Qué es una clave de VPN y cómo importarla

Una clave de VPN es un bloque corto de texto con todo lo que el cliente necesita: a qué servidor conectarse, por qué puerto y con qué material criptográfico demuestra que tienes permiso. Los cuatro formatos que te vas a encontrar y qué hacer con cada uno.

En resumen

• La clave contiene servidor, puerto y credenciales. No contiene tu nombre, tu correo ni nada sobre ti.
• Cuatro formatos habituales: un archivo .conf de WireGuard, una clave ss:// de Outline, un enlace vless:// y una URL de suscripción que devuelve una lista de los anteriores y se actualiza sola.
• La clave es la cuenta. Quien la tenga tiene tu acceso, y un proveedor que no guarda nada sobre ti tampoco puede devolvértela si la pierdes.
• La suscripción es el formato más cómodo: si se añaden servidores, los recibes sin volver a configurar nada.
• Después de importarla, comprueba que funciona en el test de fugas antes de confiar en ella.

Qué hay dentro de una clave

Abre un perfil de WireGuard en un editor de texto y verás algo así:

[Interface] PrivateKey = <tu clave privada> Address = 10.0.0.2/32 DNS = 10.0.0.1 [Peer] PublicKey = <clave pública del servidor> Endpoint = 203.0.113.10:51820 AllowedIPs = 0.0.0.0/0, ::/0

Cada línea tiene un trabajo. Endpoint dice adónde conectarse. PrivateKey y PublicKey son el par criptográfico que demuestra quién es quién. DNS indica qué resolutor usar, y si esa línea falta tendrás una fuga de DNS. AllowedIPs decide qué tráfico entra en el túnel, y el ::/0 es lo que impide que el IPv6 se escape por fuera.

Nada de eso es información personal. Es una dirección y una prueba de acceso.

Los cuatro formatos que te vas a encontrar

Archivo .conf de WireGuard o AmneziaWG. Texto plano como el de arriba. Se importa en la aplicación de Amnezia o en cualquier cliente compatible. Es el formato más legible y el más fácil de revisar antes de usarlo.

Clave ss:// de Outline o Shadowsocks. Una cadena larga que empieza por ss:// y a veces viene como código QR. Formato antiguo, todavía útil en redes con filtrado suave.

Enlace vless://. Una sola línea con el servidor, el puerto, el identificador y los parámetros de camuflaje. Se abre en Happ, Streisand, v2rayBox o Hiddify.

URL de suscripción. No es una clave sino una dirección que devuelve una lista de claves, y el cliente la vuelve a consultar cada cierto tiempo. Si añadimos servidores o cambiamos algo, lo recibes sin tocar nada. Es el formato que recomendamos.

Cómo importarla en cada plataforma

iPhone y Android, VLESS. Instala Happ, Streisand o v2rayBox, elige añadir desde portapapeles o escanear el QR, pega el enlace y conecta. Activa el modo TUN para que todo el tráfico del dispositivo pase por el túnel.

iPhone y Android, AmneziaWG. Instala AmneziaVPN, elige importar configuración y abre el archivo .conf o escanea el QR.

Windows y macOS. Hiddify o Streisand para VLESS, AmneziaVPN para el perfil. En ambos casos la importación es pegar el enlace o abrir el archivo.

Routers. Depende del firmware. Si tu router soporta WireGuard, el perfil de AmneziaWG suele poder adaptarse, pero conviene preguntarnos antes porque no todos los firmwares aceptan los parámetros de ofuscación.

Tratar la clave como lo que es

Aquí está la parte que la gente subestima: la clave es la cuenta.

No hay usuario y contraseña que recuperar, ni correo al que enviar un enlace de restablecimiento. Quien tenga el archivo tiene tu acceso, igual que quien tiene la llave de un piso puede entrar sin demostrar que vive ahí.

Eso implica tres cosas prácticas:

• Guárdala en un gestor de contraseñas, no en la carpeta de descargas ni en un chat contigo mismo.
• No la compartas: cada plan tiene un número de dispositivos simultáneos, y repartirla es la forma más rápida de quedarte sin conexión en el peor momento.
• Si sospechas que se ha filtrado, pide una nueva. Emitir una clave nueva invalida la anterior.

La contrapartida de no pedirte un correo es exactamente esta: no podemos devolverte lo que nunca guardamos.

Cuando una clave deja de funcionar

Caducó el plan. Lo más común, y se arregla renovando.

Se emitió una clave nueva. Al emitir un perfil nuevo, el anterior se invalida. Es el comportamiento esperado, no un fallo.

La red la bloquea. El túnel no llega a levantarse o se cae a los pocos segundos. Ahí el problema no es la clave sino el protocolo: prueba el otro perfil, porque en redes filtradas suele pasar uno y no el otro.

El archivo se importó a medias. Pasa al copiar y pegar, cuando se pierde una línea. Si el cliente da un error de formato, vuelve a importar desde el original.

Preguntas frecuentes

¿La clave contiene datos personales?

No. Dirección del servidor, puerto y material criptográfico. Ni nombre, ni correo, ni identificador de dispositivo.

¿Puedo usar la misma clave en varios dispositivos?

Dentro del límite de conexiones simultáneas de tu plan, sí. Lo recomendable es un perfil por dispositivo, para poder revocar uno sin tocar el resto.

¿Qué pasa si pierdo la clave?

Si guardaste tus credenciales de acceso, entras y pides otra. Si no guardaste nada, no hay forma de recuperarla, y esa es la contrapartida honesta de no pedir correo.

¿Es más segura la suscripción que el archivo?

Igual de segura y bastante más cómoda, porque se actualiza sola cuando cambia la infraestructura.

¿Cómo sé que la importé bien?

Abre el test de fugas con el túnel conectado. Deben aparecer la dirección del servidor, el DNS correcto y ninguna dirección IPv6 tuya.

Una clave, ninguna cuenta

Generada en tu navegador y nunca almacenada en nuestro servidor. VLESS/Reality y AmneziaWG en todos los planes. Prueba gratis una hora, desde 1,99 $ la semana.