Las redes bloquean webs de tres formas principales: se niegan a buscar el nombre de la web (DNS), leen ese nombre al empezar la conexión segura (SNI) o descartan el tráfico hacia la dirección de la web (IP). Una VPN mete las tres cosas dentro de un túnel cifrado, así que la red solo ve una conexión con el servidor de la VPN. Si la red bloquea también las VPN, el modo Sigilo de PryVPN viaja como HTTPS normal por el puerto 443.
Una web de noticias abre en casa pero no en la Wi-Fi de la oficina. Una app de mensajería funciona con datos móviles y se queda colgada en la red del aeropuerto. Una página que ayer cargaba hoy dice «No se puede acceder a este sitio». En 2026 casi todos estos casos tienen la misma explicación: la red que está en medio ha decidido no llevar ese tráfico.
Los bloqueos suenan a algo muy técnico, pero solo funcionan de unas pocas maneras. En cuanto sabes cuál tienes delante, sabes qué lo atraviesa.
Primero: ¿está bloqueada o está caída?
Antes de culpar a la red, descarta que el problema sea de la propia web. Nuestra herramienta gratuita ¿Está caída? comprueba la dirección a la vez desde nuestro servidor y desde tu conexión:
- Caída desde los dos lados: la web tiene un problema. Nada de lo que hagas la abrirá; espera un poco.
- Funciona desde nuestro servidor y falla desde el tuyo: algo entre tú y la web se interpone. Es un bloqueo, un filtro o la página de acceso de la Wi-Fi.
Una prueba aún más rápida en el celular: pasa de la Wi-Fi a los datos móviles, o al revés. Si la web abre en una y no en la otra, la red en la que estabas es la que la bloquea.
Quién bloquea webs y por qué
Los bloqueos están por todas partes y casi siempre son rutina:
- Colegios, universidades y empresas filtran categorías como juegos, redes sociales o video para ahorrar ancho de banda o aplicar sus normas. Nuestro artículo sobre por qué la Wi-Fi de la universidad o del trabajo bloquea las VPN trata ese caso.
- Hoteles, cafeterías y aeropuertos suelen comprar un router con un filtro de «navegación segura» activado, que atrapa más de lo que debería.
- Operadores móviles y proveedores de internet aplican filtros parentales, bloquean las webs que un juez les ordena bloquear y, en algunos países, siguen listas del gobierno.
- El deporte en vivo se ha convertido en un motivo habitual. Algunos titulares de derechos consiguen órdenes judiciales que bloquean direcciones de servidores durante los partidos. Como muchas webs sin relación comparten esas mismas direcciones en las grandes redes de alojamiento, esos bloqueos también han dejado sin servicio durante horas a webs normales y legales.
Ese último punto es el verdadero problema de los bloqueos en 2026: son toscos. El método que se elige decide cuánto tráfico inocente cae con ellos.
Método 1: bloqueo por DNS
Cada vez que abres una web, el celular pregunta primero a un servidor DNS cuál es su dirección. Por defecto es el DNS de la red en la que estás, y la pregunta viaja sin cifrar.
Una red que quiere bloquear una web simplemente contesta mal: «esa web no existe», o la dirección de su propia página de aviso.
Qué ves: «No se puede acceder a este sitio», DNS_PROBE_FINISHED_NXDOMAIN o una página de tu operador o tu centro que dice que la web está bloqueada.
El bloqueo por DNS es el más barato, así que es el más común. El DNS cifrado (DNS sobre HTTPS o sobre TLS, el DNS privado de Android) oculta esas preguntas a la red, y con eso pasas muchos bloqueos por DNS. No sirve para los dos métodos siguientes.
Método 2: filtrado por SNI
Cuando el navegador empieza una conexión HTTPS segura, el primer mensaje que envía incluye el nombre de la web en texto claro. Ese campo se llama SNI (Server Name Indication). Existe para que un servidor pueda alojar muchas webs, y significa que la red puede leer qué web abres aunque el resto vaya cifrado.
Un filtro que lee el SNI deja empezar la conexión, ve el nombre y la corta.
Qué ves: la página empieza a cargar y falla con «conexión restablecida» o tras un tiempo de espera, mientras otras webs HTTPS funcionan bien.
Un estándar más reciente, Encrypted Client Hello (ECH), oculta también ese nombre. Los navegadores y las grandes redes de alojamiento lo van adoptando, pero en 2026 muchas webs y redes todavía no lo usan, así que el SNI sigue siendo legible en buena parte de las conexiones.
Método 3: bloqueo por IP
El método más tosco descarta todos los paquetes que van a una dirección concreta. Da igual qué pidas o cómo: si la web vive en esa dirección, la red no entrega tu tráfico.
Qué ves: una espera larga hasta que salta el error, a menudo en todas las redes de ese mismo proveedor.
El bloqueo por IP es el que más daños colaterales causa, porque una sola dirección puede alojar miles de webs que no tienen nada que ver.
Los tres métodos, uno al lado del otro
| Método | Qué usa la red | Síntoma típico | Qué lo atraviesa |
|---|---|---|---|
| DNS | Tu consulta del nombre, sin cifrar | «No se puede acceder» o una página de aviso | DNS cifrado o una VPN |
| SNI | El nombre de la web al empezar el HTTPS | Empieza a cargar y se corta | Una VPN (ECH donde las dos partes lo admiten) |
| IP | La dirección del servidor de la web | Espera larga | Una VPN |
La VPN es la respuesta en todas las filas porque cambia lo que ve la red. En lugar de tus consultas, el nombre de la web y su dirección, la red ve una sola conexión cifrada con el servidor de la VPN. No hay nada en ella que filtrar.
Cuando la red bloquea también la VPN
Algunas redes van un paso más allá y bloquean las propias VPN, normalmente descartando el tráfico UDP o reconociendo el saludo inicial de la VPN. WireGuard, el protocolo que usa PryVPN, empieza cada conexión con un mensaje de tamaño y forma fijos, que un filtro puede aprender a detectar.
Para eso está el modo Sigilo de PryVPN. Lleva WireGuard dentro de una conexión TLS 1.3 real por el puerto TCP 443, el mismo protocolo y el mismo puerto que usa cualquier web HTTPS. Para la mayoría de los filtros parece una web segura más, y la app fija el certificado de nuestro servidor, así que una red que intenta interceptar la conexión queda al descubierto en vez de recibir tu confianza.
No tienes que elegirlo tú: en modo Automático, PryVPN prueba primero UDP y, si el servidor no responde en unos 7 segundos, cambia a Sigilo y recuerda esa elección para esta red durante unas horas. Si no logras conectarte ahora mismo, el asistente VPN bloqueada en la Wi-Fi te hace dos preguntas y te da los pasos para tu red. Las redes de hotel tienen sus propias mañas, explicadas en la Wi-Fi del hotel bloquea tu VPN.
Cómo te deja pasar PryVPN
- Tus consultas se quedan dentro del túnel. Mientras estás conectado, las preguntas de DNS van al resolvedor de tu servidor de PryVPN, que comprueba DNSSEC y no guarda registros de consultas. El DNS de la red nunca las ve, así que no puede contestar mal.
- El nombre y la dirección de la web quedan ocultos. El SNI y la dirección de destino viajan dentro del túnel cifrado. La red solo ve el servidor de PryVPN.
- Sigilo por el puerto 443, elegido solo. El modo Automático pasa a Sigilo cuando una red bloquea el tráfico de VPN y lo recuerda para cada red.
- Otra ruta si una está bloqueada. La Ubicación inteligente elige servidor por latencia, carga y estabilidad, y puedes escoger otra ciudad en Ubicaciones. Cada conexión tiene además un servidor de reserva, en otra ciudad cuando es posible, listo en segundos.
- Nada se escapa mientras conecta. Con VPN siempre activa y Bloquear conexiones sin VPN de Android, las apps solo salen a internet por el túnel, así que una red con bloqueos no puede devolverlas a la conexión filtrada.
Para ver qué puede leer una red de tu navegación antes y después de conectarte, prueba qué ve tu red o lee qué puede ver el dueño de la Wi-Fi.
Úsala de forma legal y responsable
Usar una VPN es legal en la mayoría de los países, y saltarse un filtro demasiado amplio para leer las noticias, llegar a tus herramientas de trabajo o escribir a tu familia es justo para lo que sirven las VPN. Unas pocas ideas lo mantienen así:
- Se aplica la ley del país en el que estás. Algunos países restringen o prohíben las VPN; compruébalo antes de viajar. Nuestro artículo de ayuda para viajes resume lo básico.
- Una VPN no cambia lo que es legal. Las retransmisiones piratas y cualquier otro contenido ilícito siguen siéndolo con túnel o sin él. Úsala para lo que tienes derecho a ver.
- Las redes que has aceptado tienen normas. En el trabajo o en clase, pide ayuda al servicio informático cuando algo que necesitas está bloqueado, y nunca te saltes los ajustes de un dispositivo que gestiona tu empresa o tu centro.
Preguntas frecuentes
¿Por qué una web abre con datos móviles y no con la Wi-Fi?
Porque es la Wi-Fi la que la filtra, normalmente por DNS, o porque está esperando a que inicies sesión en su página de acceso. Con una VPN, las dos redes ven lo mismo: una conexión cifrada con el servidor de la VPN.
¿Cambiar el DNS desbloquea webs?
Te permite pasar los bloqueos por DNS, que son los más comunes. No sirve cuando la red lee el SNI o bloquea la dirección de la web. Una VPN cubre los tres a la vez.
¿Puede ver la red que uso una VPN?
Puede ver una conexión con un servidor de VPN. En modo Sigilo esa conexión parece HTTPS normal por el puerto 443, que es lo que la mayoría de las redes lleva todo el día.
¿Qué webs puede abrir PryVPN?
Las que funcionan en internet pero están bloqueadas por la red en la que estás. Si una web está caída para todo el mundo, la comprobación ¿Está caída? te lo dirá, y ninguna VPN puede devolverla.
PryVPN es una VPN WireGuard gratuita para Android sin registros de actividad. Únete a la beta y te escribiremos cuando haya sitio; se instala desde Google Play.
Fuentes
¿Viste un error? Escríbenos a support@pryvpn.com; lo corregimos y actualizamos la fecha.
