¿Por qué se anuncian las VPN en la tele?

Estos días me salen en la tele anuncios de VPN. Y cada vez que veo uno me hago la misma pregunta: de toda la gente que está en el sofá viendo esto, ¿cuánta sabe qué es una VPN?

La escena de la pregunta: un salón, un anuncio y una palabra de tres letras. Ilustración generada con IA para este artículo; no representa ningún anuncio real.

No lo sé. Sospecho que no todo el mundo. Y aun así alguien paga anuncios de televisión, que no son baratos, para un producto que parte de su público quizá no sabría explicar.

Le di un par de vueltas y creo que tiene sentido. Solo que, para entender por qué, hay que separar dos cosas: lo que el anuncio puede contar en veinte segundos y lo que una VPN hace de verdad.

Nadie compró el ABS por el ABS

Esto no es nuevo.

Durante años, los anuncios de coches presumían de ABS, y poca gente habría sabido explicar qué hacía exactamente. El ABS no está, sobre todo, para frenar antes, sino para que las ruedas no se bloqueen y puedas seguir girando el volante mientras frenas a fondo. Sobre grava o nieve suelta puede incluso alargar la frenada. Pero el anuncio no tenía que explicar nada de eso: le bastaba con una palabra asociada a la seguridad.

Pasa con muchos productos: lo que se anuncia es el beneficio, no el mecanismo. No es trampa; en veinte segundos no cabe otra cosa. Lo que sí pasa es que, cuanto menos se conoce el mecanismo, más tiene que imaginar el espectador por su cuenta.

Lo que se ve desde el sofá

Si me fijo en lo que cuentan los anuncios de VPN en general, veo tres ideas que se repiten.

La primera es la privacidad: que lo que haces en internet es tuyo y alguien podría estar mirándolo. Sin mucho detalle de quién ni cómo, que tampoco cabe.

La segunda es la sencillez: una aplicación, un botón, y listo. Sin configurar nada.

La tercera es una palabra técnica que suena seria, y la más repetida es «cifrado de grado militar». No es una categoría de ninguna norma. Cuando se concreta, suele referirse a AES con claves de 256 bits, que es un estándar público: el NIST lo publicó en noviembre de 2001, cualquiera puede leerlo, y es de la misma familia de cifrado que protege muchas conexiones HTTPS corrientes, las de la web del banco o la del periódico. No es falso. Solo que, dicho así, el espectador no tiene forma de saber que su navegador ya usa algo parecido por su cuenta.

Ninguna de las tres cosas es mentira. El problema es otro: con esas tres piezas, cada uno rellena el hueco con lo que cree que es «estar protegido», y ahí es donde conviene afinar.

Por qué se ven tanto

Hay también una parte comercial que explica por qué se ven tanto, y no solo en la tele. Una VPN comercial se vende por suscripción, y el precio mensual que se anuncia en grande suele corresponder a planes de uno o dos años pagados por adelantado. Además, muchas funcionan con programas de afiliados: pagan una comisión por cada suscripción que llega desde el enlace o el código de un creador, y por eso salen en la pausa de tantos vídeos de YouTube y de tantos pódcast. Es un patrocinio que encaja en casi cualquier canal, porque todo el mundo usa internet.

Lo que hace de verdad una VPN

Vamos a lo técnico, sin tecnicismos.

Cuando navegas normalmente, tu tráfico sale de tu casa, pasa por tu operadora y va a la web que visitas. La web ve la dirección IP de tu conexión. Tu operadora ve a qué sitios te conectas, aunque —si la web va por HTTPS— no lo que haces dentro.

Con una VPN pasan dos cosas:

• Se crea un túnel cifrado entre tu dispositivo y un servidor del proveedor de la VPN. Todo tu tráfico va por dentro de ese túnel. Tu operadora, o quien controle el wifi en el que estés, solo ve que hablas con ese servidor, cuánto y cuándo, y poco más.
• Tu IP pública pasa a ser la de ese servidor. Las webs que visitas ya no ven la tuya, sino la del proveedor, que puede estar en otra ciudad o en otro país.

Eso es todo. No es poco, pero es eso. Y de ahí salen sus usos reales, que son unos cuantos. El más doméstico es el catálogo: si el servidor está en otro país, las webs creen que estás allí, y por eso hay quien la usa para ver lo que una plataforma de streaming ofrece en otro sitio. Otra cosa es que las condiciones de la plataforma lo permitan, que no siempre, y que algunas detectan las IP de las VPN conocidas y las bloquean.

Conviene separar además una cosa que se llama igual y no lo es: la VPN de empresa. Esa no te saca a internet desde otro país: te mete dentro de la red de la oficina desde casa, para que llegues al servidor de ficheros o a la aplicación interna como si estuvieras allí. Misma tecnología, otro producto y otro propósito.

El wifi público, hoy

La escena del wifi público —la cafetería, el hotel, el aeropuerto— tenía más peso hace diez o quince años, cuando buena parte de la web viajaba sin cifrar y alguien en la misma red podía leer lo que pasaba por ella. Hoy casi todo va por HTTPS. Según la telemetría de Firefox que publica Let's Encrypt, en otoño de 2013 no llegaba a un tercio de las páginas que se cargaban en todo el mundo; estos días, en España, más de ocho de cada diez se cargan ya cifradas.

Y HTTPS funciona igual en la cafetería que en el hotel o en casa: el contenido de la página y la contraseña del banco viajan cifrados sea cual sea la red. Lo que la red sí puede llegar a ver, quien la administre o quien esté en ella, son los nombres de los sitios a los que te conectas.

Ahí es donde una VPN aporta algo en un wifi público. Le quita a esa red la vista de adónde vas, y el poco tráfico que todavía no va bien cifrado —alguna web antigua, alguna aplicación que no hace las cosas como debe— cruza el wifi dentro del túnel. Ojo con lo que eso cubre: el túnel acaba en el servidor del proveedor, y de ahí hasta su destino ese tráfico sigue viajando como viajaba. Lo protege frente a quien controla la red local, no durante todo el recorrido. Tiene más sentido cuanto menos sabes de la red: la del hotel que te pide el número de habitación, la del aeropuerto con tres nombres parecidos, la de un sitio donde no sabes quién administra el router.

La confianza no desaparece: se muda

Esto es lo que más cuesta contar en un anuncio, porque no cabe en veinte segundos.

Una VPN no elimina la necesidad de confiar en alguien. La traslada. Antes, quien podía ver a qué sitios te conectabas era tu operadora o el dueño del wifi. Ahora es el proveedor de la VPN: sabe a qué destinos te conectas, cuándo y cuánto, aunque en lo que va por HTTPS no puede leer el contenido de las páginas. Por eso importa a quién se lo das: qué registra, dónde está y si alguien independiente lo ha comprobado. Y, si es gratuita, cómo se pagan sus servidores.

Y hay casos en los que mudar la confianza es exactamente lo que se necesita. En países donde se censuran webs o se vigila la red, la operadora local puede ser justo de quien uno se quiere proteger, y un túnel hacia fuera es lo que permite leer la prensa o hablar con quien se quiera. Lo mismo vale para periodistas y activistas que trabajan en esos entornos. Ahí la VPN es una herramienta seria, aunque quien se juega algo de verdad suele necesitar más que una VPN comercial, y en algunos de esos países usarla está a su vez restringido.

Lo que queda fuera del túnel

Lo que más me interesa aclarar no es lo que la VPN hace, sino lo que se le puede atribuir sin querer.

Ya escribí aquí sobre las medidas que dan calma sin medir nada, y entre ellas estaba «la VPN que se cree un antivirus». Una VPN protege el trayecto, no lo que haces con él, así que no te protege de:

• El phishing. Si pinchas en el enlace de un SMS falso y escribes tu contraseña en la web del estafador, la VPN la llevará cifradísima hasta el estafador. Lo vimos con los números en el simulacro en el que uno de cada doce entregó su contraseña.
• El malware. Un programa malicioso que instalas tú mismo funciona igual con túnel que sin él. Me tocó revisar los ordenadores de casa por unos mods con malware de un juego, y ninguna VPN habría cambiado nada.
• Las contraseñas reutilizadas. Si tu contraseña se filtra de otro sitio y es la misma en todas partes, entran por la puerta principal. Para eso están el gestor de contraseñas y el segundo factor, de lo que ya hablé en julio.
• El rastreo por cuenta y por cookies. Cambiar de IP no sirve de mucho si entras con tu cuenta en el buscador, la red social o la tienda. Te reconocen por quién eres, no por desde dónde te conectas.

Nada de esto es un defecto de la VPN: no es su trabajo. Solo conviene no dárselo por hecho.

Antes de pagar una

No voy a decir si te hace falta o no, porque depende de para qué. Pero hay cinco preguntas que yo me haría antes de sacar la tarjeta:

1. ¿Qué problema concreto quiero resolver? Ver otro catálogo, conectarme en redes de las que no me fío, esquivar una censura. Si sé decirlo en una frase, sé también si una VPN lo resuelve.
2. ¿Me fío de este proveedor más que de mi operadora? Quién es, en qué país está, qué dice que registra y si alguien independiente lo ha comprobado. A partir de ahora va a saber a qué me conecto.
3. Si es gratis, ¿quién paga los servidores? Alguien lo hace, y conviene saber con qué.
4. ¿Cuánto me ata? Cuántos años pago por adelantado, qué pasa si me arrepiento y a qué precio se renueva.
5. ¿Tengo ya lo básico? Gestor de contraseñas, segundo factor, el sistema y el navegador al día. Eso protege en cualquier red, con VPN o sin ella.

Si después de las cinco la VPN sigue teniendo sentido, adelante: para lo suyo, funciona. Y volviendo a la pregunta del principio: sí, tiene sentido anunciarla aunque mucha gente no sepa qué es. Lo que no cabe en el anuncio es para qué sirve exactamente, y eso le toca averiguarlo a cada uno.

(El día que anuncien en la tele un gestor de contraseñas, escribo la segunda parte. Lo tiene más difícil para contarlo en veinte segundos, y resuelve un problema que tiene casi todo el mundo.)