¿Qué es una VPN? Así funciona la red privada virtual

Cada dispositivo conectado a internet tiene una dirección IP, un número con el que los paquetes de datos encuentran el camino hasta él, comparable a una dirección postal. Sin VPN, tu móvil o tu portátil envía sus peticiones directamente a la web a través de tu operador de internet, y la web responde a tu dirección. El operador ve con qué servidores te conectas y la web ve desde qué dirección llega la petición. Cuál es tu dirección en este momento te lo muestra nuestra guía (→ Cómo saber tu dirección IP y qué revela sobre ti).

Una VPN coloca una estación intermedia entre tú e internet. En tu dispositivo se ejecuta un programa, el cliente VPN (normalmente la app del proveedor), que cifra todos los datos salientes y los empaqueta en paquetes nuevos. Esos paquetes van a un servidor VPN, que los descifra y los reenvía a su destino real. La respuesta recorre el mismo camino de vuelta. La Oficina Federal alemana de Seguridad Informática (BSI) describe ese tramo cifrado como un «túnel»: para cualquiera que escuche por el camino, el contenido es ilegible. NordVPN lo formula en su explicación diciendo que el servidor sustituye tu dirección IP visible por la suya.

De ahí se deduce quién ve qué. Tu operador de internet o el dueño del wifi solo ve que tu dispositivo mantiene una conexión cifrada con un servidor VPN concreto, no qué webs visitas detrás de él. La web, a su vez, ve la dirección IP del servidor VPN y te sitúa en el país en el que está ese servidor. El proveedor de la VPN ve las dos cosas: de dónde vienes y adónde vas. Ese es el núcleo de toda la tecnología, y de él se derivan tanto su utilidad como sus límites.

Para que cliente y servidor confíen el uno en el otro y compartan una clave, al principio realizan un handshake: se identifican mutuamente y acuerdan las claves con las que se cifrará la sesión. Cómo ocurre exactamente lo fija el protocolo, el conjunto de reglas que ambas partes deben hablar, igual que HTTPS es el conjunto de reglas entre el navegador y la web. Según el BSI, las VPN se usaron al principio sobre todo en el ámbito profesional, para conectar de forma segura a la red de la empresa los puestos de teletrabajo y al personal que se desplaza, o para enlazar sedes. Que los particulares contraten una suscripción a un servicio comercial para navegar a través de sus servidores es un desarrollo posterior, pero hoy es la forma en la que la mayoría se encuentra con el término.

VPN de empresa: es la forma clásica. La empresa opera un servidor VPN en el borde de su red, los empleados se conectan a él desde casa o de viaje y a partir de ahí están dentro de la red corporativa como si estuvieran en la oficina. El National Cyber Security Centre (NCSC) británico describe en su guía de seguridad de dispositivos exactamente este propósito (conexiones seguras entre dispositivos en lugares físicamente separados) y recomienda a las organizaciones usar para ello IPsec con certificados y una VPN que se conecte automáticamente, para que nadie olvide activarla. Esta variante no tiene nada que ver con el streaming ni con el anonimato; protege el acceso a sistemas internos.

VPN hacia tu propia red doméstica: muchos routers pueden ser ellos mismos servidores VPN. La FRITZ!Box admite, según el fabricante fritz.com, tanto IPsec como WireGuard; con WireGuard basta, según fritz.com, con escanear un código QR en el smartphone o la tablet, y después alcanzas desde fuera tu disco de red, tus cámaras o tu domótica como si estuvieras en casa. El BSI menciona precisamente eso como ventaja: los dispositivos de domótica se pueden controlar así a través del propio router, sin pasar por la nube del fabricante y sin abrir puertos, que serían un riesgo de seguridad. En este caso, tu dirección IP pública es la de tu conexión doméstica: para las webs navegas desde casa, aunque estés en el extranjero.

Servicios VPN comerciales: NordVPN, Surfshark, Proton VPN, ExpressVPN, CyberGhost y muchos más operan miles de servidores en decenas de países y alquilan el acceso por suscripción. Instalas la app, eliges un país y, a partir de ahí, tu tráfico pasa por un servidor allí. El BSI cita como criterios una conexión rápida incluso con mucha carga y varias ubicaciones de servidores, y advierte de que a los servidores en el extranjero no se les aplica la legislación alemana de protección de datos y de que elegir proveedor es una «cuestión de confianza», porque todo el tráfico pasa por sus servidores. De esta tercera variante trata el resto del artículo, salvo que se indique lo contrario.

Qué no es una VPN: un complemento del navegador que solo desvía el tráfico del navegador no es, según el BSI, una VPN completa; el programa de correo, las apps de mensajería y las demás aplicaciones pasan de largo; para todo el tráfico de red hace falta un software VPN propio. Un simple proxy también desvía las peticiones, pero no necesariamente las cifra. Tor es una red propia con varias estaciones intermedias y otro modelo de seguridad (más abajo lo explicamos). Y una VPN no es un antivirus: no analiza descargas, no detecta malware y no avisa de webs falsas.

El protocolo determina cómo cliente y servidor montan el túnel, qué cifrado usan y cómo renuevan las claves. Para ti, como usuario, suele ser una opción del menú de la app que por defecto está en «Automático». Aun así, merece la pena conocer los tres grandes nombres, porque se diferencian claramente en velocidad, antigüedad y facilidad de revisión.

WireGuard es el más joven de los tres y se describe en wireguard.com como una VPN extremadamente sencilla, pero a la vez rápida y moderna. Renuncia a las opciones de elección en la criptografía y se fija en un conjunto cerrado de algoritmos modernos: ChaCha20 con Poly1305 para el cifrado, Curve25519 para el intercambio de claves, BLAKE2s para el hash, SipHash24 y HKDF. El handshake sigue el marco del protocolo Noise y, según la descripción del protocolo, solo necesita un mensaje de ida y otro de vuelta, es decir, un único viaje de ida y vuelta; las claves de sesión se renuevan «cada pocos minutos», de modo que una clave robada más tarde no descifra sesiones pasadas (Perfect Forward Secrecy). Todos los paquetes van por UDP. El proyecto forma parte del kernel de Linux y, según wireguard.com, funciona también en Windows, macOS, BSD, iOS y Android; debe poder implementarse en muy pocas líneas de código y, por tanto, ser revisable por una sola persona.

OpenVPN es el veterano. La página del proyecto lo describe como una solución completa de código abierto para VPN SSL, cuyo modelo de seguridad se apoya en SSL o TLS, la misma técnica que protege HTTPS en el navegador. Para el transporte de datos dispone de un único puerto UDP o TCP, lo que hace a OpenVPN más flexible en redes restrictivas que los protocolos solo UDP. El cifrado corre a cargo de la biblioteca OpenSSL y la integridad la comprueba HMAC. OpenVPN funciona en Linux, BSD, macOS y Windows, está bien documentado y lleva más de dos décadas en uso en empresas y servicios VPN; a cambio, se considera más lento y voluminoso. NordVPN contrapone en su blog unas 400.000 líneas de código en OpenVPN a una base mucho menor en su derivado de WireGuard, NordLynx (unas 10.000 líneas, según NordVPN): un código más pequeño es más fácil de revisar y mantener.

IKEv2/IPsec es el estándar que los sistemas operativos traen de serie. Según Apple, iOS incorpora los protocolos IKEv2, L2TP sobre IPsec y Cisco IPsec (a 22 de octubre de 2026); la FRITZ!Box describe IPsec como compatible directamente con muchos sistemas operativos, y el NCSC británico recomienda expresamente IPsec a las organizaciones para el acceso VPN, porque es un estándar abierto integrado en los sistemas operativos, con el inconveniente de que algunas redes ajenas bloquean el tráfico IPsec. Quien quiera configurar una VPN sin app, por ejemplo hacia el router de casa o hacia un proveedor que lo permita, acaba casi siempre en IKEv2; cómo se hace en el iPhone lo muestra (→ Cómo configurar una VPN en el iPhone: con la app o a mano).

A esto se suman los desarrollos propios de los proveedores, que por lo general son variantes de los protocolos mencionados. NordLynx, de NordVPN, se basa según el blog de NordVPN en WireGuard y añade un sistema de doble NAT: como WireGuard, en su forma básica, asignaría a cada usuario una dirección IP interna fija en el servidor, en NordLynx todos los usuarios de un servidor comparten hacia fuera la misma dirección local, mientras que una segunda interfaz asigna por sesión una dirección dinámica que desaparece con la sesión. Para países con fuerte censura, NordVPN recomienda su protocolo NordWhisper, porque el tráfico de WireGuard tiene una huella reconocible y UDP a veces está bloqueado en redes universitarias o de empresa. Estos protocolos adicionales no son por sí mismos una señal de calidad; lo decisivo sigue siendo que la base esté documentada de forma abierta y revisada.

Proteger el wifi público: en el hotel, en el aeropuerto o en la cafetería compartes la red con desconocidos. La Oficina Federal de Ciberseguridad de Suiza (BACS) describe en su resumen semanal 29/2024 los riesgos: puntos de acceso sin cifrar o mal protegidos, a través de los cuales se pueden interceptar credenciales y datos de tarjetas, y puntos de acceso falsos con nombres que suenan fiables; como ejemplo, la BACS cita un caso en Australia con redes falsas en aeropuertos y aviones. La recomendación de la BACS es, literalmente, «If you can, use a Virtual Private Network (VPN)» («si puedes, usa una red privada virtual»), con el argumento de que una VPN cifra todo el tráfico de datos. El BSI lo formula de manera parecida: una VPN reduce el riesgo de que otros usuarios de la misma red te espíen. Ambas autoridades añaden, eso sí, que en las redes públicas conviene no manejar datos sensibles como la banca online y fijarse en que haya HTTPS.

Dejar fuera al operador de internet: sin VPN, tu operador de internet o de telefonía móvil ve con qué servidores te conectas. Con VPN solo ve el túnel hacia el servidor VPN. Para quién importa eso es una cuestión de criterio personal: en Suiza y en la UE rara vez hay una razón imperiosa; en viajes a países con vigilancia generalizada puede ser relevante. Lo importante es la contrapartida: lo que el operador de internet deja de ver, ahora lo ve el proveedor de la VPN.

Cambiar de ubicación: como la web ve la dirección IP del servidor VPN, te sitúa en el país de ese servidor. El BSI menciona expresamente eludir el bloqueo geográfico como uso, pero señala los motivos relacionados con las licencias y la situación legal. Casos típicos son tu propia suscripción de streaming en vacaciones, webs de noticias bloqueadas desde el extranjero o comparativas de precios en las que los proveedores muestran precios distintos según el país. No es ninguna garantía, y las condiciones de uso de los servicios pueden prohibir eludir las restricciones por país; conviene leerlas antes.

Acceso remoto y protección frente al rastreo: con una VPN hacia tu red doméstica llegas desde fuera a tus dispositivos de casa sin exponerlos a internet; el BSI cita como ganancia de seguridad evitar los puertos abiertos. Contra el rastreo publicitario, una VPN solo ayuda en un punto: tu dirección IP, que las redes publicitarias usan como uno de varios rasgos para reconocerte, cambia con cada servidor. Las cookies, la huella digital del dispositivo y los inicios de sesión no se ven afectados; cómo deshacerte de las cookies lo explica (→ Borrar la caché y las cookies en cualquier navegador, en el ordenador y en el móvil). Si lo que quieres aclarar es, sobre todo, si necesitas una VPN, encontrarás la valoración en nuestra guía (→ ¿De verdad necesitas una VPN en 2026? La guía sincera).

Nada de anonimato: una VPN desplaza el conocimiento, no lo elimina. Proton VPN escribe en su propio blog que el proveedor de la VPN conoce tu dirección IP real, gestiona tus consultas DNS y ve las webs visitadas, y que por eso hay que confiar en él. Y en cuanto has iniciado sesión en Google, Facebook, Instagram o tu cuenta de correo, el servicio sabe de todos modos quién eres; Proton lo formula así: Google puede entonces seguir «todos los aspectos de tu navegación» (en el original, «all aspects of your browsing»), y solo la dirección IP actual queda oculta. A eso se suman las cookies y la huella digital del navegador, es decir, el reconocimiento a partir de pequeñas diferencias entre navegadores y dispositivos; según Proton, ninguna de las dos cosas se puede impedir con una VPN.

Sin protección frente al phishing, el malware y las contraseñas débiles: una VPN no comprueba si la web en la que estás introduciendo tu tarjeta es auténtica. Quien cae en una página falsa de reserva de hotel o de pago lo hace igual con y sin VPN; un caso reciente en Suiza, señalado por la BACS, consistía en reservas de hotel falsas dirigidas a cuentas de la app de pago TWINT. Proton lo resume en una frase: una VPN no puede superar un dispositivo comprometido («A VPN can't overcome a compromised device»). Contra el malware necesitas actualizaciones y un antivirus; contra el robo de cuentas, contraseñas fuertes y únicas y autenticación en dos pasos (→ Cómo activar la verificación en dos pasos en tu cuenta de Google: notificaciones, app, llave o passkey): consulta (→ Cómo crear una contraseña segura, y qué es seguro de verdad en 2026) y nuestra comparativa (→ Mejores gestores de contraseñas 2026: 1Password, NordPass, Bitwarden y Proton Pass comparados).

El cifrado termina en el servidor: el BSI subraya que el cifrado de la VPN solo llega hasta el servidor VPN o el router y no rige más allá. Desde ahí hasta la web te protege lo mismo que te protege sin VPN: HTTPS, reconocible por el candado en la barra de direcciones, que hoy es el estándar en la inmensa mayoría de las webs. Por eso el BSI dice expresamente que una VPN no sustituye ni a HTTPS ni a las apps de mensajería cifradas. A la inversa, eso significa también que lo que HTTPS ya cifra (contraseñas, contenidos, datos de pago) no se vuelve más seguro con una VPN, sino que solo queda además oculto al dueño del wifi y al operador de internet, que sin VPN ven como mínimo la dirección de destino.

Más lento y un nuevo confidente: cada desvío por un servidor adicional cuesta tiempo. El BSI escribe que la velocidad de transmisión suele bajar; NordVPN admite que la velocidad puede bajar «un poco», según el servidor, la carga de la red y el protocolo. Un servidor cercano y un protocolo moderno mantienen pequeña la pérdida; un servidor lejano y un protocolo antiguo la aumentan. Y, por último, la cuestión de la confianza: cambias un operador de internet sujeto a la legislación de tu país por una empresa cuyos servidores están en cualquier lugar del mundo. Por eso el BSI llama a la elección del proveedor una «cuestión de confianza», y justo aquí entran en juego las promesas de no-logs y las auditorías.

Kill switch (desconexión de emergencia): si la conexión VPN se corta sin que lo notes, por ejemplo al pasar del wifi a la red móvil, tu dispositivo seguiría navegando sin protección y revelaría tu dirección IP real. Un kill switch lo impide: según NordVPN, Proton VPN y Surfshark, bloquea el tráfico de internet hasta que el túnel vuelve a estar en pie. NordVPN distingue un kill switch a nivel de sistema, que corta de inmediato todo el tráfico, de uno a nivel de app, que solo detiene los programas seleccionados; en Android, NordVPN usa según su propia página, a partir de Android 7, la función del sistema «VPN siempre activa». Proton VPN ofrece, además del kill switch estándar, que solo actúa en caso de corte involuntario, un «Advanced Kill Switch» que solo permite internet con una conexión Proton activa y sobrevive a un reinicio; en iOS, según Proton, la función está en los ajustes bajo «Security Options». Surfshark llama a sus dos niveles «Soft» (solo en caso de corte inesperado) y «Strict» (siempre que la VPN está apagada). Quien use la VPN en serio debería activar el kill switch; quien solo la necesite para streaming puede prescindir de él, porque con una conexión inestable molesta.

No-logs (sin registros): con ello los proveedores prometen no registrar lo que haces a través de sus servidores. Proton VPN lo formula así en su página: no guardan ningún registro de tu actividad en línea ni almacenan metadatos (en el original, «We do not keep any logs of your online activity and do not store any metadata»), es decir, ni webs visitadas, ni duración de las sesiones, ni dirección IP, ni registros de conexión. Proton fundamenta esa postura en la legislación suiza, que no obliga a los proveedores de VPN a conservar datos; la sede está en Ginebra. Pero lo decisivo es esto: una promesa de no-logs es, de entrada, solo una afirmación del proveedor. Tú no puedes comprobar qué se guarda en servidores ajenos.

Auditorías (revisiones independientes): por eso los proveedores serios hacen que terceros revisen sus afirmaciones. Una auditoría es un dictamen de una firma de auditoría o de seguridad que examina servidores, configuraciones o apps y confirma que la práctica coincide con lo afirmado, siempre solo para el momento de la revisión. Proton VPN menciona en su página de no-logs revisiones de la firma de seguridad Securitum y publica el código completo de sus apps, de modo que cualquiera puede examinarlo. Surfshark remite a revisiones de sus afirmaciones de no-logs por Deloitte en 2023 y en junio de 2025 (a 22 de octubre de 2026). A esto se añade la jurisdicción, es decir, el país cuyas leyes rigen para el proveedor: Surfshark B.V. tiene su sede en Ámsterdam y Proton AG en Ginebra (a 22 de octubre de 2026). Cómo gestionan los distintos proveedores sede, revisiones y registros lo explican nuestros análisis (→ Surfshark opiniones 2026: barata, ¿pero también buena?) y (→ NordVPN opiniones 2026: ¿sigue mereciendo la pena el líder del mercado?).

Que la confianza no es de sentido único lo demuestra un incidente de finales del verano de 2026. Surfshark informó en un informe de incidente de septiembre de 2026 de que un servidor interno de pruebas de los equipos de desarrollo quedó accesible desde internet por un error de configuración; los primeros indicios surgieron, según Surfshark, el 31 de agosto, y el 2 de septiembre el incidente se confirmó y se contuvo. Según el informe, quedaron accesibles documentos internos de ingeniería, partes de archivos de sistema, configuraciones y credenciales de compilación; no se vieron afectados ni datos de usuarios ni los servicios VPN («no user data and VPN services were affected»), escribe Surfshark, los usuarios no tienen que hacer nada y todas las credenciales afectadas se han sustituido. La investigación la llevó a cabo la propia Surfshark, y se anunció una auditoría independiente. Lo contamos de forma neutral: el informe habla a favor de la transparencia, pero muestra también que incluso los proveedores auditados cometen errores, y que al elegir proveedor deberías fijarte en cómo gestiona este tipo de incidentes.

Retransmisión privada de iCloud: el servicio de Apple para los suscriptores de iCloud+ se confunde a menudo con una VPN, pero es otra cosa. Según el soporte de Apple, Retransmisión privada protege la navegación en Safari: las peticiones pasan por dos relés separados; el primero lo opera Apple y ve tu dirección IP, pero, gracias a las consultas DNS cifradas, no qué web visitas; el segundo lo opera un proveedor externo, asigna una dirección IP temporal y contacta con la web. El objetivo, según Apple, es que nadie, ni siquiera Apple, pueda saber a la vez quién eres y qué sitios visitas. La diferencia con una VPN: solo vale para Safari y no para otras apps, no puedes elegir ubicación y, según Apple, el servicio no está disponible en todos los países. Para el día a día en el navegador es una protección buena y discreta de la dirección IP; para el wifi público con todas las apps o para otra ubicación necesitas una VPN.

Tor: la red Tor persigue un objetivo distinto al de una VPN, el anonimato sin un operador único en el que tengas que confiar. Según la ayuda del Proyecto Tor, el navegador Tor dirige el tráfico a través de tres servidores elegidos al azar («relays»); el último, el relé de salida, envía la petición a internet. Tu operador de internet no ve qué webs visitas, y la web solo ve una conexión procedente de la red Tor, no tu dirección. El navegador Tor se defiende además contra la huella digital, no guarda historial y borra las cookies al final de cada sesión. El precio es la comodidad: la protección solo rige dentro del propio navegador Tor (el Proyecto Tor desaconseja expresamente usar Tor con otros navegadores) y no existe una ubicación a elegir como en una VPN. Tor se dirige, según el proyecto, a personas que necesitan protegerse de la vigilancia y la censura, no a usuarios de streaming.

Proxy: un proxy es un servidor intermediario que hace las peticiones en tu nombre. A diferencia de una VPN, suele configurarse por programa, por ejemplo solo en el navegador, y no cifra necesariamente el camino hasta él. Las extensiones del navegador que se llaman «VPN» son, según el BSI, con frecuencia exactamente eso: solo cifran el tráfico web, mientras que todas las demás apps salen directamente a la red. Quien quiera proteger todo el tráfico de un dispositivo necesita, según el BSI, un software VPN propio.

VPN de empresa: si tu empresa te ha configurado una VPN en el portátil, sirve para acceder a los sistemas internos y, a menudo, también para que la empresa supervise el tráfico; el NCSC británico recomienda expresamente a las organizaciones una VPN forzada sin split tunnelling, para que las apps no puedan eludir la supervisión corporativa. En privado, a través de una VPN de empresa navegas, para internet, desde la ubicación de la empresa, y el departamento de informática puede ver lo que haces. En caso de duda, usa la VPN de la empresa solo para el trabajo y un dispositivo personal para lo personal.

Usar una VPN está permitido en Suiza, en España y en la UE; empresas, administraciones y universidades la utilizan a diario, y routers domésticos como la FRITZ!Box traen la función de fábrica. Lo que está prohibido sigue prohibido con VPN: quien descargue sin permiso contenidos protegidos por derechos de autor a través de un servidor extranjero o cometa un fraude no es menos responsable solo porque la dirección IP sea otra. Esto no es asesoramiento jurídico, sino el principio al que también remite el BSI cuando, al hablar del bloqueo geográfico, recuerda los motivos de licencia y la situación legal.

Con los servicios de streaming la cosa es distinta. Legalmente, entrar en tu propia suscripción desde el extranjero no es un delito; contractualmente, el proveedor puede prohibir en sus condiciones de uso eludir las restricciones por país y, en el caso extremo, bloquear la cuenta. Qué dice exactamente tu servicio al respecto está en sus condiciones; no las hemos revisado una por una para este artículo y por eso no garantizamos qué funciona en cada servicio.

Al viajar: algunos Estados restringen o prohíben las VPN. El BSI cita como ejemplo China y aconseja tenerlo en cuenta al viajar; la BACS recomienda en sus indicaciones para viajes al extranjero informarse en general antes de salir sobre las normas específicas de cada país y seguir las recomendaciones de viaje del Ministerio de Asuntos Exteriores suizo (EDA), y advierte de que en algunos países las autoridades fronterizas pueden examinar y retener discos duros. En la práctica: antes de viajar a esos países, infórmate, instala la app con antelación si procede y no cuentes con que allí funcione. Para la conexión en sí, la BACS recomienda, por cierto, usar tu propia conexión de datos móviles en lugar de un wifi ajeno; en el extranjero, una eSIM de viaje suele ser la forma más barata de conseguirla, y qué es exactamente una eSIM lo explica (→ ¿Qué es una eSIM? Así funciona la tarjeta SIM digital).

Un servicio VPN cuesta dinero: servidores en muchos países, ancho de banda, desarrollo de las apps. Quien lo ofrece gratis tiene que financiarlo de otra manera. El BSI advierte de que en las ofertas gratuitas suele haber limitaciones de funciones o peor calidad de conexión, y de que los usuarios pagan a menudo con sus datos, que pueden explotarse, por ejemplo, con fines de marketing. En un servicio que, por definición, ve todo tu tráfico, es un mal trato. La BACS menciona en su resumen semanal que hay apps VPN gratuitas en las tiendas de aplicaciones, pero no cita nombres ni criterios.

Una excepción que se puede documentar es Proton VPN Free: según el soporte de Proton (a 22 de octubre de 2026), el nivel gratuito no tiene límite de datos ni publicidad; las limitaciones son un único dispositivo y servidores gratuitos en diez países (Países Bajos, Japón, Rumanía, Polonia, Noruega, Suiza, Singapur, México, Canadá y Estados Unidos). Para la protección ocasional en el wifi del hotel basta; quien necesite una ubicación concreta o varios dispositivos no se libra de una suscripción. El kill switch está incluido, según Proton, también en el nivel gratuito.

En los servicios de pago, los precios con contratos de dos años están muy cerca unos de otros; las suscripciones mensuales cuestan varias veces más. NordVPN cobra con «2 años + 3 meses» el equivalente a 3,49 $ al mes por Basic, 3,99 $ por Complete y 6,99 $ por Prime, y 14,99 $ por la suscripción mensual; incluye 10 dispositivos, más de 7.100 servidores en 150 países y 30 días de garantía de devolución (a 22 de octubre de 2026, confirmado el 27 de octubre de 2026). Surfshark cuesta con la misma duración 2,49 $ (Starter y One) o 3,99 $ (One+) al mes y permite dispositivos ilimitados con más de 4.500 servidores en 100 países (a 22 de octubre de 2026). Proton VPN Plus está a 24 meses en 3,49 $ y en la suscripción mensual en 9,99 $ para 10 dispositivos (a 22 de octubre de 2026); ExpressVPN indica con «2 años + 4 meses» 2,99 $ por Basic en 113 países, y CyberGhost con «2 años + 2 meses» 2,19 $ con más de 9.500 servidores en 100 países (a 12 de octubre de 2026). Todos los precios se muestran en las webs de los proveedores en dólares estadounidenses; los detalles y las condiciones de renovación están en los análisis (→ NordVPN opiniones 2026: ¿sigue mereciendo la pena el líder del mercado?) y (→ Surfshark opiniones 2026: barata, ¿pero también buena?).

Qué es justo depende de lo que necesites. Para proteger el wifi de vez en cuando basta Proton VPN Free o, en el iPhone con Safari, Retransmisión privada de Apple dentro de la suscripción a iCloud+. Quien quiera acceder con regularidad desde el extranjero a su suscripción de streaming, cubra a la familia y varios dispositivos o valore unas afirmaciones de no-logs auditadas, está bien servido con una suscripción de dos años por el equivalente a unos 2,50 a 4 $ al mes; la suscripción mensual solo compensa para un viaje concreto. Y quien busque sobre todo anonimato está mejor con Tor que con cualquier suscripción. Qué variante te conviene lo aclara nuestra guía (→ ¿De verdad necesitas una VPN en 2026? La guía sincera); si hay una promoción en marcha, como el Black Friday de NordVPN, la resumimos en (→ NordVPN Black Friday 2026: qué aporta de verdad la promoción).