Hoy casi todo el tráfico web va cifrado con HTTPS (HyperText Transfer Protocol Secure), así que nadie en tu misma red Wi-Fi lee tus contraseñas en texto claro: por eso el consejo clásico de «nunca uses una red pública» quedó desactualizado. Pero HTTPS no resuelve todo: no oculta qué dominios visitás, no cifra el portal cautivo —la página de acceso que muestran muchas redes públicas, sin cifrado por diseño—, y no te salva si el punto de acceso es hostil, como un punto de acceso gemelo (una red falsa con el mismo nombre que una legítima). Por eso CISA e INCIBE siguen recomendando una VPN (red privada virtual): no porque HTTPS no exista, sino porque no cubre metadatos ni el riesgo del punto de acceso. Acá el tema sos vos como cliente de una red ajena, distinto de navegar de forma segura en general o de proteger tu propia red.
Ver índice de contenidos
Por qué el consejo clásico cambió
Durante años, la recomendación de seguridad más repetida fue tajante: nunca uses una red Wi-Fi pública para nada sensible. Ese consejo nació hace poco más de una década, cuando buena parte de la web viajaba sin cifrar y cualquiera conectado a la misma red, con herramientas mínimas, podía leer en texto claro las contraseñas y los datos de formularios que se transmitían.
Eso cambió con la adopción masiva de HTTPS. Hoy la inmensa mayoría de los sitios que usás a diario —bancos, redes sociales, correo, comercio electrónico— cifran la conexión de punta a punta. Esa es la razón real por la que el consejo clásico envejeció: no es que las redes públicas se hayan vuelto más seguras en sí mismas, es que el contenido que circula por ellas ahora casi siempre va cifrado.
Por qué esto no cierra el tema
Confundir «HTTPS existe» con «no hay ningún riesgo» es el error central que esta guía corrige. HTTPS resuelve la lectura del contenido en texto claro, pero no toca varias capas que siguen expuestas cuando te conectás a una red que no administrás: qué dominios visitás, el portal cautivo que casi toda red pública usa para darte acceso, y el propio punto de acceso (el dispositivo, router o repetidor que emite la red Wi-Fi), que puede ser hostil. De esas tres capas se ocupa el resto de la guía.
Qué protege HTTPS (y qué no)
Para saber qué riesgo queda de verdad, conviene separar capas. HTTPS protege el contenido del tráfico: nadie más en la red —ni siquiera quien administra el punto de acceso— puede leer las contraseñas ni los datos de un formulario. Pero varias cosas quedan fuera de ese cifrado, y son las que siguen ocupando a CISA (la agencia de ciberseguridad de EE. UU.) e INCIBE (el instituto español de ciberseguridad).
La siguiente tabla separa, capa por capa, lo que HTTPS cubre de lo que no:
| Qué | ¿HTTPS lo protege? | Detalle |
|---|---|---|
| Contraseñas y datos de formularios | Sí | Viajan cifrados de punta a punta entre tu navegador y el sitio |
| Qué dominios visitás (metadatos) | No | Se ve a qué servidores te conectás, no el contenido exacto |
| El portal cautivo inicial | No, por diseño | Se sirve sin cifrar para mostrar la página de acceso antes de darte internet |
| El punto de acceso, si es malicioso | No | No evita que un punto de acceso hostil vea tu conexión o te redirija |
| Malware que ya tengas o instales por engaño | No | Es cifrado de tránsito, no un antivirus |
Aunque nadie lea el contenido de tus páginas, quien administra la red puede ver a qué dominios te conectás, porque esa información circula sin cifrar para que la conexión se establezca. No es el detalle de lo que hiciste en cada sitio, pero sí un patrón de navegación que HTTPS no oculta.
El portal cautivo: el punto ciego por diseño
Un portal cautivo es la página que muchas redes públicas —cafeterías, aeropuertos, hoteles, transporte— muestran apenas te conectás, antes de darte acceso real a internet: ahí aceptás términos, ingresás un mail o simplemente hacés clic en «conectar». Para funcionar, la red intercepta tu primera conexión y la redirige a esa página propia, que casi siempre se sirve sin cifrado, porque tu dispositivo todavía no tiene salida real a internet ni pudo verificar el certificado del sitio de destino.
Esto crea, por diseño, una ventana en la que tu dispositivo confía en contenido no cifrado de una fuente que no podés verificar del todo. Y es el mismo mecanismo que se puede imitar con un portal falso, montado por alguien con intenciones maliciosas, para pedirte datos que después reutiliza: un usuario y contraseña, o un número de tarjeta «para verificar tu identidad».
Nunca reutilices ahí una contraseña de otro servicio, y desconfiá de cualquier portal que pida un número de tarjeta completo o una descarga de software: un portal cautivo real solo pide, como mucho, un mail o un clic para aceptar términos.
El punto de acceso gemelo
Se llama punto de acceso gemelo (o evil twin, en inglés) a una red Wi-Fi falsa con el mismo nombre —el mismo SSID, el identificador que ves en la lista de redes— que una legítima que vos u otros ya conocen. Tu dispositivo se conecta solo si tenés activada la conexión automática, y quien monta la red gemela controla el punto de acceso por completo, incluido cualquier portal cautivo que veas.
El término tiene recorrido en la comunidad de Underc0de: ya en 2012, un hilo del foro —«Ataque Evil Twin Attack», de Aryenal.Bt— documentaba el concepto. Lo mencionamos acá únicamente como antecedente del origen del término dentro de la comunidad; el enfoque de esta guía es enteramente defensivo y no reproduce ningún paso de ataque.
Del lado defensivo, las señales concretas: dos nombres iguales o muy parecidos en la lista de redes; una red que antes pedía contraseña y ahora aparece abierta; y, sobre todo, verificar el nombre exacto con el personal del lugar y desactivar la conexión automática, para que tu dispositivo no se una solo a una red que solo comparte el nombre con la legítima.
Qué aporta —y qué no— una VPN
Una VPN (red privada virtual) cifra el tráfico entre tu dispositivo y su servidor, y hace que los sitios vean la dirección de ese servidor en lugar de la tuya. En una red pública, eso cifra tu tráfico incluso antes de llegar a un sitio con HTTPS, oculta al operador de la red local a qué dominios te conectás —aunque el proveedor de la VPN sí lo ve— y reduce el margen de quien intervenga el tráfico dentro de esa red.
Tanto CISA como INCIBE siguen recomendando el uso de una VPN en redes públicas. No porque HTTPS no exista, sino porque no cubre los metadatos, la resolución de nombres ni el riesgo del propio punto de acceso: es defensa en profundidad, no un reemplazo de las demás medidas.
Una VPN tiene límites concretos. No te protege de instalar algo malicioso a través de un portal falso, porque ahí sos vos quien autoriza la instalación. No limpia ni detecta el malware que ya tengas: es cifrado de tránsito, no un antivirus. Y no te protege del punto de acceso gemelo desde el momento de la conexión inicial, porque activás la VPN después de conectarte: quien controla ese punto de acceso ya sabe que tu equipo está ahí. Por eso también importa elegir un proveedor de confianza, porque hacia él se desplaza la visibilidad de tu tráfico.
Es el malentendido más común: pensar que una VPN alcanza para navegar «sin ningún riesgo». Cifra la conexión de red y oculta tu IP; nada más. Sigue haciendo falta criterio para reconocer portales falsos y redes gemelas, además de mantener el dispositivo actualizado.
Cómo conectarte a una Wi-Fi pública, paso a paso
Un orden simple, pensado para cerrar los puntos ciegos de las secciones anteriores antes de que se conviertan en un problema:
- Antes de conectarte: desactivá la conexión automática a redes abiertas y confirmá el nombre exacto de la red con el personal del lugar. Si ves dos redes con el mismo nombre, no te conectes a la que aparece sin contraseña.
- Completá el portal cautivo con lo mínimo: un mail o un clic para aceptar términos. No reutilices ahí ninguna contraseña sensible ni ingreses el número completo de una tarjeta.
- Activá tu VPN apenas tengas salida real a internet, antes de abrir cualquier otra app o pestaña que maneje datos sensibles.
- Desactivá la compartición de archivos y marcá el perfil de red como «pública» o «no confiable», para que otros dispositivos de esa red no vean ni accedan a tus carpetas compartidas.
- Priorizá el candado del HTTPS antes de escribir contraseñas o datos de pago, y postergá los trámites más sensibles para una red de confianza si podés esperar.
- Al terminar, desconectate y, si no vas a volver, borrá la red guardada para que tu dispositivo no intente reconectarse solo la próxima vez.
Errores frecuentes
- Creer que una VPN resuelve todo. No protege de un portal falso ni del malware que ya tengas en el dispositivo.
- Pensar que el candado del HTTPS significa cero riesgo. Protege el contenido, no los metadatos, el portal cautivo ni el punto de acceso.
- Asumir que una red con el mismo nombre que una conocida es la legítima. El punto de acceso gemelo se apoya en esa suposición.
- Confundir proteger tu red con usar de forma segura una ajena. Son capas distintas: acá el tema sos vos como cliente.
- Dejar la compartición de archivos activada. Otros equipos de la red pueden ver o acceder a tus carpetas si el perfil no está marcado como público.
- Ingresar datos sensibles en un portal cautivo. Va sin cifrar por diseño; nunca reutilices ahí una contraseña de otro servicio.
Preguntas frecuentes
¿Sigue siendo necesaria una VPN en Wi-Fi pública si casi todo va por HTTPS?
Sí, sigue siendo una recomendación vigente de CISA e INCIBE, aunque el motivo ya no sea el mismo de hace una década. HTTPS cifra el contenido de tu tráfico, así que ya no hace falta una VPN para evitar que alguien lea tus contraseñas en texto claro en la misma red: por eso el consejo clásico de «nunca uses redes públicas» quedó desactualizado. Pero HTTPS no cubre los metadatos de tu navegación —a qué dominios te conectás—, no protege el tramo previo al cifrado, como el portal cautivo, ni reduce el riesgo del propio punto de acceso. Una VPN cifra tu tráfico hasta su servidor y oculta esos metadatos a la red local, aunque el proveedor sí los ve, por lo que conviene elegir uno de confianza. VPN y HTTPS no son sustitutos, sino capas complementarias: usarlas juntas en una red pública es defensa en profundidad.
¿Qué es un portal cautivo y por qué es un punto débil?
Un portal cautivo es la página que muchas redes Wi-Fi públicas —cafeterías, aeropuertos, hoteles, transporte— muestran apenas te conectás, antes de darte acceso real a internet: ahí aceptás términos, ingresás un mail o el número de habitación, o hacés clic en «conectar». Para funcionar, la red intercepta tu primera conexión y la redirige a esa página propia, que casi siempre se sirve sin cifrado, porque tu dispositivo todavía no tiene salida a internet ni pudo verificar ningún certificado. Eso crea, por diseño, una ventana en la que tu equipo confía en contenido no cifrado de una fuente que en ese momento no podés chequear del todo. El punto débil real es que ese mismo mecanismo puede imitarse con un portal falso para pedirte datos que después se reutilizan: un usuario y contraseña, o un número de tarjeta bajo la excusa de «verificar tu identidad». La recomendación defensiva es ingresar ahí lo mínimo, nunca reutilizar una contraseña sensible, y desconfiar de cualquier pedido de datos que un simple acceso a Wi-Fi no debería necesitar.
¿Cómo reconozco un punto de acceso gemelo?
Un punto de acceso gemelo, o evil twin, es una red Wi-Fi falsa con el mismo SSID —el nombre que ves en la lista de redes— que una legítima ya conocida. Hay señales que ayudan a sospechar: dos nombres iguales o muy parecidos en la lista; una red que antes pedía contraseña y ahora aparece abierta; o un portal cautivo distinto al de otras visitas al mismo lugar. La defensa más simple es no confiar en el nombre por sí solo: verificá con el personal del lugar cuál es la red oficial, y desactivá la conexión automática, porque un punto de acceso gemelo depende de que tu equipo se una solo por reconocer el nombre. El término tiene un antecedente en la comunidad de Underc0de: ya en 2012, un hilo del foro —«Ataque Evil Twin Attack», de Aryenal.Bt— documentaba el concepto; se lo cita acá solo como origen histórico, no como referencia de ningún procedimiento de ataque.
¿Es seguro operar con el banco desde una Wi-Fi pública?
Es más seguro que hace una década, porque la banca en línea usa HTTPS de forma casi universal, lo que cifra el contenido de la operación. Pero «más seguro» no es «sin riesgo», y conviene ser más conservador que con una navegación cualquiera. Los riesgos que siguen abiertos no dependen de que el banco use HTTPS: el portal cautivo de la red puede imitarse para robar credenciales antes de llegar al banco; un punto de acceso gemelo puede interponerse; y quien administra la red puede ver, como mínimo, que te conectaste a ese dominio. La recomendación razonable: si podés esperar a una red de confianza —tu casa, tu trabajo, tus datos móviles— para trámites bancarios importantes, es preferible. Si no podés esperar, activar una VPN de confianza antes de operar y verificar el candado de HTTPS reduce buena parte del riesgo adicional que agrega la red pública.
¿Qué diferencia hay entre proteger mi red y usar la de un aeropuerto?
Son capas de seguridad distintas. Proteger tu red doméstica o empresarial es trabajo de administrador: configurar el router, elegir WPA3 (o WPA2 como mínimo aceptable), poner una contraseña robusta y mantener el firmware actualizado. Ahí vos controlás el punto de acceso y sos responsable de su configuración. Usar la red de un aeropuerto es la situación opuesta: sos cliente de una red que administra otra persona, sin control sobre su configuración ni certeza de que el punto de acceso sea el legítimo y no un gemelo. Por eso las medidas cambian de rol: en tu red, se trata de configurarla bien; en una ajena, de comportarte como un cliente cauteloso —verificar el nombre de la red, desconfiar del portal cautivo, limitar qué expone tu dispositivo—, porque no tenés ninguna injerencia sobre cómo está armada.
¿Desactivar la compartición de archivos cambia algo de verdad?
Sí, y es de las medidas más efectivas y más ignoradas. Con la compartición de archivos activada, o el perfil de red configurado como «doméstica» en lugar de «pública», otros equipos de la misma red pueden detectar tu dispositivo o acceder a carpetas que expusiste pensando en tu red de confianza, no en una llena de desconocidos. La mayoría de los sistemas operativos ofrecen un perfil de red «pública» o «no confiable» que, al activarlo, oculta tu equipo frente a otros dispositivos y desactiva por defecto la compartición de archivos. Comprobar que ese perfil esté activo cada vez que te conectás a una red que no es la tuya es un paso rápido, sin instalar nada adicional, que reduce de forma concreta la superficie de exposición de tu dispositivo.
Fuentes
Documentación oficial y material de la comunidad consultados para esta guía. Fecha de consulta: 29 de julio de 2026.
Aportes de la comunidad Underc0de
- Underc0de, foro. Ataque Evil Twin Attack, por Aryenal.Bt, sección Seguridad Wireless (2012). Se cita solo como antecedente del término «evil twin»; el hilo describe una técnica ofensiva que esta guía no reproduce.
- Underc0de, foro. Consejos para aumentar la seguridad de tu red Wi-Fi, por Cl0udswX, sección Seguridad Wireless (2014). Antecedente histórico sobre la red propia, previo a WPA3 y a HTTPS masivo; no es fuente de recomendaciones vigentes acá.
Documentación oficial
- CISA. Best Practices for Using Public Wi-Fi Tip Card. Recomendaciones oficiales para el uso de redes públicas.
- INCIBE. Redes Wi-Fi públicas o abiertas. Guía del instituto español de ciberseguridad.
- Wi-Fi Alliance. Wi-Fi Security. Referencia del organismo que certifica los estándares de seguridad Wi-Fi.
- EFF. HTTPS Everywhere. Contexto sobre la adopción de HTTPS en la web.
- Proton. Why you need VPN on public WiFi (HTTPS isn't enough). Fuente comercial, usada solo como complementaria y contrastada con las fuentes oficiales anteriores.