Cómo Instalar y Configurar Tor Browser para Máxima Privacidad

Tor Browser ofrece una de las protecciones más sólidas contra la vigilancia de red y el análisis de tráfico disponibles hoy en día. Las VPNs simplemente trasladan tu confianza a otra empresa. Tor funciona diferente. Enruta tu conexión a través de varios repetidores operados por voluntarios, lo que hace genuinamente difícil que alguien pueda vincular tu identidad con lo que navegas. Esta guía cubre todo, desde la instalación inicial hasta la configuración avanzada.

Cómo funciona la arquitectura de Tor

Tor cifra tu tráfico múltiples veces y lo enruta a través de al menos tres repetidores elegidos aleatoriamente: un nodo de entrada, un repetidor intermedio y un nodo de salida. Cada repetidor solo conoce el salto anterior y el siguiente — nunca la ruta completa. El nodo de entrada ve tu IP pero no a dónde vas. El nodo de salida ve tu destino pero no tu IP. El repetidor intermedio no ve ninguno de los dos.

Este diseño se mantiene robusto incluso si un adversario controla algunos repetidores. Un único repetidor comprometido revela muy poco. Para llevar a cabo un ataque de desanonimización real, alguien necesitaría controlar simultáneamente tu nodo de entrada y tu nodo de salida, y además correlacionar patrones de temporización a través de la red. Eso es costoso y técnicamente exigente, incluso para atacantes con muchos recursos.

La contrapartida es la velocidad. Cada repetidor añade latencia, y el ancho de banda de los nodos de salida es limitado. Tor no está pensado para hacer streaming de vídeo ni descargar archivos grandes. Donde realmente destaca es en la protección de metadatos: quién se comunica con quién, cuándo y con qué frecuencia. En la internet actual, esos metadatos suelen importar más que el propio contenido del tráfico.

Instalación y primer arranque

Descarga Tor Browser únicamente desde el sitio oficial del Proyecto Tor (torproject.org) o desde el repositorio de paquetes de confianza de tu distribución Linux. Verifica siempre la firma antes de instalar:

# En Linux, tras descargar el archivo
gpg --auto-key-locate nodefault,wkd --locate-keys [email protected]
gpg --verify tor-browser-linux64-*.tar.xz.asc tor-browser-linux64-*.tar.xz

En Windows y macOS, el instalador lleva firmas integradas que el sistema operativo verifica automáticamente. En Linux, extrae el tarball y ejecuta el lanzador desde la carpeta resultante. No es necesaria ninguna instalación a nivel de sistema — funciona como una aplicación autocontenida.

Al abrir Tor Browser por primera vez, te preguntará cómo quieres conectarte. La mayoría de la gente puede simplemente pulsar "Conectar" y listo. Si estás en un país que bloquea Tor activamente, activa los puentes (bridges) — son nodos de entrada especializados que no aparecen en el directorio público de Tor. Los puentes obfs4 integrados funcionan bien en la mayoría de entornos con censura. Para bloqueos más agresivos, solicita un puente por correo electrónico o prueba Snowflake, que tuneliza tu tráfico a través de proxies temporales que se ejecutan en los navegadores de otras personas.

El nivel de seguridad por defecto es "Estándar", que ofrece un anonimato sólido mientras mantiene la mayoría de sitios web funcionando con normalidad. "Más seguro" deshabilita JavaScript en sitios sin HTTPS y elimina algunas fuentes web. "Máxima seguridad" desactiva JavaScript por completo junto con la mayor parte del manejo de medios. Cuál te conviene depende de tu modelo de amenaza. Para usuarios que buscan privacidad casual, el nivel Estándar es suficiente. Si alguien podría estar apuntándote específicamente, considera subirlo.

Cambios de configuración esenciales

Tor Browser viene con buenas opciones de privacidad por defecto, pero algunos ajustes mejoran la experiencia sin debilitar tu protección. Accede a ellos desde el menú hamburguesa, luego Privacidad y Seguridad.

Nunca redimensiones la ventana del navegador manualmente. Tor Browser se abre con unas dimensiones estándar a propósito — para evitar la toma de huellas digitales basada en el tamaño de pantalla. Miles de usuarios comparten ese mismo tamaño de ventana, así que pasas desapercibido. En el momento en que maximizas o cambias el tamaño, has creado una huella única. Usa la función de zoom del navegador si necesitas ver las cosas más grandes.

Desactiva las sugerencias de búsqueda. DuckDuckGo es el motor de búsqueda por defecto, y con las sugerencias activadas recibe tus pulsaciones de teclado mientras escribes, no solo cuando presionas Enter. Ve a Configuración → Búsqueda y desmarca "Ofrecer sugerencias de búsqueda".

Considera bloquear todas las cookies de terceros. Configuración → Privacidad y Seguridad → Cookies y datos del sitio → Gestionar excepciones te permite bloquear cookies de terceros mientras sigues permitiendo las de origen propio. Algunas funcionalidades entre sitios dejarán de funcionar, pero reducirás significativamente tu superficie de rastreo.

Comprueba que el Modo Solo HTTPS esté activado. Está habilitado por defecto, pero vale la pena confirmarlo. Desplázate por Privacidad y Seguridad y asegúrate de que "Habilitar el modo solo-HTTPS en todas las ventanas" esté marcado. Sin él, cualquiera que opere un nodo de salida malicioso puede leer tu tráfico sin cifrar.

Si te manejas bien con about:config, verifica que estas opciones estén activas:

network.proxy.socks_remote_dns = true    (verificar que está habilitado)
privacy.resistFingerprinting = true       (verificar que está habilitado)
privacy.firstparty.isolate = true         (verificar que está habilitado)

Ya deberían estar configuradas correctamente, pero conviene echarles un vistazo rápido si algo se comporta de forma extraña.

Compartimentación y gestión de identidades

Tor Browser aísla los datos de cada sitio para evitar el rastreo entre dominios. Cerrar y volver a abrir el navegador te da una identidad nueva y un circuito nuevo. Pero la compartimentación real va más allá de la configuración técnica — requiere ser deliberado con tu comportamiento.

Mantén actividades distintas en sesiones distintas. Si estás investigando algo sensible mientras también tienes una cuenta de correo personal abierta, usa sesiones separadas o identidades separadas. El botón "Nueva identidad" (icono de cebolla → Nueva identidad) borra todas las pestañas y datos y reconstruye tus circuitos, pero para tareas verdaderamente independientes es más limpio ejecutar instancias separadas.

No mezcles acceso con Tor y sin Tor a las mismas cuentas. Si inicias sesión en una cuenta de correo a través de Tor y luego accedes desde tu IP real, has vinculado tu identidad a esa sesión. Esto importa aún más con aplicaciones de mensajería. Signal y WhatsApp asocian tu cuenta a un número de teléfono — usarlas a través de Tor no te da anonimato real a menos que ese número no pueda rastrearse hasta ti. Para comunicaciones genuinamente anónimas, considera Matrix (con una cuenta registrada a través de Tor), Session o Briar. Están diseñadas teniendo en cuenta la resistencia a los metadatos.

Elimina los metadatos antes de subir archivos. Las fotos, los PDFs y los documentos de Office pueden contener información sorprendentemente detallada. Los datos EXIF de las imágenes suelen incluir el modelo de cámara, coordenadas GPS y marcas de tiempo. Los documentos de Word incrustan nombres de autores e historiales de revisiones. Limpia todo eso con mat2 antes de subir cualquier cosa:

# Instalar mat2
sudo apt install mat2  # Debian/Ubuntu
brew install mat2      # macOS

# Ver qué metadatos contiene el archivo
mat2 --show document.pdf

# Eliminar metadatos
mat2 --inplace document.pdf photo.jpg

En Windows, ExifTool funciona bien, o puedes usar la opción integrada "Quitar propiedades e información personal" en las Propiedades del archivo — aunque las herramientas dedicadas hacen un trabajo más exhaustivo.

Niveles de seguridad y modelos de amenaza

Los niveles de seguridad existen principalmente para protegerte de la explotación del navegador. JavaScript es el principal vector de ataques de desanonimización. En 2013, el FBI desplegó exploits de JavaScript a través de servidores de la dark web intervenidos y logró revelar las direcciones IP reales de usuarios de Tor. Haber ejecutado el nivel Máxima seguridad habría bloqueado esos ataques por completo.

El problema práctico es que la mayor parte de la web moderna depende de JavaScript. Los sitios de noticias, los motores de búsqueda e incluso muchos servicios orientados a la privacidad dejan de funcionar sin él. Tendrás que tomar una decisión basándote en lo que estás haciendo y en quién podría estar intentando encontrarte de forma realista.

“The Internet is a surveillance state.”

— Bruce Schneier

Usa Máxima seguridad cuando accedas a contenido controvertido, estés en un país