino. La lentitud hace esta configuración inadecuada para uso diario, pero es pertinente para búsquedas sensibles o contextos donde el anonimato es crítico.

Lo que estos métodos no protegen

Ocultar tu tráfico a tu ISP no te hace invisible en línea. Los sitios web que visitas te identifican por otros medios: cookies, huella del navegador (fingerprinting), cuentas conectadas (si estás conectado a Google y visitas un sitio que usa Google Analytics, Google sabe que eres tú). Las redes sociales y las redes publicitarias te rastrean a través de los sitios mediante trackers y píxeles de seguimiento.

Para protegerte contra el tracking publicitario, hay que combinar el cifrado del tráfico con un bloqueador de trackers (uBlock Origin en el navegador, o un DNS filtrado como NextDNS o AdGuard DNS) y buenas prácticas: navegar en modo privado para búsquedas sensibles, usar contenedores de pestañas (Firefox Multi-Account Containers), limitar las extensiones instaladas, y desconectarse de las cuentas cuando no se necesitan.

Tu ISP ve por defecto cada nombre de dominio que consultas. El DNS cifrado (DoH o DoT) es el primer paso, gratuito y sencillo, para cortar esa visibilidad. Una VPN va más allá ocultando todo tu tráfico. Pero sea cual sea el método elegido, ten en cuenta que desplazas la confianza, no la eliminas: del ISP al proveedor DNS, o del ISP al proveedor VPN. Elige tus intermediarios con cuidado.