Cómo elegir un router Wi-Fi con cifrado WPA3 y DNS privado para proteger tu red doméstica

El router doméstico actúa como puerta de entrada digital de la vivienda: gestiona el tráfico de todos los dispositivos conectados, desde teléfonos inteligentes hasta electrodomésticos inteligentes. Aunque cada equipo tiene sus propios ajustes, el router ocupa una posición central porque canaliza las conexiones de toda la casa y permite aplicar políticas de seguridad y privacidad de manera conjunta.

Esta gestión centralizada no significa que el router pueda resolver por sí solo todos los problemas de seguridad, pero sí lo convierte en un punto clave de protección de la red local. Las decisiones que se toman en él —por ejemplo, qué opciones de cifrado están activas o cómo se gestionan las consultas DNS— pueden influir en varios dispositivos a la vez, en lugar de requerir cambios independientes en cada uno.

Según el INCIBE, la conectividad del hogar inteligente conlleva riesgos si no se gestiona adecuadamente, entre ellos la pérdida de privacidad y el control remoto no autorizado. Los dispositivos conectados a la red pueden quedar expuestos a esos riesgos, por lo que conviene considerar la configuración del router como una primera línea de defensa, no como una garantía absoluta.

La configuración determina, entre otros aspectos, qué datos salen de la red y cómo se protegen durante su transmisión. Por eso, al elegir un equipo, es útil mirar más allá de la velocidad o la cobertura: las opciones de seguridad disponibles y la posibilidad de mantenerlas al día también forman parte de sus especificaciones relevantes.

WPA3, introducido en 2018 por la Wi-Fi Alliance, es el estándar de seguridad más reciente para redes inalámbricas. El cambio importa porque las claves de acceso protegen la conexión entre los dispositivos y el router, y el método usado para autenticar esa conexión influye en la resistencia frente a intentos de adivinar la contraseña.

WPA2 utiliza cifrado AES, más robusto que el TKIP empleado en WPA, pero fue vulnerable al ataque KRACK en 2017. WPA3 incorpora SAE (Simultaneous Authentication of Equals), un método de autenticación que dificulta significativamente los ataques de fuerza bruta contra contraseñas débiles. Esto no elimina la importancia de elegir una clave adecuada, pero sí ofrece una protección más sólida durante el proceso de autenticación.

Para comprobar la compatibilidad, consulta la ficha técnica del modelo concreto y su manual de usuario; no basta con fijarse en la marca o en que el router sea reciente. Busca una mención explícita a WPA3 y revisa qué modalidades permite activar desde la interfaz web de administración. La disponibilidad puede variar entre modelos de un mismo fabricante.

Muchos routers modernos ofrecen WPA3 o un modo mixto WPA3/WPA2 (AES). Este último permite mantener la conexión de dispositivos antiguos que no admiten WPA3, mientras que los compatibles pueden usar el estándar más reciente. Antes de seleccionar esa opción, conviene verificar las indicaciones del fabricante para entender cómo se aplica el modo mixto en ese equipo.

En algunos modelos antiguos, una actualización de firmware puede incorporar WPA3. Sin embargo, no todos los dispositivos anteriores son compatibles, y una actualización no debe darse por supuesta: hay que confirmar el soporte en la documentación del fabricante. Si la opción no aparece, el manual o el servicio de soporte permiten aclarar si el equipo la admite.

El sistema DNS traduce los nombres de dominio que se escriben en el navegador en direcciones IP que permiten localizar los servicios en Internet. Cuando esas consultas no están cifradas, terceros pueden interceptarlas y conocer los dominios consultados, lo que puede revelar parte del historial de navegación. La protección de las consultas es, por tanto, un aspecto distinto del cifrado Wi-Fi: atiende a la información sobre los destinos que se solicitan.

Configurar en el router un DNS privado o cifrado, mediante DoH (DNS over HTTPS) o DoT (DNS over TLS), permite proteger esas consultas durante su transmisión. También puede ayudar a evitar el filtrado no deseado o la vigilancia por parte de proveedores de servicios. Para aprovecharlo, el router debe ofrecer la opción correspondiente y el servicio DNS elegido debe ser compatible con la modalidad que se configure.

La AEPD recomienda que las familias consideren la privacidad al configurar el DNS doméstico y opten por soluciones que respeten la normativa de protección de datos. Asimismo, señala que configurar el DNS en routers o dispositivos puede ser efectivo para proteger a los menores, pero requiere que las familias participen activamente. Es una medida que debe entenderse dentro de la gestión cotidiana de la red, no como una sustitución de la supervisión familiar.

Servicios como DNS4EU o CleanBrowsing ofrecen perfiles de filtrado y cifrado que pueden configurarse en el router para cubrir la red doméstica. La elección debe tener en cuenta tanto las opciones disponibles como la privacidad y las necesidades de la familia; el filtrado y el cifrado son funciones relacionadas, pero no idénticas, y conviene revisar qué ofrece el perfil seleccionado.

También es importante comprobar qué ocurre en cada dispositivo. Algunos pueden utilizar DoH integrado y enviar las consultas a través de un servicio distinto del configurado en el router. Ese desvío puede hacer que la configuración central no se aplique a todas las consultas, por lo que revisar los ajustes individuales ayuda a entender cómo se resuelven realmente los nombres de dominio en la red.

La seguridad de un router depende en gran medida de que el fabricante publique parches de seguridad con regularidad. El firmware es el software que controla el funcionamiento del equipo; si no recibe actualizaciones, las vulnerabilidades conocidas pueden permanecer sin corregir y comprometer la red doméstica. Por eso, la fecha de fin de soporte es un dato relevante, no un detalle secundario de la compra.

Al comparar opciones, busca fabricantes que ofrezcan soporte a largo plazo y publiquen actualizaciones de seguridad de forma proactiva. Revisar la fecha de la última actualización disponible permite conocer si el equipo sigue recibiendo mantenimiento, aunque debe leerse junto con la política de soporte: una actualización reciente, por sí sola, no indica cuánto tiempo continuará el fabricante corrigiendo problemas.

El INCIBE destaca que mantener actualizados el sistema operativo y los programas es esencial para corregir vulnerabilidades conocidas. En el caso del router, esta recomendación se traduce en comprobar la versión instalada del firmware, buscar la versión más reciente y confirmar cuál es la política del fabricante para ese modelo.

Los equipos con soporte EOL (End of Life) dejan de recibir parches de seguridad. Una vez alcanzado ese estado, las vulnerabilidades que se descubran pueden no tener una corrección disponible, de modo que el router puede convertirse en un punto débil persistente de la red. Por esta razón, conviene evitar modelos cuyo soporte haya terminado y verificar el ciclo de vida antes de comprar.

Las actualizaciones también forman parte del mantenimiento posterior a la compra. Comprobar periódicamente si hay una versión nueva y aplicarla de acuerdo con las instrucciones del fabricante permite mantener el firmware al día; es una tarea continua, igual que revisar quién está conectado a la red y si las opciones de seguridad siguen ajustándose a las necesidades del hogar.

Al comparar routers, céntrate en especificaciones que afecten directamente a la privacidad y la seguridad. La ficha técnica y el manual permiten comprobar si las funciones necesarias existen, mientras que la política de soporte ayuda a valorar si podrán mantenerse. La siguiente tabla resume los criterios principales y el motivo para tenerlos en cuenta:

La tabla funciona como una guía para comparar modelos, no como una garantía de que todos ofrezcan las mismas funciones de la misma manera. En particular, DNSSEC y DoH/DoT no son equivalentes: DoH y DoT cifran las consultas, mientras que DNSSEC se relaciona con la verificación de integridad. Conviene comprobar con precisión qué admite el router y qué opción se está activando.

También hay que distinguir entre una característica anunciada y una configuración que se pueda aplicar efectivamente. La compatibilidad con WPA3, por ejemplo, debe reflejarse en los modos disponibles en el equipo; el soporte DNS debe indicar qué protocolos o servicios admite; y el mantenimiento debe corresponder al modelo, no únicamente a una promesa general de la marca.

Antes de comprar, verifica que el modelo específico soporte WPA3 y ofrezca opciones de configuración de DNS avanzado. Consulta la ficha técnica y, si la descripción no es clara, el manual de usuario. Comprueba también la política de soporte y la fecha de la última actualización de firmware, para evitar elegir un equipo que ya haya dejado de recibir parches.

Una vez adquirido, la configuración inicial debe incluir estos pasos:

• Cambiar la contraseña de administración que viene de fábrica por una contraseña robusta.
• Desactivar WPS.
• Actualizar el firmware a la última versión disponible.
• Configurar el DNS privado deseado y revisar las opciones de filtrado.
• Activar WPA3 o, si hace falta para los dispositivos antiguos, el modo mixto WPA3/WPA2 (AES).

Conviene realizar los cambios desde la interfaz de administración del router y seguir las instrucciones del fabricante. Si se utiliza el modo mixto, el propósito es facilitar la compatibilidad con equipos antiguos sin renunciar a que los compatibles utilicen WPA3; antes de cambiar la opción, es útil comprobar qué dispositivos de la casa necesitan conectarse.

La seguridad de la red es un proceso continuo, no una configuración única. Revisar periódicamente los dispositivos conectados ayuda a mantener una visión de qué equipos utilizan la red, y comprobar las actualizaciones permite atender vulnerabilidades conocidas. También puede ser necesario ajustar las políticas de DNS conforme cambien las necesidades de la familia.

Agencias como INCIBE y AEPD recomiendan prácticas de configuración y mantenimiento que contribuyen a una red doméstica más privada y segura. Aplicarlas de forma sostenida —mantener el firmware al día, vigilar las conexiones y revisar el DNS— ayuda a que las decisiones iniciales sigan siendo útiles con el paso del tiempo.