La única protección que importa: WPA2 o WPA3
Cualquier red sin cifrar es una red abierta: cualquiera dentro del alcance puede ver los tráficos. Las dos medidas de seguridad que importan son el cifrado del tráfico y una contraseña fuerte.
WPA2 usa AES, que sigue siendo seguro si la contraseña es buena. WPA3 mejora el cifrado y cambia cómo se demuestra la contraseña, de forma que un atacante no puede probar contraseñas contra tu red sin interactuar con ella.
CISA recomienda WPA3 Personal con AES como la configuración más segura para casa en su guía de seguridad de la red doméstica, y la Wi-Fi Alliance mantiene la página de seguridad Wi-Fi con el estado de cada generación.
WPA2 o WPA3: cuál eliges
| Opción | seguridad | Dispositivos antiguos | Recomendada |
|---|---|---|---|
| solo WPA2 | Correcta | Todos | Si tienes WPA2 puro |
| solo WPA3 | Muy alta | Algunos no entran | Si todo es moderno |
| WPA2/WPA3 mixto | Muy alta | Todos | La opción por defecto |
| WEP o sin cifrado | Nula | Nada | Nunca |
La opción WPA2/WPA3 mixto es la que conviene activar. Tu red acepta WPA3 con los dispositivos que lo soportan, y WPA2 con los antiguos, sin dejar fuera a nadie.
WPS: la puerta trasera que conviene cerrar
WPS es la función que permite conectar un dispositivo pulsando un botón en el router y otro en el dispositivo, sin escribir contraseña. Es comoda, pero tiene un problema de seguridad conocido: con el método PIN se pueden probar todas las combinaciones en un tiempo razonable.
| Método WPS | Riesgo | recomendación |
|---|---|---|
| PIN | Alto | Desactivar |
| Pulsador | Bajo | Desactivar si no lo usas |
| Desactivado | Ninguno | La opción preferida |
La recomendación es desactivar WPS. La comodidad de conectar un dispositivo una vez no compensa el riesgo de que alguien aproveche el PIN para entrar en tu red. Además, la mayoría de sistemas operativos modernos tienen su propio método para compartir la contraseña sin usar WPS.
Contraseña: largo gana a complicado
Una contraseña larga y sin significado es más segura que una corta con símbolos. La razón es que las herramientas actuales prueban miles de combinaciones por segundo, pero no pueden probar listas de palabras reales tan deprisa.
| Contraseña | tiempo de ataque aproximado |
|---|---|
12345678 | Segundos |
Perro2024! | Minutos |
casa-verde-gato-42 | Siglos |
Genera la contraseña como una frase de cuatro palabras que no aparezca en ningún sitio. Anótala en un gestor de contraseñas, no en un papel al lado del router.
CISA alerta además de que el PIN de WPS se puede atacar por fuerza bruta porque el equipo confirma por cuál de las dos mitades va: su alerta de seguridad lo explica y Cisco lo tomaba como motivo para retirar WPS de sus equipos.
Medidas que añaden capas
Estas no sustituyen el WPA, pero dificultan el ataque:
- Filtro de direcciones MAC. solo permite conectar las MAC de tus dispositivos. Es fácil saltarse con spoofing, así que de nada sirve solo, pero combinado con WPA complica la vida.
- Ocultar el SSID. No aparece en la lista de redes. No es seguridad real, porque el router sigue respondiendo a quien pregunta por el nombre, pero reduce la visibilidad.
- Red de invitados. Aislada de tus dispositivos. Obligatoria si tienes visitas o un piso de Airbnb.
- Actualizar el firmware. Un router sin actualizar puede tener fallos de seguridad conocidos explotables.
- Cambiar la contraseña de administración. Muchos routers vienen con
admin/admin; cambiarlo es lo más importante después de la clave de WiFi.
Cambios en la contraseña del router
Antes de tocar nada, anota la contraseña actual: si la pierdes, tendrás que hacer un reset de fábrica, que te deja con la configuración original. El proceso es el mismo en cualquier router:
- Entra en la página de administración del router, normalmente en 192.168.1.1 o con la dirección que indique tu ISP.
- Ve a la sección de wireless o seguridad.
- Cambia la contraseña de WiFi por una frase larga.
- Cambia la contraseña de administración a otra distinta.
- Desactiva WPS.
- Selecciona WPA2/WPA3 mixto, o WPA2-PSK si tu equipo no ofrece mixto.
- Guarda y reinicia el router.
Al cambiar la contraseña de WiFi, todos los dispositivos se desconectan y tendrán que reconectarse. Avisa a quien use la red antes de empezar.
Si sospechas que te han hackeado
- Cambia la contraseña de WiFi y la de administración.
- Actualiza el firmware del router.
- Mira la lista de dispositivos conectados y elimina los que no reconozcas.
- Revisa el historial de DHCP para ver si hay concesiones raras.
- Si el router muestra clientes ocultos o configuración cambiada, haz un reset de fábrica y vuelve a configurarlo.
Un router hackeado muchas veces muestra síntomas como: figura un SSID que no es el tuyo, hay dispositivos conectados que no reconoces, o la página de administración te pide credenciales que no son las tuyas.
Checklist rápido
- WPA2/WPA3 mixto, o WPA2-PSK si hace falta.
- Contraseña de frase larga, distinta de la de admin.
- WPS desactivado.
- Contraseña de administración cambiada.
- Firmware actualizado.
- Filtrado MAC y red de invitados como capas extra.
- Lista de dispositivos revisada periódicamente.
Fuentes y siguiente paso
Si lo que te preocupa es abrir puertos hacia tu casa desde Internet, es otro tema: CGNAT y puertos en España. Si el problema es que se te cae la red entera, empieza por el WiFi se corta. Y si quieres una base para el resto de la red, mira red propia de domótica con VLAN.
Fuentes externas
- CISA: seguridad de la red doméstica — documento archivado; incluye la recomendación de WPA3-AES, cambiar la contraseña del router, usar un SSID único y desactivar UPnP, gestión remota y WPS.
- CISA: alerta de seguridad sobre WPS — el fallo de diseño del PIN que facilita la fuerza bruta.
- Cisco: por qué hay que retirar WPS
- Wi-Fi Alliance: seguridad Wi-Fi