Protégete

Dos preguntas aparecen constantemente, y se mezclan aunque las respuestas sean distintas. **¿Puede el dueño del Wi-Fi ver lo que hago?** ¿Y **aparece algo de eso en la factura de internet?** En resumen: sí a la primera, de forma más estrecha de lo que se teme, y no a la segunda.

Lo que el operador de la red ve y lo que no

Empecemos por la factura, porque es la fácil y la creencia es sencillamente falsa. **Una factura de internet no lista el historial de navegación.** Muestra la suscripción, la tarifa, a veces el total de datos consumidos y los cargos adicionales. No contiene ninguna lista de los sitios que ha visitado nadie del hogar. Los operadores sí conservan registros de conexión durante plazos legales en muchos países, pero eso no se imprime en una factura, y el titular no puede consultarlo desde su área de cliente.

La pregunta del dueño del Wi-Fi es más interesante, porque la respuesta honesta es *algunas cosas, otras no*, y la frontera cae en un punto que sorprende.

**Lo que ve quien gestiona la red.** Quien controla el router ve los destinos a los que se conecta tu dispositivo: direcciones IP y, en la mayoría de los casos, nombres de dominio. Los dominios se filtran de dos formas corrientes incluso en conexiones cifradas. Si tu dispositivo usa el servidor DNS del router, cada consulta pasa por él. Y el handshake TLS que abre una conexión HTTPS ha llevado históricamente el nombre de host en claro, en un campo llamado SNI. Así que `ejemplo.com` suele ser visible.

Lo que lo cambia de verdad

También ve la forma de tu tráfico: cuándo estuviste conectado, cuántos datos circularon y aproximadamente qué tipo de servicio era. Un flujo largo y constante a tasas de vídeo se reconoce como streaming sin que nadie haya leído un solo byte.

• **Visible para el operador de la red:** direcciones IP de destino, nombres de dominio vía DNS y el campo SNI de TLS, horarios y volúmenes de datos
• **No visible con HTTPS:** contenido de las páginas, URL completas, términos de búsqueda, mensajes, datos de formularios, contraseñas
• **No en la factura:** el historial de navegación no aparece en ninguna factura de internet, de ninguna forma
• **DNS cifrado (DoH/DoT):** elimina la fuga de DNS hacia el router
• **Encrypted Client Hello:** cierra la fuga del SNI, donde navegador y sitio lo admiten
• **Una VPN:** el operador ve un único túnel cifrado y nada de su contenido

**Lo que no ve.** Con HTTPS, hoy el estándar en la web, el operador no ve la página que lees, los términos que buscaste, los mensajes que enviaste, el contenido de los formularios ni tus contraseñas. La URL completa tras el dominio, la parte después de la barra, está dentro del canal cifrado. Saber que te conectaste a un medio no es saber qué artículo abriste.

Esta es la distinción que importa, y la que casi todos los artículos difuminan: **el dominio suele verse, el contenido casi nunca.**

**Que quede registrado es otra cuestión.** La mayoría de los routers domésticos no guardan un registro detallado de navegación por defecto: su almacenamiento es mínimo y la función suele estar desactivada. Las redes de empresa, escuela u hotel son otro asunto, porque a menudo usan equipos hechos precisamente para registrar y filtrar. La regla práctica: en una red que no controlas, asume que los destinos podrían quedar registrados y actúa en consecuencia.

**Lo que cambia de verdad el panorama.** El DNS cifrado (DoH o DoT) impide que el router vea tus consultas. Encrypted Client Hello, cuando navegador y sitio lo admiten, cierra la fuga del SNI. Una **VPN** hace ambas cosas a la vez y más: el operador solo ve una conexión cifrada hacia el servidor VPN y nada de lo que circula dentro. Esa es la diferencia real que aporta una VPN aquí, y merece decirse con precisión y no en vago.

Lo que una VPN no hace es volverte anónimo frente a los sitios que visitas, ni ocultar nada al propio proveedor de VPN, por lo que la elección de proveedor importa. El resumen honesto: el dueño del Wi-Fi ve adónde vas, no lo que haces; la factura no muestra ninguna de las dos cosas; y si el *adónde* es lo que quieres mantener privado, el cifrado en la capa adecuada es lo que lo borra.