Tu WiFi está mintiendo:
cómo funciona realmente tu red doméstica y qué dispositivos te espían
Privacidad y seguridad digital | unfantasmaenelsistema.com
Hay una creencia muy extendida que funciona más o menos así: «en casa estoy seguro, mi WiFi tiene contraseña, y cuando entro en una web con el candadito nadie puede ver lo que hago». Es una idea reconfortante. También es bastante incorrecta.
La realidad es que en este preciso momento, mientras navegas desde casa, hay al menos cuatro o cinco actores distintos que tienen acceso a información sobre lo que estás haciendo online. Algunos los has contratado voluntariamente. Otros simplemente forman parte de cómo funciona internet, y nadie te lo explicó cuando firmaste el contrato de fibra.
Este artículo no es para asustarte. Es para que entiendas exactamente qué ocurre desde que pulsas «conectar» hasta que carga una página web, quién ve qué en ese proceso, y qué puedes hacer de forma concreta para recuperar algo de privacidad sin necesitar ser técnico.
¿Qué aprenderás en este artículo?
Qué ocurre realmente desde que pulsas ‘conectar’ hasta que carga una página web · Quién ve tu tráfico en una red doméstica y qué información exacta puede leer · Qué sabe tu proveedor de internet (ISP) sobre lo que haces online · Qué dispositivos de tu red están recopilando datos sobre ti · Cómo funciona el DNS y por qué es el mayor punto de vigilancia de tu conexión · Qué protege el HTTPS y qué no protege · 5 cambios concretos que puedes hacer hoy para mejorar tu privacidad en casa
1. La ilusión de la privacidad doméstica
Empecemos por el principio: qué crees que pasa cuando te conectas a internet, y qué pasa realmente.
LO QUE CREES QUE PASA CUANDO TE CONECTAS A INTERNET:
Tu ordenador ───────────────────► Internet
(privado, nadie ve nada)
LO QUE REALMENTE PASA:
Tu ordenador
│ tráfico local visible para todos los dispositivos de la red
▼
Tu router (fabricante recopila datos de uso y diagnóstico)
│ todo tu tráfico pasa por aquí
▼
Red del ISP (Movistar, Vodafone, Orange...)
│ el ISP ve: qué dominios consultas, cuándo, cuánto tráfico
│ con HTTPS: no ve el contenido, pero sí el destino
▼
Servidores DNS (quien resuelve los nombres de dominio)
│ si usas el DNS de tu ISP: registra CADA dominio que visitas
▼
Servidores del sitio web
│ ven tu IP real, navegador, sistema operativo, idioma
▼
Redes de publicidad y trackers
recopilan tu comportamiento en miles de sitios simultáneamenteCuando navegas desde casa no hay dos extremos de una conversación privada. Hay una cadena de intermediarios, cada uno con su propia ventana sobre tu actividad. El candado HTTPS que ves en el navegador protege el contenido de la comunicación (nadie en el camino puede leer lo que escribes en un formulario o ver la página exacta que estás leyendo), pero no oculta el hecho de que estás comunicándote con ese destino. Es como enviar una carta en un sobre cerrado: el cartero no puede leer la carta, pero sí puede ver el remitente, el destinatario y la hora de entrega.
2. El viaje de un paquete: de tu navegador a una web
Para entender quién ve qué, primero hay que entender qué ocurre técnicamente cada vez que escribes una dirección web en el navegador. Es un proceso que dura menos de un segundo pero implica varios pasos, cada uno con su propio nivel de visibilidad.
EL VIAJE DE UN PAQUETE: DE TU NAVEGADOR A GOOGLE
1. Escribes 'google.com' en el navegador
└ El navegador necesita saber la IP de google.com
2. Consulta DNS: '¿cuál es la IP de google.com?'
└ Esta consulta va a tu servidor DNS configurado
(por defecto: el de tu ISP o el de tu router)
└ El servidor DNS responde: 'google.com = 142.250.217.46'
ESTE PASO ES VISIBLE PARA TU ISP aunque uses HTTPS
3. Tu ordenador se conecta a 142.250.217.46 por el puerto 443 (HTTPS)
└ HTTPS cifra el CONTENIDO de la comunicación
Pero el destino (142.250.217.46 = google.com) es visible
4. Google responde con la página web
└ Google sabe: tu IP, tu navegador, tu SO, tu idioma
la hora exacta, desde qué página venías (Referer)
5. La página carga scripts de terceros:
└ Google Analytics, Meta Pixel, DoubleClick, Hotjar...
cada uno registra tu visita en su propia base de datos
correlacionando con miles de otros sitios que has visitado
RESUMEN: En una sola visita a una web han participado:
Tu ISP · Tu servidor DNS · Google · Entre 5 y 40 trackers de tercerosHay dos partes de este proceso que sorprenden a casi todo el mundo. La primera: el sistema DNS, que convierte los nombres de dominio en IPs, opera en texto claro por defecto. Eso significa que aunque uses HTTPS, tu ISP puede ver cada dominio que consultas simplemente mirando el tráfico DNS. La segunda: dentro de cada página web hay docenas de scripts de terceros (Google Analytics, el píxel de Meta, Hotjar, redes publicitarias) que registran tu comportamiento de forma independiente y lo cruzan con datos de miles de otros sitios.
3. Quién ve qué: la tabla completa
Esta es la pregunta más importante. Aquí está, sin ambigüedades, qué información tiene acceso cada actor que participa en tu navegación habitual.
| Actor | Qué ve con HTTP | Qué ve con HTTPS | Lo que nunca ve |
|---|---|---|---|
| Tu router doméstico | Todo el tráfico en claro: URLs, contenido, contraseñas | Destino (IP y dominio vía SNI), volumen y horarios. No el contenido | El contenido cifrado con HTTPS activo |
| Tu ISP (Movistar, Vodafone…) | Todo: URLs completas, contenido, metadatos de cada conexión | Qué dominios visitas (vía DNS y SNI), cuándo y cuánto. No el contenido | Contenido de conexiones HTTPS. Dominios si usas DoH/DoT + VPN |
| El servidor DNS | Cada dominio que consultas, tu IP, timestamps exactos | Igual: el DNS se consulta ANTES de establecer la conexión HTTPS | El contenido de las páginas que visitas |
| El sitio web que visitas | Tu IP, navegador, SO, idioma, resolución, historial de navegación en el sitio | Lo mismo: HTTPS protege el tránsito, no lo que el destino recopila | Tu identidad real (a menos que la des voluntariamente) |
| Los trackers de terceros (Google, Meta…) | Tu comportamiento en cada sitio que los incluye | Lo mismo: operan dentro del sitio web, no en el tránsito | Lo que ocurre en sitios que no los incluyen o donde están bloqueados |
| Otros dispositivos de tu red WiFi | Tráfico no cifrado de tu red local (ARP, mDNS, DHCP) | Metadatos de tráfico (tamaños, tiempos). No el contenido HTTPS | Contenido de tus conexiones HTTPS activas |
El dato que más sorprende a la gente: el HTTPS no oculta tu destino de tu ISP. El proveedor de internet ve perfectamente que te estás conectando a tu banco, a un portal médico o a cualquier otro sitio, aunque no pueda leer el contenido exacto de esa conexión. Lo sabe por dos vías: las consultas DNS (que van en claro por defecto) y el campo SNI del handshake TLS (que también va en claro y anuncia el nombre del servidor al que te estás conectando).
HTTPS: lo que protege y lo que NO protege
SÍ protege: el contenido de la comunicación entre tu navegador y el servidor (texto, contraseñas, datos de formularios, respuestas del servidor). Nadie en el camino puede leer lo que envías o recibes. NO protege: el hecho de que estás visitando ese sitio (el dominio es visible vía DNS y SNI). No protege los datos que el propio sitio web recopila sobre ti. No protege contra los trackers que se ejecutan dentro de la página. No oculta tu IP. Conclusión: HTTPS es imprescindible y mejora enormemente la seguridad, pero no es privacidad completa. Es el cifrado del contenido, no el anonimato del destino.
4. El DNS: el mayor punto de vigilancia que nadie menciona
Si tuvieras que elegir un solo concepto de este artículo para quedarte, sería este. El sistema DNS es literalmente el registro más completo de tu vida digital que existe, y por defecto está en manos de tu proveedor de internet.
POR QUÉ EL DNS ES EL MAYOR PUNTO DE VIGILANCIA El DNS es como la guía de teléfonos de internet: Convierte nombres (google.com) en IPs (142.250.217.46) EL PROBLEMA: Cada vez que visitas una web, tu dispositivo consulta el DNS. Por defecto, estas consultas: ✗ Van en TEXTO CLARO (sin cifrar) ✗ Las procesa el servidor DNS de tu ISP ✗ El ISP guarda un registro de CADA dominio que visitas con timestamp exacto y tu IP ✗ Esta información puede usarse para publicidad personalizada o cederse a terceros según la legislación local EJEMPLO REAL de lo que ve el DNS de tu ISP en un día normal: 08:14:22 Tu IP → mail.google.com 08:14:23 Tu IP → accounts.google.com 08:31:05 Tu IP → instagram.com 09:12:44 Tu IP → bankia.es 09:12:55 Tu IP → api.bankia.es 10:45:11 Tu IP → pornhub.com (sí, también esto) 11:23:01 Tu IP → medicosonline.es ... Un mapa completo de tu vida digital, generado automáticamente. LA SOLUCIÓN: DNS cifrado (DoH o DoT) DNS over HTTPS (DoH): las consultas van cifradas dentro de HTTPS → Tu ISP ve tráfico HTTPS al servidor DoH, no los dominios Proveedores recomendados: Cloudflare (1.1.1.1), Quad9 (9.9.9.9)
En España, la Ley General de Telecomunicaciones permite a los operadores retener datos de tráfico durante doce meses. Estos datos incluyen metadatos de comunicaciones y, dependiendo de la interpretación, pueden incluir registros DNS. La buena noticia es que cambiar tu servidor DNS a uno cifrado es uno de los cambios más simples y efectivos que puedes hacer, y explicamos exactamente cómo hacerlo en la sección de soluciones.
5. Tu red doméstica: la imagen completa
El router no es solo el aparato que da WiFi. Es la puerta de entrada y salida de absolutamente todo el tráfico de tu hogar. Y en la mayoría de casas, ese router tiene años sin actualizarse, sigue con configuraciones por defecto, y comparte red con una cantidad creciente de dispositivos que envían datos a sus fabricantes de forma continua.
UNA RED DOMÉSTICA TÍPICA EN 2026
Internet (fibra/cable)
│
┌────┴──────────────────────────────────────────┐
│ ROUTER/ONT del ISP │
│ ▸ ¿Firmware actualizado? (probablemente no) │
│ ▸ ¿Contraseña por defecto cambiada? (quizás no) │
│ ▸ ¿WPS activo? (casi siempre, es una puerta) │
│ ▸ ¿DNS configurado? (usa el del ISP por defecto) │
│ ▸ ¿Acceso remoto activo? (muchos sí, sin saberlo) │
└────┬────────────────────────┬─────────────────┘
│ Cable │ WiFi (2.4GHz + 5GHz)
┌──┴─────┐ ┌───────┴──────────────────────────┐
│ PC/Mac │ │ Teléfonos · Tablets · Portátiles │
└────────┘ │ Smart TV · Altavoces Alexa/Google │
│ Cámaras IP · Termostatos · Bombillas │
│ Consola · Aspiradora robot · Frigorífico │
└────────────────┬─────────────────┘
│
Cada dispositivo IoT:
▸ Tiene firmware raramente actualizado
▸ Puede tener credenciales por defecto
▸ Envía datos al fabricante
▸ Comparte red con tu banco y tu correo6. Los dispositivos que espían tu hogar
El término «espiar» suena dramático. Pero cuando una aspiradora robot sube el mapa de la distribución de tu casa a servidores en China, cuando tu Smart TV registra todo lo que ves para mostrarte anuncios más relevantes, o cuando un altavoz inteligente mantiene un micrófono activo 24 horas al día en tu salón, ¿qué otro término usarías?
⚠ El problema que nadie menciona: los dispositivos IoT
Tu Smart TV registra qué programas ves, cuándo y durante cuánto tiempo. Amazon Echo y Google Nest escuchan continuamente (aunque afirmen lo contrario) esperando la palabra de activación. Tu aspiradora robot mapea la distribución de tu casa y sube ese mapa a los servidores del fabricante. Tu termostato inteligente sabe cuándo estás en casa y cuándo no. Ninguno de estos dispositivos recibe actualizaciones de seguridad indefinidamente: muchos tienen vulnerabilidades conocidas sin parchear. Y todos comparten tu red WiFi con tu banco y tu correo.
| Dispositivo | Datos que recopila | A quién los envía |
|---|---|---|
| Smart TV (Samsung, LG, Sony) | Contenido visto, apps usadas, horas de uso, anuncios vistos | Fabricante + redes de publicidad (ACR: Automatic Content Recognition) |
| Altavoz inteligente (Alexa, Google Home) | Grabaciones de voz, historial de consultas, rutinas del hogar | Amazon / Google. Empleados humanos revisan muestras de audio |
| Router del ISP | Todos los dominios consultados, volumen de tráfico, dispositivos conectados | El ISP. En España pueden compartirlos con autoridades sin orden judicial previa |
| Cámara IP / timbre Ring | Vídeo y audio continuo del exterior/interior del hogar | Fabricante. Ring compartía datos con policía sin orden judicial hasta 2023 |
| Teléfono móvil (Android/iOS) | Localización GPS, apps usadas, contactos, micrófono (con permiso), acelerómetro | Google / Apple + cada app instalada con sus propias políticas |
| Aspiradora robot (Roomba, Xiaomi) | Mapa de la distribución de tu casa, horarios de limpieza | iRobot intentó vender mapas de hogares a terceros en 2022 (cancelado por presión pública) |
| Televisión con Chromecast / Fire TV | Historial de reproducción, búsquedas, tiempo de uso por app | Google / Amazon + socios publicitarios |
El problema más grave no es que estos dispositivos recopilen datos (aunque ya es suficientemente serio), sino que comparten tu red con tu banco, tu correo y todos tus dispositivos personales. Una bombilla inteligente con una vulnerabilidad sin parchear puede ser el punto de entrada a tu red doméstica. En 2021, un investigador de seguridad entró en la red de un casino a través de un termostato inteligente instalado en el acuario de la entrada.
7. WiFi público: por qué es más peligroso de lo que parece
Si el WiFi de casa tiene sus problemas, el WiFi público de aeropuertos, cafeterías y hoteles los multiplica. El riesgo más conocido es que la red no tiene contraseña y cualquiera puede ver el tráfico. Pero el riesgo más sofisticado es el que mucha gente no conoce: el ataque de punto de acceso falso (Evil Twin).
POR QUÉ EL WIFI PÚBLICO ES PELIGROSO Escenario: cafetería con WiFi abierto LO QUE CREES: Tu portátil ──── WiFi cafetería ──── Internet LO QUE PUEDE ESTAR PASANDO (ataque Evil Twin): Atacante crea un punto de acceso con el mismo nombre: 'Cafe_WiFi_Free' (el real) 'Cafe_WiFi_Free' (el falso del atacante, con más señal) → Tu dispositivo se conecta automáticamente al más fuerte → Todo tu tráfico pasa por el ordenador del atacante QUÉ VE EL ATACANTE EN UN WIFI PÚBLICO: ✓ Todo el tráfico HTTP en texto claro ✓ Las consultas DNS (qué sitios visitas) ✓ Los metadatos de tráfico HTTPS (destinos, horarios) ✗ El contenido de conexiones HTTPS (cifrado extremo a extremo) RIESGOS REALES EN WIFI PÚBLICO: ▸ Captura de sesiones (si la cookie no tiene flag Secure) ▸ Ataques SSL stripping en sitios sin HSTS ▸ Descarga de malware en actualizaciones interceptadas ▸ Envenenamiento de caché DNS: redirigir dominios legítimos REGLA PRÁCTICA: en WiFi público, usa VPN o no hagas nada sensible.
8. Lo que puedes hacer: 5 cambios concretos para hoy
Suficiente diagnóstico. Aquí están los cinco cambios más efectivos que puedes hacer, ordenados de mayor a menor impacto, todos ellos gratuitos excepto el de la VPN.
5 CAMBIOS CONCRETOS PARA MEJORAR TU PRIVACIDAD HOY CAMBIO 1: DNS cifrado en tu router o dispositivo ▸ Cambia el DNS a 1.1.1.1 (Cloudflare) o 9.9.9.9 (Quad9) ▸ En el router: Ajustes → WAN → DNS primario/secundario ▸ En Windows: Configuración → Red → propiedades → DNS manual ▸ En el navegador: Firefox → Ajustes → DNS sobre HTTPS Resultado: tu ISP deja de ver los dominios que consultas CAMBIO 2: Actualizar el firmware del router ▸ Entrar al panel de administración (normalmente 192.168.1.1) ▸ Buscar 'Actualizar firmware' o 'Software update' ▸ Muchos routers llevan años sin actualizarse con vulnerabilidades conocidas CAMBIO 3: Cambiar la contraseña del WiFi y del panel de admin ▸ Contraseña WiFi: mínimo 16 caracteres, usa WPA3 si está disponible ▸ Contraseña del panel de admin: NO dejes 'admin/admin' o '1234' ▸ Desactivar WPS: es una puerta trasera con vulnerabilidades conocidas CAMBIO 4: Instalar uBlock Origin en el navegador ▸ Extensión gratuita para Firefox y Chrome ▸ Bloquea trackers, anuncios y dominios maliciosos conocidos ▸ Reduce entre un 30-60% el número de conexiones que hace tu navegador CAMBIO 5: Red de invitados para dispositivos IoT ▸ La mayoría de routers modernos soportan una red de invitados ▸ Conecta Smart TV, altavoces, cámaras en la red de invitados ▸ Si un dispositivo IoT es comprometido, no tiene acceso a tu red principal ▸ Tus dispositivos importantes (PC, móvil) van en la red principal
¿Merece la pena una VPN?
VPN: qué protege y qué no (la versión honesta)
Una VPN cifra el tráfico entre tu dispositivo y el servidor VPN y oculta tu IP real del sitio que visitas. Esto es útil en: WiFi públicos, para evitar que tu ISP vea los dominios que visitas, y para acceder a contenido con restricción geográfica. Pero una VPN NO te hace anónimo: el proveedor VPN ahora ve todo lo que antes veía tu ISP. Si el proveedor miente sobre sus políticas de no-logs (ha pasado), estás igual. VPNs de confianza con auditorías independientes publicadas: Mullvad, ProtonVPN. VPNs que deberías evitar: cualquiera gratuita, cualquiera que no pueda explicar con precisión su modelo de negocio.
9. Resumen: amenazas y soluciones
| Amenaza | Qué la mitiga | Dificultad | Coste |
|---|---|---|---|
| ISP registra dominios que visitas | DNS cifrado (DoH/DoT) con Cloudflare o Quad9 | Baja | Gratis |
| Trackers y publicidad en webs | uBlock Origin en el navegador | Muy baja | Gratis |
| Router con firmware desactualizado | Actualizar firmware periódicamente | Baja | Gratis |
| Dispositivo IoT comprometido accede a tu red | Red de invitados separada para IoT | Baja-media | Gratis (si el router lo soporta) |
| WiFi público: tráfico interceptado | VPN de confianza al usar redes públicas | Baja | 5-10€/mes |
| Smart TV y altavoces espían el hogar | Desactivar micrófono/cámara físicamente, revisar permisos | Muy baja | Gratis |
| Contraseña WiFi débil o WPS activo | Contraseña fuerte (WPA3 si disponible) + desactivar WPS | Muy baja | Gratis |
| Fingerprinting del navegador | Firefox con uBlock + resistencia a fingerprinting activa | Baja | Gratis |
Conclusión
Internet no fue diseñado con la privacidad como prioridad. Fue diseñado para ser robusto y funcional, y la privacidad se fue añadiendo después, de forma parcial y a veces contradictoria. El resultado es el ecosistema que tenemos: uno donde navegar deja un rastro en manos de tu ISP, los servidores DNS, los propios sitios web y una constelación de trackers de terceros.
La buena noticia es que no necesitas ser técnico para protegerte de lo más básico. Cambiar el DNS a Cloudflare o Quad9, instalar uBlock Origin, separar los dispositivos IoT en una red de invitados y actualizar el firmware del router son cambios que cualquier persona puede hacer en una tarde y que marcan una diferencia real.
La privacidad perfecta no existe. Pero hay una diferencia enorme entre dejar la puerta abierta de par en par y cerrarla con llave. Los cinco cambios de este artículo son esa llave.
Para profundizar
Privacy Guides (privacyguides.org): la guía de referencia de privacidad digital, mantenida por la comunidad, sin conflictos de interés comerciales · DNS leak test (dnsleaktest.com): comprueba si tu DNS cifrado funciona realmente · Cover Your Tracks (coveryourtracks.eff.org): comprueba cuánto te identifica tu navegador · Shodan.io: busca tu IP pública para ver qué puertos tienes expuestos a internet · Have I Been Pwned (haveibeenpwned.com): comprueba si tu correo aparece en alguna filtración de datos conocida
unfantasmaenelsistema.com | Seguridad, sistemas y todo lo que no debería funcionar (pero funciona)