La detección de VPN funciona verificando cinco señales: propiedad del bloque IP, huella del protocolo de enlace TLS (JA4), zona horaria del dispositivo vs. geolocalización IP, dirección local WebRTC y patrones de comportamiento. Cada señal es individualmente débil (los proveedores de VPN pueden contrarrestar cualquiera por separado), pero tres o más señales coincidentes ofrecen una detección de alta confianza. La verificación más económica es la propiedad del bloque IP; la huella TLS JA4 es la señal más estable que los proveedores de VPN no pueden rotar fácilmente.
Resumen: cómo detectar tráfico VPN
- Cinco capas de detección: Los lookups únicos de IP pierden VPNs modernas. La detección real apila cinco capas: propiedad del bloque IP, drift de zona horaria, dirección local WebRTC, huella TLS, mismatch conductual.
- Puntúa en las cinco: Puntúa en las cinco. Tres de cinco coincidiendo te da VPN o proxy de alta confianza.
- La más barata y la más cara: La capa más barata es propiedad del bloque IP. El mismatch conductual cuesta más pero atrapa los proxies sofisticados.
¿Poco tiempo? Consulta la detección de VPN de cside. Cubre todo lo de abajo en un solo despliegue.
Por qué la detección de VPN importa en 2026
La detección de VPN ha pasado de ser un desafío técnico de nicho a convertirse en un imperativo empresarial. A medida que las leyes de verificación de edad se extienden por los estados de EE. UU. y la Online Safety Act del Reino Unido entra en vigor, los propietarios de sitios web se enfrentan ahora a responsabilidad legal cuando los menores acceden a contenido restringido, incluso si esos visitantes usan VPNs para eludir las restricciones geográficas.
Desde Texas hasta Wisconsin y el Reino Unido, el mensaje de los legisladores es claro: detectar y gestionar el tráfico VPN es tu responsabilidad. En este artículo examinaremos por qué importa la detección de VPN, revisaremos los factores legislativos que generan presión legal, exploraremos los métodos de detección técnica y te ayudaremos a determinar el enfoque adecuado para tu negocio. Tanto si estás sujeto a leyes de verificación de edad, restricciones geográficas de contenido o acuerdos contractuales de distribución, esta guía te ayudará a navegar el complejo panorama de la detección de VPN en 2026.
No detectar VPNs puede vulnerar legislaciones locales
Cuando la Online Safety Act entró en vigor en el Reino Unido, de la noche a la mañana se produjo un aumento de más del 700% en las búsquedas del término VPN.
Proton VPN reportó un aumento del 1.400% en registros.
Durante varias semanas, este repentino aumento acaparó los titulares.
Esto desencadenó inevitablemente una respuesta por parte de los legisladores. El estado de Wisconsin fue el primero en reaccionar anunciando el Wisconsin Assembly Bill 105. El proyecto de ley tiene como objetivo obligar a los sitios de contenido para adultos a bloquear el acceso mediante VPN.
El proyecto establece: "Una entidad empresarial que a sabiendas e intencionalmente publique o distribuya material perjudicial para menores en Internet desde un sitio web que contenga una parte sustancial de dicho material deberá impedir que las personas accedan al sitio web desde una dirección de protocolo de Internet o un rango de direcciones de protocolo de Internet que esté vinculado o que se sepa que pertenece a un sistema de red privada virtual o a un proveedor de red privada virtual."
Bajo la Louisiana's Act 440, no verificar la edad (por ejemplo, permitir el acceso mediante VPN) abre la puerta a demandas civiles. Los padres de un menor que haya podido acceder a "contenido dañino" a través de una VPN pueden demandar al propietario del sitio por daños y perjuicios, costas judiciales y honorarios de abogados.
Otros estados de EE. UU. como Michigan e Indiana están impulsando acciones similares. Indiana ha emprendido acciones legales contra más de 50 sitios web.
En el Reino Unido, funcionarios del gobierno califican las VPNs como "una laguna legal que hay que cerrar".
La conclusión es clara: como propietario de un sitio web, es tu responsabilidad detectar el tráfico VPN y prevenir la elusión de la verificación de edad o los bloqueos a nivel estatal.
No detectar VPNs incumple obligaciones contractuales sobre derechos de distribución
Cuando los distribuidores de contenido adquieren derechos sobre determinado contenido, estos suelen estar limitados geográficamente. Cuando los usuarios viajan al extranjero, es habitual que usen VPNs para seguir viendo sus series favoritas desde casa. Cuando los usuarios quieren ver una serie que no está disponible en su país, frecuentemente usan una VPN para acceder a ese contenido.
Aunque el usuario lo hace principalmente por comodidad, esto constituye una infracción de los derechos de distribución, y en 2026 es cada vez más habitual que los estudios cinematográficos apliquen técnicas estrictas de prevención de VPN para evitar estas infracciones.
Por qué la verificación de edad se convirtió en un requisito legal
Siempre han existido realmente 2 versiones de internet:
- El internet abierto y no autenticado. Relativamente anónimo, con la excepción de algunas técnicas de seguimiento.
- El internet autenticado. Usuarios que inician sesión con sus credenciales. Son visitantes conocidos y su acceso está condicionado a ellos.
Con el tiempo, los reguladores identificaron que ciertos tipos de contenido en el internet abierto y no autenticado pueden ser perjudiciales en edades de desarrollo. Esto dio lugar a la legislación que vemos hoy, que exige a las empresas realizar verificaciones de edad a los visitantes. La verificación de edad se realiza actualmente de varias formas:
- Estimación de edad facial mediante aprendizaje automático.
- Verificación con tarjeta de crédito, para comprobar que el usuario dispone de una tarjeta de crédito, lo que indica que probablemente es mayor de edad.
- Verificación de documento de identidad con foto.
- Carteras de identidad digital, que comparten únicamente una credencial de "mayor de 18 años" sin más contexto.
- API de banca abierta para verificar la edad del titular de la cuenta bancaria.
- Operador de red móvil, que permite verificar la edad de un visitante a través del contrato con el proveedor de telefonía móvil.
- Estimación basada en correo electrónico, verificando el historial de correo electrónico de un usuario en internet para estimar su edad.
Algunos de estos métodos se consideran invasivos para la privacidad y, como resultado, los visitantes del sitio web acaban usando una VPN para sortear la restricción en lugar de cumplirla.
Métodos para detectar VPNs
Existen varios métodos para detectar VPNs. Algunos son rápidos y poco rigurosos; otros están más orientados a la precisión.
1. Detecciones a nivel de red y aplicación
Los lectores con conocimientos técnicos pueden estar familiarizados con el modelo OSI. Existen 7 capas en una aplicación de red dentro del modelo OSI.
En las capas 3, 4 y 7 existen diversos elementos que difieren entre las conexiones humanas directas y las conexiones enrutadas a través de infraestructura VPN. El análisis de estas capas proporciona evidencias del uso de VPN. Por ejemplo: discrepancias entre la zona horaria a nivel de máquina y la ubicación declarada, o paquetes de red sospechosos.
Una revisión científica independiente de los métodos de detección de VPN concluyó que este es el enfoque más eficaz.
Huella digital TLS JA4
El protocolo de enlace TLS ocurre antes de que se intercambie cualquier dato HTTP. Cuando un navegador se conecta por HTTPS, envía un mensaje ClientHello que lista los conjuntos de cifrado, la versión TLS, las extensiones y los grupos de curva elíptica que admite. JA4 (sucesor del estándar JA3, desarrollado por FoxIO en 2023) convierte estos parámetros en una huella digital corta y estable.
Lo que importa es qué software abre la conexión TLS. Las VPN de túnel transparente (WireGuard, OpenVPN en modo de enrutamiento) reenvían paquetes en la capa de red y nunca tocan el handshake, así que el navegador genera el ClientHello por sí mismo y el hash JA4 es indistinguible del de una sesión sin proxy. La señal aparece cuando es software ajeno al navegador el que origina la petición: un SDK de proxy residencial, un runtime de scraping o un cliente de automatización que usa Go net/tls, Python ssl o curl produce un ClientHello que se desvía estructuralmente de Chrome BoringSSL o Firefox NSS. Por eso la revisión científica mencionada identifica el análisis a nivel TLS como una de las señales más duraderas para el tráfico originado por proxy: un operador puede rotar IPs de salida barato, pero no puede hacer barato que un runtime ajeno al navegador imite una pila TLS de navegador.
Para una explicación más detallada de la mecánica de JA4 y sus limitaciones, consulta nuestra guía sobre TLS fingerprinting.
2. Listas de IP
Un enfoque simple y rápido consiste en adquirir u obtener una lista de código abierto de direcciones IP marcadas como VPNs. Este enfoque puede cubrir algunas VPNs básicas, pero el juego del gato y el ratón suele ser más fuerte. Los usuarios de internet buscan VPNs que no estén marcadas. Los proveedores de VPN saben cuándo son detectados y buscan medidas alternativas. Usar listas de IP puede ser un punto de partida y puede demostrar que se ha hecho un esfuerzo por detectar VPNs, pero fundamentalmente no creemos que este enfoque funcione en el mundo real.
Si realmente necesitas detener el acceso mediante VPN, debes estar dispuesto a aceptar que hay más personas buscando formas de eludir tus detecciones que personas encargadas de mantenerlas. Por eso, una simple lista de direcciones IP no superará la prueba del mundo real.
Especialmente en un contexto donde los reguladores ya han mostrado intención de actuar contra los enfoques meramente formales, es mejor reconocer cómo un usuario decidido intentará eludir los esfuerzos de detección.
Comparación de métodos de detección
| Método | Cómo funciona | Precisión | Dificultad de evasión |
|---|---|---|---|
| Lista de IP (MaxMind, IPQualityScore) | Compara la IP de salida contra rangos CIDR de VPN/datacenter conocidos | Baja (las salidas rotan cada hora) | Fácil: los proxies residenciales lo eluden por completo |
| Huella TLS (JA4/JA3) | Genera hash del ClientHello para identificar el runtime que originó la petición | Media-alta (solo tráfico originado por proxy) | Difícil: requiere utls o curl-impersonate |
| Zona horaria vs. geolocalización IP | Compara la zona horaria reportada por JS con el país de la IP | Media | Fácil: los usuarios pueden cambiar la zona horaria del sistema |
| IP local WebRTC (solo escritorio) | Lee la dirección RFC 1918 local mediante la API WebRTC | Media | Parcialmente mitigada en navegadores modernos |
| Análisis de comportamiento | Temporización, cursor/desplazamiento, patrones de sesión | Alta | Muy difícil: requiere simulación humana |
¿Cómo detectan las webs el uso de VPN?
Los sitios web detectan el uso de VPN combinando verificaciones de IP del lado del servidor con señales a nivel del navegador recopiladas mediante JavaScript:
Propiedad del bloque IP se verifica en el servidor. El servidor inspecciona la IP de salida del visitante en bases de datos CIDR (MaxMind GeoIP2 Anonymous IP, IPQualityScore u otras similares). Las ASN de datacenter se detectan fácilmente; las IPs de ISP residenciales alquiladas por servicios VPN comerciales son más difíciles de identificar.
Huella TLS (JA4) se verifica en el terminador TLS, antes del descifrado HTTP. Cloudflare y Fastly exponen esta señal de forma nativa a sus clientes. Si terminas TLS tú mismo con nginx o HAProxy, puedes habilitar el registro JA4 en el edge. El hash resultante se compara con una base de datos de líneas base de navegadores conocidos y de huellas de runtimes ajenos al navegador.
Discrepancia de zona horaria se recoge mediante JavaScript: Intl.DateTimeFormat().resolvedOptions().timeZone. Si un dispositivo reporta America/Chicago mientras la IP de salida se resuelve en los Países Bajos, esa discrepancia es una señal fuerte de proxy o VPN.
Fuga de IP local WebRTC (solo navegadores de escritorio) usa una RTCPeerConnection WebRTC para leer la dirección LAN del dispositivo. Un usuario detrás de una VPN mostrará una IP de salida pública para su conexión de red pero su dirección RFC 1918 local mediante WebRTC. La mayoría de los navegadores móviles y Safari en iOS bloquean esta señal; no confíes en ella para el tráfico móvil.
Señales de comportamiento son la capa final: movimiento del cursor, velocidad de desplazamiento, cadencia de escritura y tiempo en página. Son las más difíciles de falsificar para sesiones automatizadas o tunelizadas.
La detección de VPN de cside y Privacy Watch combinan señales de red y de la capa de aplicación para que los operadores de sitios web no necesiten construir y mantener cada verificación de forma independiente.
Cómo detectar VPNs en dispositivos móviles
La detección de VPN en móvil sigue el mismo enfoque por capas, pero dos señales se comportan de manera diferente:
La IP local WebRTC no aplica. Safari en iOS ha bloqueado la exposición de direcciones locales WebRTC desde 2018, y la mayoría de los navegadores Android siguen la misma política. Elimina esta verificación de tu stack de detección móvil o trata una señal WebRTC ausente como neutral.
La huella TLS sigue funcionando, para el tráfico originado por proxy. Safari en iOS, Chrome para Android y Firefox para Android producen huellas base JA4 distintas, así que una sesión originada por software ajeno al navegador se desvía de la línea base esperada incluso cuando la IP de salida sea limpia. Una app VPN móvil que solo tuneliza paquetes deja intacta la huella del propio navegador, así que trata un JA4 coincidente como neutral y no como prueba de una conexión directa.
La discrepancia de zona horaria sigue siendo fiable. La API de zona horaria de JavaScript funciona de forma idéntica en móvil. Los usuarios de VPN frecuentemente olvidan actualizar la zona horaria de su dispositivo al conectarse a un servidor en una región diferente.
Las señales de comportamiento pasan de ratón a táctil. Los patrones de toque, el pellizco para zoom, la inercia de desplazamiento y los datos del giroscopio reemplazan el movimiento del cursor. Las señales son diferentes en escritorio pero siguen siendo distinguibles de sesiones programadas o tunelizadas.
Las leyes de verificación de edad como Texas HB1181 y Florida HB3 se aplican a los visitantes móviles. Una solución de detección de VPN que cumpla la normativa debe cubrir tanto el tráfico de escritorio como el móvil.
Herramientas para detectar VPNs
Con las nuevas leyes de verificación de edad introducidas en 2025 y 2026, las empresas buscan formas de detectar VPNs para demostrar que cuentan con medidas razonables. Puedes evaluar estas soluciones que ofrecen una implementación rápida:
cside VPN detection
cside detecta el uso de VPN inspeccionando el comportamiento de la red y las señales de huella digital que las herramientas de seguridad web tradicionales pasan por alto. La visibilidad especializada del lado del cliente diferencia esta solución de otras herramientas de fingerprinting.
- Enfoque: Detección a nivel de red y aplicación
- Caso de uso: Para empresas sujetas a leyes estrictas de verificación de edad que necesitan demostrar cumplimiento, cside ofrece detección avanzada y recopilación de evidencias para demostrar medidas adecuadas ante los reguladores.
Fingerprint
Lectura relacionada: nuestra guía completa para detectar el tráfico de agentes de IA en tu sitio web · técnicas de detección de navegadores headless
Detecta el uso de VPN y proxy mediante el comportamiento del dispositivo, el navegador y la red a lo largo de las sesiones.
- Enfoque: Detección a nivel de red y aplicación
- Caso de uso: Para equipos de seguridad que monitorizan patrones de abuso donde los usuarios rotan IPs pero reutilizan el mismo dispositivo o navegador.
IPQualityScore
Mantiene bases de datos actualizadas de VPNs conocidas, proxies, nodos de salida TOR y proveedores de alojamiento.
- Enfoque: Lista de IP
- Caso de uso: Configuración rápida para la puntuación de riesgo de VPN mediante reputación de IP.
MaxMind
Bases de datos GeoIP e IP anónimas que marcan VPNs y proxies.
- Enfoque: Lista de IP
- Caso de uso: Configuración rápida para la puntuación de riesgo de VPN mediante reputación de IP.
Las herramientas de reputación de IP son útiles para puntuar rápidamente el riesgo de VPN, pero su evidencia se limita a listas y controles de reputación. La inteligencia de sesión en el navegador añade comportamiento, consistencia del fingerprint, rutas del cursor, cadencia de escritura y evidencia a nivel de página que resiste infraestructuras de IP más limpias.
Cómo responder ante las VPNs
Muchos sitios web pueden verse tentados a bloquear simplemente todas las solicitudes provenientes de VPNs. Aunque esto sería fácil de implementar, el problema es que resulta sencillo para el usuario darse cuenta de que ha sido detectado. En algunas aplicaciones, bloquear todas las solicitudes VPN es el enfoque correcto. Pero en otras, esto solo llevará al usuario a buscar métodos adicionales para eludir la detección.
En la detección de VPN, al igual que en la detección de bots, a menudo es mejor personalizar la respuesta de la página web o hacer que las páginas sean artificialmente lentas para que el visitante decida irse a otro lugar. En algunos casos, puede que quieras permitir el tráfico VPN, pero solo si el usuario se autentica. Eso puede ser un compromiso razonable.
No todo el tráfico VPN es malo
Las VPNs son ampliamente utilizadas por muchos usuarios para casos legítimos:
- Las VPNs pueden usarse para proteger conexiones en redes Wi-Fi públicas
- Los trabajadores remotos pueden estar obligados a enrutar el tráfico a través de VPNs corporativas
- Los viajeros que usan VPNs para acceder legítimamente a internet en un entorno familiar (resultados de búsqueda, traducciones de idiomas)
También existe la posibilidad de falsos positivos detectados por las herramientas de detección. Bloquear agresivamente todo el tráfico VPN puede romper la funcionalidad para usuarios benévolos o perjudicar a clientes. Las leyes de verificación de edad generalmente no exigen bloquear las VPNs de forma absoluta. Lo que esperan es ver medidas razonables para proteger a las audiencias del contenido dañino.
¿Qué enfoque es el más adecuado para ti?
Si tu negocio está:
- sujeto a leyes de verificación de edad
- sujeto a restricciones regionales de contenido
- sujeto a acuerdos contractuales que limitan la distribución de contenido multimedia a geografías específicas
Usa la detección de VPN de cside para gestionar el juego del gato y el ratón. Nosotros detectaremos las VPNs por ti.
Conclusión
Implementar la detección de VPN puede ser una tarea necesaria para tu negocio con el fin de evitar responsabilidades, el riesgo de multas y posibles incumplimientos contractuales. Utiliza una solución que aproveche huellas digitales profundas a nivel de solicitud en lugar de listas de IP.
Cómo la detección de VPN de cside funciona más allá de las listas de IP
Las reglas cambiaron rápido. Texas HB1181, Florida HB3 y la ley de verificación de edad del Reino Unido empujaron a los sitios no conformes a detectar y actuar sobre el uso de VPN, o enfrentar multas del fiscal general de hasta $10.000 por infracción y, en algunos estados de EE. UU., bloqueos a nivel de ISP. Las listas estáticas de IP no pueden seguir el ritmo porque los proveedores de VPN rotan nodos de salida cada hora.
La detección de VPN de cside adopta un enfoque distinto:
- Análisis multinivel en cada solicitud. cside observa la tecnología usada para acceder a tu sitio, no la dirección desde la que llegó la solicitud. Los indicadores de VPN aparecen en señales que una lista de bloqueo no puede ver.
- Más de 100 millones de solicitudes diarias en toda la red de cside alimentan el modelo de detección, de modo que los nuevos patrones de VPN se detectan a medida que surgen, en lugar de tras la actualización de una lista de bloqueo.
- Flujos de respuesta personalizados a través del SDK de cside. Bloquea, limita, exige verificación de edad o redirige a una experiencia alternativa según los indicadores de VPN, sin un bloqueo duro que moleste a los usuarios legítimos.
El resultado: cumplimiento de las leyes de restricción por ubicación y de verificación de edad sin el coste en falsos positivos que conlleva el bloqueo de VPN basado únicamente en IP.
