La diferencia en un minuto
Con HTTPS, el navegador autentica el sitio mediante un certificado y cifra la sesión hasta llegar a ese sitio. La red local, el proveedor de servicios de Internet y el servidor VPN no pueden leer el contenido de HTTPS, aunque pueden observar los metadatos necesarios para el enrutamiento.
Con una VPN, el sistema cifra el tráfico previsto hasta el servidor VPN. Desde ese servidor, el tráfico continúa hasta su destino. Si también utiliza HTTPS, permanece cifrado hasta el sitio; de lo contrario, el tramo posterior al servidor VPN no obtiene mágicamente la protección de HTTPS.
| Pregunta | VPN | HTTPS |
|---|---|---|
| Comienza en | Dispositivo o aplicación VPN | Navegador o aplicación |
| Termina en | Servidor VPN | Sitio o servicio |
| Dirección IP vista por el sitio | Servidor de salida | No la cambia |
| Protege contra sitios falsos | No | El certificado ayuda, sin impedir el phishing |
Fuentes y referencias
¿Quién puede ver qué?
La red local ve principalmente una conexión cifrada con el servidor VPN. El proveedor de VPN ve la información necesaria para transmitir la conexión, pero HTTPS limita su capacidad para leer el contenido intercambiado con el sitio.
El sitio ve la dirección IP de salida de la VPN y todo lo que compartes con él: la cuenta iniciada, las cookies, los datos de formularios y los identificadores del navegador. HTTPS protege estos datos durante el transporte, no frente al propio destinatario.
Ejemplo en Wi-Fi de hotel
Abres la web de tu banco mediante HTTPS mientras la VPN está activa. El Wi-Fi del hotel no puede ver el contenido de la página; solo ve una conexión con la VPN. El servidor VPN retransmite la conexión, pero HTTPS mantiene cifrado el contenido bancario hasta el banco.
Si una página muestra una alerta de certificado, no la ignores por el mero hecho de que la VPN esté activa. El túnel no valida la identidad del sitio en lugar del navegador.
Conceptos erróneos comunes
El candado del navegador no significa que el sitio sea honesto: indica principalmente que la conexión con ese dominio está cifrada y autenticada conforme al certificado. Un sitio de phishing también puede utilizar HTTPS.
Por el contrario, HTTPS no oculta al sitio la dirección IP de tu conexión. Una VPN puede cambiar la dirección de salida, pero las cuentas y las cookies siguen siendo visibles para el sitio.
- Sigue usando HTTPS incluso con una VPN.
- Nunca ignores una alerta de certificado sin comprender su causa.
- Comprueba el alcance de la aplicación o extensión VPN.
- Trata al proveedor de VPN como un intermediario de confianza.