¿Qué es un firewall? Cómo te protege (2026)
El firewall es una de las ideas más antiguas y útiles de la seguridad informática y, sin embargo, a casi nadie le han explicado qué hace realmente. En pocas palabras, un firewall es un filtro que decide qué tráfico de red se permite entrar o salir de tu dispositivo o tu red. Esta guía explica qué es un firewall, cómo funciona, sus tipos principales y —igual de importante— lo que no puede hacer.
La definición corta
Un firewall es una barrera de seguridad que vigila el tráfico de red y lo permite o lo bloquea según un conjunto de reglas. Se sitúa entre un lado de confianza (tu ordenador o tu red doméstica) y un lado no confiable (internet), y comprueba cada paquete de datos frente a sus reglas. El tráfico que coincide con una regla de «permitir» pasa; todo lo demás se descarta. El nombre viene de la construcción: un firewall (cortafuegos) es un muro levantado para impedir que un incendio se propague de una sección a otra.
Cómo funciona un firewall
Todo dato que cruza una red se divide en paquetes, cada uno etiquetado con su origen, su destino y el puerto (servicio) al que va. El firewall inspecciona esas etiquetas y aplica sus reglas:
- Llega un paquete hacia tu dispositivo o hacia internet.
- El firewall lo comprueba contra su conjunto de reglas — dirección de origen y destino, puerto y protocolo.
- Lo permite o lo bloquea. Un buen valor por defecto es «denegar todo lo que no esté permitido explícitamente», para que solo pasen las conexiones que realmente necesitas.
Los tipos principales
- Firewall de hardware — un dispositivo físico (a menudo integrado en tu router) que protege todos los equipos de la red a la vez, antes de que el tráfico les llegue.
- Firewall de software — un programa que se ejecuta en un solo dispositivo (el Firewall de Windows Defender, la pila Linux
nftables/ufw, el firewall de macOS) y controla el tráfico de esa máquina en concreto. - Firewall de filtrado de paquetes — el tipo básico: examina la dirección y el puerto de cada paquete de forma aislada, sin memoria de lo anterior.
- Firewall con estado (stateful) — más inteligente: sigue el estado de las conexiones activas, así que distingue la respuesta a una petición que hiciste de una conexión entrante no solicitada. Casi todos los firewalls modernos son con estado.
- Firewall de capa de aplicación / WAF — inspecciona el contenido real del tráfico de un servicio concreto (como una aplicación web), no solo la dirección y el puerto.
Lo que un firewall puede y no puede hacer
Un firewall es potente pero acotado. Puede:
- Bloquear conexiones entrantes no solicitadas (una defensa clave para cualquier dispositivo expuesto a internet).
- Impedir que programas de tu equipo «llamen a casa» si defines reglas de salida.
- Segmentar una red para que un compromiso en una parte no alcance libremente al resto.
No puede:
- Protegerte de un malware que tú mismo invitas a entrar — una descarga o un adjunto malicioso pasa por tráfico permitido.
- Frenar el phishing, una contraseña débil o una credencial robada usada sobre una conexión permitida.
- Ver el interior del tráfico cifrado que está configurado para permitir.
Por eso un firewall es una capa, no una defensa completa.
Dónde encaja una VPN
Un firewall controla qué conexiones se permiten; no oculta qué haces en las permitidas. En una red no confiable —Wi-Fi público, un hotel, un aeropuerto— el operador de la red y otros cerca pueden ver a qué sitios te conectas. Una VPN cubre ese hueco cifrando tu tráfico entre tu dispositivo y el servidor VPN, de modo que la red local solo ve un túnel cifrado. Firewall y VPN resuelven problemas distintos y se complementan bien: el firewall vigila las conexiones, la VPN protege las que están permitidas.
Para recordar, con honestidad
Un firewall es el guardián de tu red: aplica reglas simples y potentes sobre qué tráfico puede entrar y salir, y una postura de «denegar por defecto» bloquea una enorme categoría de ataques oportunistas. Pero solo controla conexiones — no verifica el contenido que permites, no frena la ingeniería social ni oculta tu actividad en una red hostil. Trátalo como la capa base, y añade una VPN en redes no confiables, mantén el software actualizado y usa contraseñas fuertes y únicas. Juntas, convierten una sola barrera en una verdadera defensa en profundidad.