Utah y el Congreso proponen regular el uso de VPN: qué oculta tu VPN y qué conviene preguntar al proveedor

Si usas una VPN (un servicio que dirige tu tráfico por un túnel cifrado a través de un servidor intermediario), probablemente hayas encontrado algún sitio web que te pide «desactivar la VPN» o que simplemente no carga. En las últimas semanas se han publicado en Estados Unidos dos propuestas de regulación relacionadas con las VPN. La primera se dirige a los sitios web; la segunda, a los propios proveedores de VPN. Ambas ayudan a entender qué hace realmente una VPN y qué más conviene revisar.

Qué se ha publicado

Utah: los sitios web deberán detectar quién oculta su ubicación. La División de Protección al Consumidor del Departamento de Comercio del estado de Utah ha publicado una propuesta de reglamento (R152-78B) para aplicar la ley SB 73. El reglamento aborda la responsabilidad de los sitios web que publican contenido definido como perjudicial para menores e incluye la obligación de verificar la edad. Según los comentarios oficiales presentados por la organización de derechos digitales EFF, la propuesta obliga a estos sitios a utilizar un «sistema comercialmente razonable para detectar la ocultación de la ubicación». En la práctica, deberán intentar identificar a los visitantes de Utah incluso cuando se conecten mediante una VPN. Según EFF, las señales que menciona la propuesta incluyen el tiempo de respuesta de la conexión (latencia, el tiempo que tardan los datos en ir y volver), la zona horaria configurada en el dispositivo o el navegador y «otros datos pertinentes» que envíe el dispositivo.

EFF sostiene que, desde el punto de vista técnico, es imposible cumplir este requisito. Según la organización, un sitio web no tiene una forma fiable de saber si una conexión VPN procede de Salt Lake City, Seattle o Shanghái. Por eso, los sitios podrían quedarse con solo dos opciones: dejar de operar en Utah o bloquear a todos los usuarios de VPN, estén donde estén. La organización también advierte de que las señales propuestas no son fiables. El tiempo de respuesta, por ejemplo, se ve afectado por una cobertura móvil débil o por la congestión de la red. Advierte además de que los sitios se verán obligados a recopilar información sobre los dispositivos de todos sus visitantes y de que los datos recogidos para verificar la edad y la ubicación podrían conservarse durante mucho tiempo. Según EFF, la ley de privacidad de Utah a la que remite el reglamento permite a las empresas tramitar una solicitud de eliminación en un plazo de 90 días.

El Congreso: bloqueo a través del proveedor de VPN. Según una publicación de EFF, el congresista Darrell Issa ha presentado el proyecto de ley American Copyright Protection Act (ACPA, H.R. 10364). La propuesta permitiría a un titular de derechos de autor pedir a un tribunal que declare un sitio extranjero como «sitio extranjero de piratería». Después podría solicitar órdenes que obliguen a los proveedores de internet, a los proveedores de DNS (el servicio que traduce el nombre de un sitio a su dirección numérica) y, expresamente, también a los proveedores de VPN a tomar «medidas comercialmente razonables» para impedir que los usuarios de Estados Unidos accedan al sitio. EFF señala que una propuesta similar del año pasado excluía a los proveedores que solo ofrecen servicios de VPN. La nueva propuesta elimina esa excepción. Según la organización, también amplía la definición de sitio de piratería. La declaración podría emitirse sin que el sitio acusado comparezca para defenderse. EFF reconoce que la propuesta incluye algunas garantías, como la notificación a los proveedores, una fianza y la posibilidad de solicitar que se anule la declaración. Sin embargo, considera que estas garantías no resuelven el problema de fondo.

La cobertura en los medios mencionó una fecha concreta de presentación de la propuesta. La publicación de EFF no indica esa fecha, por lo que no la incluimos aquí.

Qué significa para ti

La dirección está protegida, pero conviene conocer los demás datos. Una dirección IP es el número que identifica tu conexión en la red. Por lo general, revela tu país, tu región y tu proveedor de internet. Una VPN la sustituye por la dirección del servidor al que te conectas. Así, los sitios web ven la dirección del servidor en lugar de la tuya. Además de la dirección, el navegador y el dispositivo envían otros datos a los sitios, como la configuración de idioma y el tipo de navegador. La combinación de estos datos se denomina a veces «huella digital». Según EFF, la propuesta de Utah enumera señales de este tipo, entre ellas la zona horaria y el tiempo de respuesta de la conexión. Puedes controlar muchas de estas opciones de configuración, por lo que conviene conocerlas y revisarlas de vez en cuando.

Estas señales pueden dar lugar a errores. Puede ocurrir, por ejemplo, al navegar en un tren con poca cobertura, al estar de vacaciones sin ajustar el reloj o al conectarse a una red congestionada. EFF considera que los sitios que no puedan distinguir entre un visitante de Utah y otro de Tel Aviv podrían optar por lo más sencillo y bloquear a todos los usuarios de VPN. Es decir, una norma de un solo estado de Estados Unidos también podría afectarte. Es probable que aumenten las peticiones de «desactiva la VPN» y los bloqueos por error. En estas situaciones, hay personas que desactivan la protección mientras están conectadas a la red de un hotel o de un aeropuerto, solo para seguir navegando. Conviene evitarlo.

Detectar exige recopilar información. Para detectar a los usuarios de VPN, un sitio necesita examinar más información sobre cada visitante, no solo sobre quienes usan una VPN. EFF advierte de que estos datos, junto con los de verificación de edad, podrían acumularse y convertirse en un objetivo de ataques y filtraciones. Antes de entregar a un sitio un documento de identidad o datos personales, conviene preguntar cuánto tiempo los conservará y qué ocurrirá con ellos después.

El propio proveedor podría filtrar sitios web. La propuesta federal funciona de otra manera. No intenta identificarte, sino obligar al proveedor a través del que navegas a bloquear sitios por orden judicial. Según los datos que cita EFF, mecanismos de bloqueo similares en Europa también han afectado a sitios legítimos. En Italia se bloquearon 510 sitios que no tenían relación con las retransmisiones, entre ellos el de un monasterio y una plataforma de telemedicina. En España se bloquearon más de 550 mil dominios durante retransmisiones de fútbol. Por eso, además de preguntar «¿la VPN me oculta?», conviene preguntar qué filtra el proveedor, en virtud de qué autoridad y si te informa de ello.

Qué tienen en común las dos propuestas. Ambas tratan la VPN como un obstáculo que hay que sortear o como un servicio al que se puede obligar a participar en un bloqueo, no como una herramienta básica de seguridad. No hay motivo para alarmarse: se trata de una propuesta de reglamento y de un proyecto de ley, no de obligaciones vigentes. Aun así, conviene entender sus consecuencias ahora, antes de que empiecen a afectar al uso diario. Para los propietarios de pequeñas empresas, esto también importa en el trabajo cotidiano: un empleado que se conecta a distancia mediante una VPN podría encontrarse con un bloqueo por error en un servicio del que depende la empresa.

Qué puedes hacer ahora

• Comprueba qué ven los sitios web. Visita la página Cuál es mi dirección IP con la VPN y sin ella, y comprueba que la dirección cambia.
• Conoce la configuración del dispositivo. Además de la dirección, los sitios pueden examinar los datos que envían el navegador y el dispositivo. Revisa de vez en cuando las opciones de privacidad de ambos para saber qué comparten.
• Decide de antemano qué hacer ante un bloqueo. Si un sitio te exige desactivar la VPN mientras estás en una red pública, es preferible esperar a conectarte a una red de confianza. Mientras tanto, mantén la protección activa.
• Reduce los datos que entregas para verificar tu edad. Antes de subir un documento de identidad, busca la declaración del sitio sobre la conservación y eliminación de datos. Si no la hay, piensa bien si quieres continuar.
• Haz preguntas directas al proveedor de VPN: ¿El servidor y la dirección son compartidos o dedicados? ¿Qué datos se guardan y durante cuánto tiempo? ¿Qué bloquea el proveedor y puedes consultar la lista de bloqueos? ¿Dónde está registrada la empresa y quién es su propietario? ¿Publica el proveedor una declaración sobre las solicitudes gubernamentales de datos?
• Para empresas: asegúrate de que los empleados tengan una vía alternativa y segura para acceder a los sistemas esenciales si se produce un bloqueo por error.

Cómo ayuda nuVPN

• Un servidor y una dirección IP propios. En nuVPN, cada cliente con un plan dedicado recibe un servidor privado y una dirección IP fija que solo utiliza él. Los sitios web ven la dirección de tu servidor y tu dirección real permanece oculta. La dirección está limpia, es estable y solo la usas tú.
• DNS dentro del túnel. Todas las consultas DNS pasan por el túnel cifrado, de modo que tu proveedor de internet nunca ve qué sitios visitas.
• Qué se guarda, en detalle. La página de transparencia presenta una lista cerrada de los datos que guarda nuVPN: dirección de correo electrónico y datos de la cuenta; volumen total de tráfico diario para la facturación, que se elimina automáticamente después de 90 días; y estado del pago facilitado por el procesador de pagos. La política No-logs se aplica mediante código y no se limita a una declaración. Así, tu historial de navegación, tus consultas DNS y el contenido de tu tráfico siguen siendo tuyos.
• Filtrado visible. La protección nuDefend, incluida en todos los planes, bloquea sitios conocidos de phishing, malware y estafas, así como direcciones de atacantes conocidos. Las herramientas legítimas, como Google Analytics, siguen funcionando con normalidad. En el área personal se muestra el número de amenazas que se han bloqueado para ti.
• Quién está detrás del servicio. nuVPN está operada por una empresa privada israelí, registrada desde 2017. La empresa pertenece íntegramente a su fundador, un ingeniero de redes y seguridad. En la página de transparencia también se publica un Warrant canary, revisado por última vez el 19 de agosto de 2026. La declaración indica que, hasta esa fecha, no se habían recibido solicitudes gubernamentales de datos de usuarios. Si la declaración desaparece, conviene preguntar por ello.

En resumen

La propuesta de reglamento de Utah intenta identificarte mediante los datos que envía tu dispositivo. El proyecto de ley federal intenta obligar a tu proveedor a filtrar sitios web. Ambos siguen siendo propuestas y no hay motivo para alarmarse. Una VPN protege tu dirección y cifra el tráfico. Además, conviene conocer los datos que envía el dispositivo, mantener la protección activa en las redes públicas incluso cuando encuentres un bloqueo y elegir un proveedor que explique de forma explícita qué guarda y qué filtra.