Quieres ver cómo se muestra un sitio desde otro país, o prefieres que tu dirección IP no quede a la vista. Escribes "proxy gratis" en el buscador y aparecen dos tipos de resultados: sitios web proxy en los que escribes el nombre de la página en un cuadro, y listas con cientos de direcciones IP y números de puerto. Ninguno pide dinero y los dos funcionan en un minuto. La pregunta que viene después siempre es la misma: ¿algo tan fácil y gratuito puede ser seguro?
En este artículo explicamos cómo funcionan los dos tipos, quién opera esos servidores y de dónde saca el dinero. Vemos hasta dónde te protege HTTPS, qué encontraron las mediciones académicas y por qué estas direcciones acaban bloqueadas una y otra vez. Al final, una tabla responde en qué usos es aceptable. Aquí no hay ninguna lista de proxies gratis ni recomendación de sitios; el motivo lo verás al leer.
¿Qué es un proxy gratuito y cuántos tipos hay?
Un proxy es un servidor intermediario que sale a internet en tu lugar. Envías la petición al proxy, el proxy la pasa al sitio y te trae la respuesta. El sitio ve la dirección del proxy, no la tuya. La base del tema está en Qué es un servidor proxy y cómo funciona; aquí solo miramos los gratuitos.
Bajo el nombre "proxy gratis" circulan tres cosas distintas, y sus riesgos no son iguales:
- Sitios web proxy. Una página que abres en el navegador. En el cuadro del centro escribes la dirección del sitio al que quieres ir, y la página lo abre dentro de sí misma. No hace falta instalar ni configurar nada. CroxyProxy es uno de los nombres más conocidos de este tipo; lo que sigue describe cómo funciona el tipo, no un servicio en concreto.
- Listas de proxies abiertos. Listas que se renuevan sin parar, hechas de líneas como
203.0.113.10:8080. La dirección se introduce a mano en los ajustes de proxy del navegador o del sistema operativo. El sitio que publica la lista no es dueño de esos servidores; solo recopila direcciones que ha encontrado abiertas en internet. - Apps gratuitas de proxy y VPN, extensiones de navegador. Herramientas que se activan y desactivan con un toque. Detrás tienen uno de los dos modelos anteriores o servidores propios del proveedor.
En las listas verás junto a las direcciones etiquetas como "transparente", "anónimo" o "elite". Esas etiquetas indican si el proxy transmite tu IP real al sitio, no si el servidor es de fiar. El detalle está en nuestro artículo sobre proxies transparentes, anónimos y elite.
¿Quién opera los proxies gratuitos y de dónde saca el dinero?
Mantener un servidor cuesta dinero: electricidad, ancho de banda, mantenimiento. Si alguien lo abre gratis a todo el mundo, o no lo sabe o sus ingresos vienen de otra parte. Las direcciones de las listas abiertas se reparten, a grandes rasgos, en cuatro grupos:
- Servidores mal configurados. Un proxy que una empresa o un centro educativo montó para uso interno ha quedado abierto al exterior por un error de configuración. Cuando el dueño se da cuenta, lo cierra. Es una de las razones por las que las direcciones de las listas mueren en unas horas o unos días.
- Dispositivos comprometidos. Un ordenador, un router u otro dispositivo conectado a internet infectado con malware funciona como proxy sin que su dueño lo sepa. En ese caso tu tráfico pasa por un aparato en casa de un desconocido, y quien controla ese aparato es un atacante.
- Servidores abiertos a propósito. El operador deja el servidor abierto para observar el tráfico, añadir anuncios a las páginas o recoger datos de usuarios. Los investigadores de seguridad también montan servidores trampa parecidos para observar tráfico de ataque; en ambos casos tu tráfico queda registrado.
- Voluntarios y servidores de prueba. También los hay sin mala intención. El problema es que, mirando la lista, no puedes distinguir qué dirección pertenece a qué grupo.
En los sitios web proxy el modelo de ingresos se ve mejor: anuncios añadidos encima y debajo de la página, el paso a un plan de pago y, en algunos casos, datos de uso. Vivir de la publicidad no demuestra mala intención. Pero quién opera el servicio, cuánto tiempo guarda los registros y con quién los comparte casi nunca está escrito; y aunque lo esté, no puedes auditarlo.
¿Cómo funciona un sitio web proxy?
Un sitio web proxy sigue un camino distinto al de un proxy normal. Tu navegador no se conecta nunca al sitio de destino; solo habla con el sitio web proxy. Los pasos son:
- Abres el sitio web proxy y escribes en el cuadro la dirección del sitio de destino.
- El servidor del servicio descarga esa página en tu lugar, con su propia conexión.
- Reescribe todos los enlaces, imágenes y formularios de la página descargada para que pasen por su propia dirección.
- Te envía la página modificada, casi siempre con su propia barra o sus anuncios encima.
- Cuando pulsas un enlace o rellenas un formulario, la petición vuelve a ir primero al servicio y se repite el mismo ciclo.
Este esquema tiene una consecuencia importante para la seguridad. En la barra de direcciones de tu navegador aparece el nombre del sitio web proxy, no el del sitio de destino. El candado que ves también pertenece a la conexión entre tu navegador y el sitio web proxy. Quien establece la conexión cifrada con el sitio de destino es el servicio, y también es quien la descifra. Para poder reescribir la página necesita ver el contenido en texto plano de todos modos.
En la práctica significa esto: si inicias sesión en una cuenta a través de un sitio web proxy, tu nombre de usuario, tu contraseña y la cookie de sesión creada tras el inicio pasan por el servidor del servicio en forma legible. No hay manera de saber si el servicio los guarda.
Que en los sitios web proxy los vídeos se corten, la página se rompa al iniciar sesión o los botones no respondan tiene la misma causa. Los sitios actuales construyen la página con programas que se ejecutan en el navegador, y el servicio no consigue reescribir bien todas las direcciones que hay dentro de esos programas.
| Característica | Sitio web proxy | Proxy IP:puerto sacado de una lista |
|---|---|---|
| ¿Cómo se usa? | Se abre un sitio en el navegador y se escribe la dirección en un cuadro | La dirección y el puerto se introducen en los ajustes de proxy del dispositivo |
| ¿Quién lo opera? | Casi siempre una empresa o persona poco clara | No se sabe; quien publica la lista tampoco lo sabe |
| ¿Puede ver el contenido de una página HTTPS? | Sí, el servicio descifra | No, se crea un túnel (mientras no aparezca un aviso de certificado) |
| ¿Puede modificar una página sin cifrar (HTTP)? | Sí | Sí |
| ¿Cuánta gente comparte la IP? | Todos los usuarios del servicio | Cualquiera que encuentre la lista |
¿Hasta dónde te protege HTTPS?
Cuando entras en un sitio cuya dirección empieza por https:// a través de un proxy IP:puerto sacado de una lista, tu navegador envía al proxy una petición llamada CONNECT. En esa petición solo figuran el nombre del sitio al que quieres ir y el número de puerto. El proxy establece la conexión y después transporta los datos en ambos sentidos sin mirar dentro. La documentación para desarrolladores de Mozilla describe este comportamiento en la página del método CONNECT. Como el cifrado se establece entre tu navegador y el sitio de destino, el proxy no puede leer el contenido de la página, tu contraseña ni tus cookies.
Esta protección es real, pero tiene tres límites:
- Se ve a qué sitio te conectas, cuándo y con cuántos datos. El nombre del sitio va escrito en claro en la petición
CONNECT. El contenido queda oculto; el registro de la visita, no. - En las páginas sin cifrar no hay ninguna protección. Una página cuya dirección empieza por
http://pasa por el proxy en texto plano. Chrome muestra "No es seguro" en la barra de direcciones en esas páginas, y la página de ayuda de Google para comprobar si la conexión de un sitio es segura dice el motivo sin rodeos: es posible que otro usuario pueda ver y cambiar la información que envíes y recibas. Con un proxy de identidad desconocida en medio, ese "otro usuario" deja de ser una hipótesis. - Un aviso de certificado deja la protección en tus manos. Si el proxy intenta meterse en la conexión cifrada, tu navegador detecta el certificado falso y muestra un aviso a página completa. Si lo saltas y sigues hacia el sitio, habrás desactivado la protección por tu cuenta. Si un servicio o una app de proxy te pide "instalar un certificado" en tu dispositivo, el objetivo es justamente silenciar ese aviso; no lo instales.
En los sitios web proxy la protección de este apartado no se aplica. Allí no se crea ningún túnel; el servicio descifra el tráfico.
¿Qué encontraron las investigaciones sobre los proxies gratuitos?
En este tema es fácil caer en el marketing del miedo; por internet circulan porcentajes sin fuente clara. Nosotros miramos solo dos mediciones académicas revisadas por pares. Las dos se publicaron en 2018, así que las cifras describen las listas de aquella época y no deben leerse como la tasa de hoy. Los mecanismos, en cambio, no han cambiado.
Investigadores de FORTH, la Universidad de Chipre y la Universidad de Stony Brook observaron proxies HTTP abiertos durante dos meses y publicaron los resultados en NDSS 2018. De los proxies que funcionaban, es decir, los que lograban traer la página, el 38 % hacía algún cambio en la página que pasaba por ellos. La mayoría de esos cambios eran inofensivos. Sin embargo, el 5,15 % de esos mismos proxies hacía un cambio que los investigadores consideraron malicioso o no deseado: dentro de ese grupo, el 47 % inyectaba anuncios en la página, el 39 % inyectaba código para rastrear al usuario y obtener su huella digital, y el 12 % intentaba redirigirlo a páginas con malware.
Un equipo de las universidades de Georgetown y Northeastern hizo ese mismo año una medición más amplia: durante 50 días, más de 107 000 proxies abiertos presentes en sitios de listas y 13 millones de peticiones. Según el estudio presentado en ACSAC 2018, más del 92 % de los proxies listados no respondía en absoluto a las peticiones. Entre los que funcionaban se detectaron proxies que añadían a las páginas código de minería de criptomonedas, otros que intentaban meterse en la conexión cifrada y otros que colocaban troyanos de acceso remoto dentro de los programas descargados a través de ellos.
La conclusión de los dos estudios no necesita exageración. La mayoría de los proxies abiertos no son maliciosos; la mayoría ni siquiera funciona. Pero los maliciosos existen, en la lista no se distinguen de los demás y, cuando te toca uno, la pérdida puede ir desde un anuncio hasta el robo de una cuenta.
¿Por qué los proxies gratuitos son lentos y se bloquean todo el tiempo?
Seguridad aparte, los proxies gratuitos muchas veces tampoco cumplen su función. Hay tres razones.
La mayoría están muertos. El sitio de listas encuentra la dirección una vez y la publica; el servidor puede haberse apagado ese mismo día.
Los que funcionan los usa todo el mundo. Miles de personas ven la lista al mismo tiempo que tú y se lanzan sobre las pocas direcciones que responden. Con el ancho de banda del servidor repartido entre tanta gente, las páginas tardan en abrirse y los vídeos se cortan.
La dirección tiene mal historial. Los sitios miran la dirección IP de la conexión entrante. Si desde la misma dirección llegan en poco tiempo peticiones de miles de personas distintas y de programas automáticos, el sitio no se fía de ella: muestra una casilla de verificación, da un aviso de "tráfico inusual" o bloquea directamente. Las direcciones de proxies abiertos entran además muy rápido en listas negras de IP y en bases de datos de puntuación de riesgo. Explicamos estos mecanismos en nuestros artículos sobre las listas negras de IP y sobre la puntuación de fraude de una IP, y el efecto general de una dirección compartida en Qué es CGNAT. Si la pantalla que ves dice "VPN o proxy detectado", el artículo sobre ese aviso explica la causa; si es la página de tráfico inusual de Google, lo hace este otro.
El riesgo añadido de las apps y extensiones gratuitas
Las apps gratuitas de proxy o VPN tienen un riesgo más: algunas no solo transportan tu tráfico, también ceden tu conexión a otros. En lo más hondo de las condiciones de uso pone que aceptas que la conexión a internet de tu dispositivo sirva de punto de salida para el tráfico de otros usuarios. Mientras una app así está instalada, lo que haga alguien que no conoces parece, visto desde fuera, hecho desde la dirección de tu casa.
Con las extensiones de navegador también hay que tener cuidado. Una extensión de proxy pide permisos amplios para funcionar, y cuando esos permisos van a una extensión de operador desconocido, la situación se parece a la del sitio web proxy. Si vas a instalar una extensión, elige una con editor conocido, que no traiga servidores incluidos y que use solo la dirección de proxy que tú introduces.
¿En qué usos es aceptable y en cuáles nunca?
No todos los usos de un proxy gratuito tienen el mismo riesgo. El criterio es sencillo: ¿qué pierdes si la información que pasa por esa conexión cae en manos de otro?
- Mirar una sola página pública sin iniciar sesión. Tienes curiosidad por cómo se ve un sitio de noticias o una página de producto desde otro país. El riesgo es bajo; ten presente que la página que ves puede estar modificada y no descargues nada.
- Aprender qué es un proxy. Probarlo una vez para ver dónde se introduce el ajuste es razonable; desactiva el ajuste al terminar. Cómo comprobar si un proxy funciona y si filtra tu dirección lo mostramos en ¿Funciona tu proxy? Cómo probar un proxy y en Fugas de WebRTC y DNS.
- Correo, redes sociales, cuenta de juego. No lo uses. En un sitio web proxy tu contraseña se ve directamente. En un proxy IP:puerto HTTPS te protege, pero basta con saltarse un solo aviso de certificado o abrir una sola página sin cifrar.
- Banco, pagos, trámites con la administración, cuentas de trabajo. Nunca. Aquí no hay ningún beneficio que sopesar.
- Uso habitual o profesional. En tareas como gestión de cuentas, seguimiento de precios o recogida de datos, la dirección tiene que ser tuya y tiene que funcionar también mañana; una dirección gratuita no puede ofrecerlo. Qué significa una dirección sin compartir lo tienes en Proxy privado: qué significa en realidad, y cómo elegir el tipo según la tarea, en Qué tener en cuenta al comprar un proxy.
Una nota: que el proxy sea gratuito o de pago no cambia que lo que hagas con él sea legal o no. Saltarte las normas de red de tu centro de estudios o de tu trabajo con un sitio web proxy incumple esas normas y, además, lleva a esa red todos los riesgos anteriores.
¿Por qué una lista gratuita sale cara en la recogida de datos?
Este apartado es para desarrolladores que piensan en una lista gratuita para un proyecto de clase o una recogida de datos pequeña. En la práctica, tres partidas estropean la cuenta.
La primera es el tiempo. Como la mayoría de las direcciones de la lista no responden, tu programa se pasa el rato esperando tiempos de espera agotados y reintentando. Las direcciones que funcionan están en listas negras, así que el sitio de destino devuelve 403 o 429; estos códigos los explicamos en Códigos de estado HTTP en web scraping. La segunda es la calidad de los datos. Si el servidor intermedio añade anuncios o código a la página, los datos que recoges quedan contaminados y casi nunca lo notas. La tercera es la seguridad. Una clave de API o una cookie de sesión que añades a la petición pasa por ese servidor en forma legible si la conexión no va cifrada.
En un proyecto para aprender, casi nunca hace falta un proxy: envía las peticiones espaciadas y respeta las reglas del robots.txt del sitio. Recurrir a una lista gratuita significa cargar con los tres puntos de arriba a la vez; el dinero que crees ahorrar vuelve en forma de horas perdidas y de datos en los que no puedes confiar.
¿Qué hacer si ya has usado un proxy gratuito?
Si en el pasado entraste en tus cuentas a través de un proxy gratuito, sigue estos pasos:
- Desactiva el ajuste de proxy. En Windows 11, ve a Configuración > Red e Internet > Proxy y comprueba que el interruptor Usar un servidor proxy está desactivado. En el móvil, el ajuste está en los detalles de la red Wi-Fi; dónde exactamente lo mostramos en Cómo configurar un proxy en un teléfono Android y en Cómo configurar un proxy en iPhone y iPad.
- Desinstala las apps y extensiones de proxy y VPN que no uses. Desactivarlas no basta; pueden seguir funcionando en segundo plano.
- Cambia la contraseña de las cuentas en las que entraste en ese periodo. Hazlo con el proxy desactivado, desde tu propia conexión. Si usas la misma contraseña en otros sitios, cámbiala también allí.
- Cierra las sesiones abiertas. La mayoría de las plataformas tiene en los ajustes de seguridad la opción "cerrar sesión en todos los dispositivos". Eso invalida las cookies de sesión que hayan podido quedar en manos ajenas.
- Activa la verificación en dos pasos. Aunque tu contraseña se haya filtrado, el segundo paso detiene el inicio de sesión.
Errores frecuentes
- Ver el candado y creer que todo va bien. En un sitio web proxy el candado muestra la conexión entre tú y el servicio. No muestra un cifrado de extremo a extremo entre tú y el sitio de destino.
- Saltarse un aviso de certificado. Un aviso de certificado que aparece con el proxy activado es la señal más clara de que alguien intenta ponerse en medio.
- Tomar la etiqueta "elite" como garantía. La etiqueta dice que el servidor no transmite tu dirección IP al sitio. No dice que el servidor no registre tu tráfico.
- Olvidar el ajuste activado. Si el ajuste de proxy del sistema se queda activado, todo el tráfico de tu navegador pasa durante días por ese servidor. Cuando el servidor muere, tu internet se corta con el error "el servidor proxy no responde".
- Descargar programas a través del proxy. En las mediciones se detectaron servidores que colocaban malware dentro de los archivos descargados. Descarga los instaladores con tu propia conexión y desde la fuente oficial.
Guía de decisión
| Necesidad | Recomendación |
|---|---|
| Mirar una vez cómo se ve una página pública desde otro país | Riesgo bajo; no inicies sesión, no descargues archivos, desactívalo al terminar |
| Entrar en el correo, en redes sociales o en una cuenta de juego | No uses un proxy gratuito; entra desde tu propia conexión |
| Banco, pagos, trámites con la administración | Nunca; comprueba además que el ajuste de proxy está desactivado |
| Proyecto de clase, una prueba pequeña de recogida de datos | Primero sin proxy y despacio; respeta las reglas del robots.txt del sitio |
| Gestionar varias cuentas de forma habitual | Una lista gratuita no sirve; la dirección muere en cualquier momento, tiene mal historial y tus cookies de sesión quedan expuestas |
| Recogida de datos y seguimiento de precios en producción | Una lista gratuita no sirve; el código inyectado en la página ensucia los datos sin que lo notes |
| Trabajar con datos de empresa | No los hagas pasar por un proxy gratuito; no hay forma de comprobar si el servidor guarda registros |
Preguntas frecuentes
¿Es peligroso usar un proxy gratuito?
Depende de la tarea. Mirar una página pública sin iniciar sesión es de bajo riesgo. Cualquier cosa en la que introduzcas una contraseña, datos de tarjeta o datos personales es peligrosa, porque tu tráfico pasa por el servidor de alguien cuya identidad no conoces.
¿Puede el servicio ver la contraseña que escribo en un sitio web proxy?
Sí. Como el sitio web proxy abre y reescribe la página de destino en su propio servidor, ve en texto plano lo que escribes en los formularios, incluidas tu contraseña y tu cookie de sesión. Desde fuera no puedes comprobar si lo guarda.
Si uso HTTPS, ¿el proxy gratuito pasa a ser seguro?
En parte. En un proxy de tipo IP:puerto introducido en los ajustes de proxy del dispositivo, HTTPS protege el contenido de la página y tu contraseña. Sigue viéndose qué sitio visitas y cuándo, las páginas sin cifrar no quedan protegidas, y la protección se acaba en cuanto te saltas un aviso de certificado. En los sitios web proxy, HTTPS no te protege frente al propio servicio.
¿Por qué no funcionan las direcciones de las listas de proxies actualizadas?
La mayor parte de las direcciones de las listas son servidores que quedaron abiertos por error o que fueron comprometidos, y se cierran cuando el dueño lo nota. Los sitios de listas encuentran una dirección una vez y la publican; no la revisan de forma continua. En la medición amplia de 2018, más del 92 % de los proxies listados no respondía a las peticiones.
¿Cuál es la diferencia de fondo entre un proxy gratuito y uno de pago?
También hay diferencia de velocidad, pero la de fondo es quién es conocido. En un servidor gratuito no puedes comprobar ni al operador, ni el origen de sus ingresos, ni si guarda registros, y no hay nadie a quien reclamar cuando algo sale mal. Una dirección de una lista la usa además cualquiera que la encuentre, así que no está cerrada a nadie; los métodos de autenticación los explicamos en Autenticación de proxy: user:pass o lista blanca de IP.
¿Es más seguro usar una VPN que un proxy gratuito?
Mientras sea gratuita, para la VPN vale la misma pregunta: ¿quién opera el servidor y de dónde saca el dinero? Una VPN mete todo el tráfico en un túnel cifrado, pero el servidor del otro extremo del túnel sigue siendo el lugar por donde pasa tu tráfico. Comparamos las dos herramientas en Proxy o VPN: diferencias y cuándo usar cada uno.
En resumen
Como los sitios web proxy abren la página en su propio servidor, lo ven todo, contraseñas incluidas. En los proxies IP:puerto de las listas, HTTPS protege el contenido, pero se ve qué sitio visitas, las páginas sin cifrar se pueden modificar y nadie sabe quién opera el servidor. Mediciones revisadas por pares, fechadas en 2018, mostraron que la mayoría de estos servidores no funciona y que una parte de los que funcionan añade anuncios, código de rastreo y malware a las páginas. No uses un proxy gratuito para cuentas ni pagos; si ya lo hiciste, desactiva el ajuste y renueva tus contraseñas. La medida es sencilla: si no puedes comprobar quién opera una dirección, da por hecho que todo lo que pasa por ella puede estar en manos de un desconocido.
