Tor Browser en Android: Guía para una configuración avanzada de privacidad

Si usas Android y te preocupa de verdad la privacidad, tarde o temprano acabas mirando hacia Tor. Configurar Tor Browser y Orbot a fondo en tu móvil puede marcar la diferencia entre pasar desapercibido o dejar un rastro enorme por la red, pero casi nadie se toma el tiempo de ajustar todas las opciones avanzadas.

En las siguientes líneas vamos a ver, paso a paso y con calma, cómo exprimir Tor Browser en Android para reforzar al máximo tu anonimato, cómo combinarlo con Orbot y, cuando tiene sentido, con una VPN, además de todos esos detalles prácticos y advertencias que muchas guías pasan por alto y que son justo los que te pueden delatar.

Deep web, dark web y la red Tor: aclarando conceptos en Android

Antes de tocar ningún ajuste, conviene entender qué es lo que estás usando. La “deep web” es todo lo que no está indexado por buscadores normales (bases de datos privadas, intranets, paneles de administración, etc.), mientras que la “dark web” es solo una pequeña parte de esa internet profunda donde se concentran muchos servicios anónimos, legales e ilegales.

Tor es la pieza clave para moverte por esa parte de la red. La red Onion cifra tu tráfico y lo hace rebotar por varios nodos (entrada, intermedio y salida) gestionados por voluntarios, de forma que nadie ve la ruta completa: el nodo de entrada sabe quién eres pero no a dónde vas; el de salida sabe a dónde vas pero no quién eres.

En Android, la puerta de entrada oficial es Tor Browser, acompañado de Orbot como proxy/vpn local. Tor Browser para Android funciona como un Firefox endurecido: integra bloqueos de scripts, aislamiento de pestañas, HTTPS forzado y una serie de ajustes de seguridad que no vas a encontrar en un navegador estándar.

Instalar Tor Browser y Orbot correctamente en Android

Lo primero es evitar sustos con apps falsas o con versiones modificadas. Tor Browser para Android solo deberías descargarlo desde Google Play o desde la web oficial de Tor; cualquier otra fuente es arriesgarte a instalar algo que filtre tu tráfico o meta publicidad y rastreadores.

En paralelo, te interesa instalar Orbot, que actúa como proxy y modo VPN local para enrutar el tráfico de otras apps por Tor. Orbot también debe venir de fuentes oficiales: Google Play, F-Droid o la web de Guardian Project, nada de repositorios raros ni APKs de dudosa procedencia.

La instalación en ambos casos es la típica de Android: descargar, aceptar permisos y listo. No hace falta ser root ni modificar el sistema para navegar por Tor, lo cual facilita mucho usarlo en móviles personales o corporativos donde no puedes toquetear demasiado.

Primer inicio de Tor Browser en Android y conexión a la red

Al abrir Tor Browser por primera vez, verás un botón grande de “Conectar” y la opción de ajustes de red. En la mayoría de países basta con pulsar “Conectar” y esperar unos segundos hasta que el navegador establezca un circuito Tor y se abra la página de inicio.

Si estás en una red vigilada o en un país donde Tor está bloqueado, tendrás que tocar en “Configurar” antes de conectar. Ahí entran en juego los puentes (bridges), que son nodos de entrada que no se publican en el listado oficial. Los puentes ocultan que estás usando Tor, pero no son mágicos: pueden ser descubiertos más tarde y asociados retroactivamente a tráfico antiguo si tu proveedor guarda registros detallados.

Tor Browser en Android incluye varios tipos de puente: obfs4 (tráfico ofuscado que “no parece nada”), Snowflake (parece una videollamada) y meek-azure (camuflado como tráfico hacia Microsoft). Si en tu red Tor se bloquea de forma agresiva, puedes ir probando: obfs4 → Snowflake → meek-azure, sabiendo que cuanto más se camufla, más lento suele ir.

Nivel de seguridad en Tor Browser para Android: estándar, más seguro y máximo

Una de las opciones más importantes es el “Nivel de seguridad”. En Android la encuentras desde el menú de tres puntos (⋮) > Ajustes > Seguridad. Por defecto Tor Browser viene en modo “Estándar”, que ya incluye protecciones fuertes: HTTPS forzado siempre que se pueda y bloqueo de muchos rastreadores.

Si subes un escalón a “Más seguro”, el navegador empieza a desactivar características web peligrosas: se bloquea gran parte de JavaScript en sitios que no son de confianza, se deshabilitan algunas fuentes y símbolos, y se paran las reproducciones automáticas de audio y vídeo. Esto rompe ciertas webs, pero compensa de sobra si vas a entrar en servicios .onion poco conocidos o en páginas potencialmente hostiles.

En el ajuste más alto, el recorte es todavía más agresivo: muchos sitios dejan de funcionar correctamente, pero a cambio reduces al mínimo las superficies de ataque basadas en scripts, fuentes y multimedia. Esta configuración tiene sentido si tu modelo de amenaza es alto (periodismo de investigación, activismo, entornos muy represivos) y no te importa sacrificar usabilidad.

Opciones de privacidad en Tor Browser para Android

Tor Browser para escritorio está basado en Firefox ESR, y en Android mantiene la misma filosofía: minimizar cualquier huella que pueda identificarte. En el apartado de Privacidad y Seguridad verás varios puntos clave que conviene repasar.

En el historial, la idea es simple: Tor Browser se comporta como si estuviera siempre en modo incógnito. No guarda historial de páginas, ni caché persistente, ni cookies más allá de la sesión. Al cerrar el navegador se borra todo, y eso es justo lo que quieres cuando estás priorizando anonimato.

En cuanto a permisos, Tor te pedirá acceso a cosas como ubicación, cámara o micrófono cuando una web lo solicite. La recomendación es contundente: niega sistemáticamente estos permisos salvo casos muy extraordinarios. Exponer tu localización real, tu voz o tu imagen mientras usas Tor tira por tierra todo el esfuerzo de la red.

Tampoco es buena idea instalar extensiones o complementos dentro de Tor Browser. Cualquier plugin adicional puede eludir Tor o introducir fugas de información. Tor ya está configurado para bloquear anuncios, rastreadores y scripts peligrosos; añadir bloqueadores externos recrea justo los mismos patrones que se usan para hacerte único en la red (fingerprinting).

Configuración avanzada de red: puentes, proxies y cortafuegos

Más allá de elegir el tipo de puente, Tor Browser permite ajustar un proxy si tu red corporativa lo exige. En Android esto suele gestionarse mejor desde Orbot, que puede actuar como proxy local o como VPN para todo el dispositivo, pero es importante entender el efecto de cada capa.

Si configuras un proxy dentro de Tor Browser, ese servidor verá tu IP real y sabrá que estás usando Tor después del proxy. En muchos casos es preferible usar directamente una VPN fiable a nivel de sistema y luego Tor Browser encima, sin meter proxies adicionales que añadan ruido y puntos débiles.

Si tu red pasa por un cortafuegos que solo deja salir tráfico por determinados puertos, Tor Browser (y sobre todo Orbot) permiten fijar puertos concretos. Esto puede ser necesario en redes de empresa o campus universitarios muy cerrados, pero requiere probar hasta encontrar una combinación que no salte alarmas.

Orbot: torificar apps Android más allá de Tor Browser

Tor Browser solo protege el tráfico que pasa por él. Si abres otra app en Android (Twitter, un navegador normal, un cliente de correo…), todo eso va fuera de Tor, a menos que uses Orbot para torificarlo.

Orbot funciona como un servidor proxy/VPN local. Una vez instalado y abierto, puedes activar el “VPN Mode” y decidir qué apps quieres que pasen por Tor. Solo las aplicaciones marcadas quedarán detrás de la red Tor; el resto seguirá usando tu conexión directa.

Para configurarlo, entras en Orbot, activas el modo VPN y tocas en la opción de seleccionar aplicaciones. Marca únicamente las apps que tengan sentido con Tor (por ejemplo, un navegador secundario, un cliente de mensajería compatible o alguna app que quieras ocultar a tu proveedor), y evita torificar aquellas que dependen de geolocalización precisa o de servicios que no toleran bien el uso de proxies.

Una vez elegido el listado, pulsas el botón de encendido de Orbot. En unos segundos, cuando aparezca como conectado, el tráfico de esas apps se enrutará por Tor. Para verificarlo, puedes abrir una app torificada, visitar https://check.torproject.org y comprobar que detecta que estás usando Tor.

Ajustes extra de Orbot: arranque automático y comportamiento

De fábrica, Orbot puede venir configurado para iniciarse automáticamente con el móvil, algo que no siempre interesa. Si no quieres que Tor se active cada vez que enciendes el teléfono, entra en la configuración de Orbot y desmarca la opción “Iniciar Orbot en el arranque”.

Orbot también puede trabajar como proxy transparente en ciertos dispositivos y versiones de Android, redirigiendo el tráfico sin que cada app tenga que configurarse. Es una función potente, pero conviene usarla solo si entiendes bien su alcance, porque podrías acabar torificando servicios que no te interesa ralentizar o que se rompen al pasar por Tor.

Ten presente además que, aunque Orbot pueda redirigir gran parte del tráfico, no todas las apps están diseñadas para funcionar detrás de Tor. Algunas detectan tráfico inusual y se bloquean; otras siguen filtrando información sensible a través de canales que Tor no cubre (por ejemplo, notificaciones push o conexiones internas a Google Play Services).

Buenas prácticas de anonimato al usar Tor en Android

Tor te da una base técnica muy sólida, pero el eslabón más débil suele ser el usuario. Si en un formulario web rellenas tu nombre real, tu correo personal y tu teléfono, ese sitio ya no necesita tu IP para saber quién eres, aunque estés detrás de diez capas de cifrado.

Evita iniciar sesión con tus cuentas habituales de Gmail, Outlook, redes sociales o servicios vinculados a tu identidad real. Mejor usar cuentas desechables y sin datos personales cuando una web requiera registro y solo la quieras para algo puntual.

Otra práctica peligrosa es usar BitTorrent o cualquier cliente de descargas P2P sobre Tor. Los clientes torrent tienden a ignorar proxies, exponer tu IP en peticiones al tracker y saturar la red Tor, perjudicando a todo el mundo. La recomendación oficial es clara: nada de torrent a través de Tor.

No abras documentos descargados con Tor (sobre todo PDF y DOC) mientras sigues conectado. Esos archivos pueden incluir recursos externos que tu visor descargará por fuera de Tor, revelando tu IP real. Si necesitas abrirlos, hazlo en un dispositivo desconectado o conviértelos antes con herramientas que “limpien” su contenido.

Tor y HTTPS: cifrado de extremo a extremo y nodos de salida

Tor cifra tu tráfico dentro de la red de nodos, pero una vez que llega al nodo de salida, si la web de destino no usa HTTPS, los datos viajan en claro hasta el servidor. Un nodo de salida malicioso puede leer y modificar tráfico HTTP, inyectar malware o manipular descargas.

Por eso Tor Browser incluye siempre modo solo HTTPS y fuerza el uso de cifrado en cualquier sitio que lo permita. Aun así, conviene mirar la barra de direcciones y asegurarte de que la web carga con https:// y el icono de candado (o cebolla) correcto, sobre todo si introduces credenciales o información sensible.

En Android esto no cambia: si un sitio solo ofrece HTTP, deberías considerar seriamente no introducir ningún dato personal ni descargar archivos a través de Tor. La combinación Tor + HTTPS es la que realmente da garantías frente a nodos de salida curiosos.

VPN + Tor en Android: cuándo tiene sentido y cómo hacerlo bien

Tor no es una VPN y no pretende serlo. Aun así, combinar una VPN de confianza con Tor puede tener mucho sentido en Android si te preocupa que tu proveedor de Internet o el administrador de la red vean que usas Tor.

El escenario recomendable es “VPN → Tor”: primero te conectas a la VPN desde tu móvil, después abres Tor Browser (y/o Orbot). Para tu ISP solo hay un túnel cifrado hacia la VPN, y no puede ver que dentro de ese túnel hay tráfico Tor. Para la VPN, ve que sales hacia la red Tor, pero no sabe qué webs visitas porque ahí entra ya el cifrado de Tor.

Lo que no se recomienda es encadenar Tor y VPN de formas extrañas: Tor → VPN → Internet, o VPN → Tor → VPN → Internet. Estas combinaciones rompen la rotación de circuitos de Tor, exponen más metadatos y no añaden beneficios reales para el usuario medio. Si tu proveedor de VPN te sugiere ese tipo de configuraciones “para saltarte bloqueos”, desconfía.

También es importante elegir bien la VPN. Los casos de proveedores que han entregado registros a la policía demuestran que no todas las VPN son iguales: si tu prioridad es la privacidad, busca políticas de no registros auditoras, jurisdicciones razonables y opciones de pago anónimas (criptomonedas, tarjetas regalo, etc.).

Limitaciones reales de Tor en Android que debes conocer

Tor es potentísimo, pero no es una capa de invisibilidad. La velocidad es uno de los sacrificios más evidentes: como tu tráfico rebota por varios nodos repartidos por el mundo, la navegación es más lenta y el streaming pesado o los juegos online no son escenarios donde Tor brille precisamente.

Además, el uso de Tor es detectable a nivel de red, incluso cuando usas puentes u ofuscación. Un adversario con capacidad de monitorizar tráfico puede identificar patrones asociados a Tor, aunque no pueda ver el contenido. Esto no tiene por qué ser un problema en países donde usar Tor no es delito, pero conviene tenerlo claro.

A nivel de seguridad, Tor Browser para Android se basa en la rama ESR de Firefox. Eso significa que se priorizan parches para vulnerabilidades críticas y altas, pero algunas de nivel medio o bajo pueden permanecer más tiempo. Los atacantes con recursos pueden encadenar varias fallos menores y buscar exploits dirigidos contra Tor.

Un adversario global, capaz de observar la mayor parte del tráfico de Internet del planeta, está fuera del modelo de amenaza de Tor. Con suficiente visibilidad y análisis de tráfico avanzado, incluso Tor puede verse comprometido en escenarios extremos. Para la mayoría de usuarios eso es exagerado, pero es importante saber qué ofrece Tor… y qué no.

Sitios .onion relativamente seguros y buenas costumbres en la dark web

Una vez que tienes Tor Browser bien ajustado y Orbot funcionando, es tentador lanzarse a explorar la dark web sin filtro. Conviene pisar el freno. Existen índices y buscadores .onion como Hidden Wiki, Onion List o Torch que aglutinan miles de servicios, pero mezclan enlaces legítimos con material ilegal y estafas de todo tipo.

Hay recursos interesantes y legales: Proton Mail y otros proveedores de correo cifrado con versión .onion, Tor Metrics para ver estadísticas de la red, espejos .onion de medios y organizaciones de derechos humanos, e incluso versiones onion de algunas redes sociales o servicios de mensajería.

El criterio básico es aplicar el mismo sentido común que en la web normal, multiplicado por diez. Desconfía de cualquier oferta “demasiado buena para ser verdad”, evita descargas de ejecutables, no introduzcas datos bancarios y no “curiosees” por servicios explícitamente ilegales, aunque sea por morbo.

En Android, además, el riesgo es doble: instalar APKs desde la dark web puede dejar tu móvil comprometido en segundos. Si necesitas apps, mejor siempre desde F-Droid, Google Play o la web oficial del desarrollador, nunca desde repositorios anónimos sin reputación.

Tor Browser y Orbot en Android, bien configurados, ofrecen una capa de privacidad muy potente, pero solo funcionan de verdad si tú acompañas la parte técnica con hábitos sensatos: descargar siempre desde fuentes oficiales, subir el nivel de seguridad cuando te metas en terreno delicado, torificar solo las apps necesarias, evitar torrents y documentos peligrosos, y usar una VPN fiable cuando tu situación lo requiera. Usados así, dejan de ser “cosas de hackers” para convertirse en herramientas prácticas que cualquier persona preocupada por su privacidad puede integrar en su día a día digital sin perder el control de su identidad.