obfs4, Snowflake o WebTunnel: cómo elegir un puente Tor en 2026
Cuando un censor bloquea los puntos de entrada de Tor que todos conocen, la respuesta práctica es un puente: un relé excluido del directorio público de Tor, emparejado con un transporte conectable que cambia el aspecto de la conexión en el cable. Tres transportes soportan la mayor parte de esa carga en 2026: obfs4, Snowflake y WebTunnel. Resuelven el mismo problema — hacer que una conexión Tor se parezca al tráfico permitido — pero difieren mucho en cómo se obtienen, cómo se ocultan y qué velocidad ofrecen. Elegir mal rara vez significa un fracaso inmediato; normalmente significa que un puente que funcionaba ayer deja de funcionar la próxima semana.
Lo que comparten los puentes
El manual del Navegador Tor describe los puentes como relés excluidos del directorio público de Tor, de modo que un censor no puede enumerarlos como hace con los relés ordinarios; el transporte conectable situado delante del relé se encarga del disfraz. Los tres tipos principales siguen ese patrón, y los tres se pueden seleccionar o solicitar desde los ajustes de conexión del Navegador Tor, tal como documenta la sección de elusión de la censura del manual junto con las opciones integradas. La otra propiedad compartida es menos reconfortante: un puente es una dirección IP como cualquier otra y, si un censor la descubre, puede bloquearla como cualquier otra. La disponibilidad no es inmunidad. Por eso la distribución tiene su propio esfuerzo de ingeniería: rdsys, la reescritura de BridgeDB por parte de Tor, existe para decidir qué líneas de puentes llegan a qué usuarios.obfs4, el estándar consolidado
obfs4 envuelve el tráfico de Tor en bytes de aspecto aleatorio sin firma estable, y es el que más tiempo lleva en servicio de los tres. La documentación comunitaria de Tor resume la contrapartida en una sola línea al comparar transportes: obfs4 es rápido y probado, pero difícil de distribuir. La aleatoriedad resiste la identificación por protocolo, pero la dirección del puente sigue expuesta al escaneo, y cuanto más tiempo circula una línea, mayor es la probabilidad de que un censor ya la haya catalogado. Por eso las quejas sobre obfs4 rara vez hablan del rendimiento; la queja es que los puentes muy utilizados y de larga vida tienden a dejar de funcionar. Para una explicación paso a paso de cómo obfs4 construye sus conexiones, véase nuestro artículo anterior.Snowflake, ensamblado con voluntarios
Snowflake adopta una vía distinta para sobrevivir. El punto de entrada es un proxy gestionado por voluntarios, y el tráfico va disfrazado de WebRTC, la familia de protocolos que hay detrás de las videollamadas y llamadas de voz del navegador. El sitio del proyecto describe cómo el tráfico se enruta a través de proxies operados por voluntarios en países sin censura, un disfraz que encarece la actuación del censor, porque bloquearlo significa bloquear los patrones de tráfico de las videollamadas cotidianas. La configuración es la más sencilla de las tres: Snowflake viene en el Navegador Tor como transporte seleccionable, y el proyecto recluta capacidad mediante una extensión de navegador. El precio es el rendimiento. Los proxies de voluntarios varían en ancho de banda y van y vienen, y la documentación comunitaria de Tor califica a Snowflake como la opción más lenta del trío habitual. Espere una latencia mayor y menos predecible que la de un puente dedicado, con la calidad de cada sesión dependiendo del voluntario que la transporte en ese momento.WebTunnel, Tor con disfraz de HTTPS
WebTunnel es el más reciente de los tres; la implementación de referencia en el GitLab de Tor data de agosto de 2022. Se basa en HTTPT, un protocolo de túnel construido sobre HTTP, y la documentación comunitaria describe la intención sin rodeos: disfraza el tráfico de Tor como navegación web HTTPS. Frente a la inspección profunda de paquetes plantea al censor la decisión más difícil posible, porque filtrar WebTunnel significa degradar el HTTPS ordinario, el único protocolo que la mayoría de las redes no puede permitirse romper. Los costes quedan del lado del operador: montar un puente WebTunnel exige un servidor Linux con acceso root, un nombre de dominio, registros DNS, un certificado TLS válido y un proxy inverso como NGINX, Caddy o Apache, con Docker como alternativa. La misma documentación advierte de que los puentes respaldados por un dominio cuestan dinero y pueden convertirse en un punto único de fallo. Para el usuario nada de esto importa: un puente WebTunnel llega como una línea para pegar en el campo de puentes.Expectativas realistas
- obfs4: el más rápido y el más probado. Consiga líneas nuevas mediante el flujo de solicitud del Navegador Tor y espere que las populares se bloqueen con el tiempo.
- Snowflake: la configuración más fácil y un disfraz que viaja sobre tráfico de videollamadas, al precio de un rendimiento más lento y variable.
- WebTunnel: la respuesta más fuerte a la identificación por protocolo, dependiente de operadores dispuestos a mantener dominios y certificados.