Shadowsocks: el proxy que oculta tu destino, no tu identidad

La primera vez que instalé Shadowsocks fue en 2019, en un viaje a un país con restricciones de red bastante agresivas. Funcionó. Pero un amigo menos técnico me dijo días después: «ya estoy navegando tranquilo, nadie sabe lo que hago». Y ahí noté la trampa: confundía un proxy cifrado con un escudo de identidad. Cinco años después, en 2026, veo el mismo error repetirse en foros. Shadowsocks es una herramienta precisa, afilada, y entiendo que el software libre genere confianza. Pero esa confianza no sustituye al entendimiento de qué pieza del rompecabezas estás colocando.

Qué hace realmente Shadowsocks con tus datos

Shadowsocks establece un túnel cifrado entre tu dispositivo y un servidor remoto. El protocolo usa cifrado autenticado (AEAD) con algoritmos como ChaCha20-Poly1305 o AES-256-GCM. Todo el tráfico que pase por ese túnel es ilegible para cualquiera que intercepte los paquetes.

Pero aquí viene lo que casi nadie te cuenta: el tráfico fuera del túnel sigue expuesto con tu IP de origen.

Cuando envías una petición a un sitio web, tu teléfono empaqueta los datos, los cifra y los manda al servidor Shadowsocks. El servidor descifra, hace la petición al destino y te devuelve la respuesta. El sitio web ve la IP del servidor, no la tuya. Hasta ahí, bien. Pero tu ISP (o el proveedor de red que tengas) sí ve que te conectas a una IP concreta, en un puerto concreto, con un patrón de tráfico que, aunque cifrado, es estadísticamente distinto al tráfico TLS normal. No sabe qué página visitas, pero sabe que usas Shadowsocks. En muchas jurisdicciones, eso ya es información suficiente para tomar medidas.

Probé esto de forma controlada: monté un servidor Shadowsocks en una VPS en Helsinki (Hetzner, 2 vCPU, plan CX22), me conecté desde un Pixel 8 con GrapheneOS usando la app oficial en F-Droid, y capture tráfico con Wireshark desde el router. El flujo era unidireccional hacia la IP del servidor, con paquetes de tamaño variable pero con ciertas cabeceras predecibles. Un analizador DPI moderno, como los que usan operadoras en cinco países de la UE, detecta el handshake de Shadowsocks en menos de tres segundos.

Esto no es un fallo de diseño. Shadowsocks nunca prometió anonimato. Pero quienes lo instalan esperando una capa extra de invisibilidad se llevan una sorpresa desagradable.

No todos los permisos que pide son necesarios (y eso debería preocuparte)

La versión 5.3.5 de la app pesa 5.4 MB y requiere Android 5.0 como mínimo. Según Exodus Privacy, no contiene rastreadores. El código fuente está en GitHub, aunque el repositorio original de shadowsocks-android fue archivado en 2020; la versión activa en F-Droid es mantenida por colaboradores que aplican parches de seguridad.

En cuanto a permisos, la app solicita:

• Acceso completo a Internet (INTERNET, ACCESS_NETWORK_STATE)
• Servicio de VPN (android.permission.BIND_VPN_SERVICE)
• Acceso a almacenamiento (solo si quieres importar/exportar configuraciones desde un archivo)

El permiso de VPN es imprescindible si quieres redirigir el tráfico de todo el sistema. Sin él, solo las aplicaciones que soporten proxy SOCKS5 de forma explícita usarán el túnel. Pero el acceso a almacenamiento, en una app que solo maneja un archivo de configuración de texto plano, es un vector de riesgo que podrías evitar si introduces los datos a mano. Yo no se lo concedo.

Otra cosa que descubrí al instalar la app en un terminal secundario con LineageOS 21 sin servicios de Google: la interfaz no se queja si no le das almacenamiento; simplemente desactiva el botón de importar. Bien resuelto.

Comparativa con otras opciones en 2026

Para que tengas claro dónde encaja Shadowsocks, lo pongo junto a dos alternativas que cualquier usuario medio se plantea. He usado las tres en mi día a día durante al menos una semana cada una.

NordVPN te da una VPN completa, con tunelización IP y aplicaciones para todo. Pero su cliente Android, según Exodus Privacy, incluye cinco rastreadores publicitarios. Además, en 2024 tuvieron un incidente de fuga de logs que no reconocieron hasta meses después. Si tu prioridad es la velocidad bruta y tienes un presupuesto, puede servir; para privacidad, es una lotería.

Orbot enruta por Tor y te da anonimato de verdad, pero la latencia lo hace inutilizable para streaming o videollamadas. Probé una llamada por Signal con Orbot activado y el retardo era de casi un segundo.

Shadowsocks es el término medio: no te anonimiza, pero te da velocidad y evita bloqueos geográficos o censura superficial. Con un servidor propio, consumes entre un 4% y un 7% extra de batería por hora respecto a una conexión directa, según mis mediciones con AccuBattery en tres sesiones de navegación mixta.

Cómo instalar Shadowsocks y tenerlo funcional en cinco minutos

La app no está en Google Play. Solo está en F-Droid y en GitHub. Aquí los pasos exactos que seguí en enero de 2026:

1. 1
   Abre F-Droid. Si no lo tienes, descárgalo desde f-droid.org. Ve a Ajustes → Gestionar repositorios → Añadir repositorio. Pega esta URL: https://apt.izzysoft.de/fdroid/repo. Esto añade el repositorio de IzzyOnDroid, que tiene versiones actualizadas más rápido.
2. 2
   Busca Shadowsocks. Instala la versión 5.3.5 o superior. No concedas permiso de almacenamiento si no vas a importar configuraciones.
3. 3
   Abre la app, pulsa en el icono + arriba a la derecha. Selecciona «Perfil manual» y rellena: dirección IP de tu servidor, puerto (normalmente 8388), contraseña y cifrado (recomiendo chacha20-ietf-poly1305).
4. 4
   Pulsa en «Conectar». El sistema te pedirá que actives el servicio de VPN. Acepta. A partir de ese momento, todo el tráfico del dispositivo pasará por el túnel.

No necesitas root. El servicio de VPN local es suficiente para interceptar el tráfico sin modificar el sistema.

Cuándo usar Shadowsocks (y cuándo no)

Mi caso de uso principal es eludir bloqueos de contenido en redes wifi corporativas o de aeropuertos. También lo uso para acceder a servicios que restringen IPs de España, conectándome a una VPS mía en Alemania. Para eso, es casi perfecto.

No lo uso para banca online. Un proxy SOCKS5 redirige TCP, pero no maneja tráfico UDP de forma limpia a menos que habilites UDP relay en el servidor. Probé una videollamada por Jitsi Meet y los cortes eran constantes hasta que activé UDP relay en la configuración del servidor. Después funcionó, pero la latencia añadida fue de 18 ms extra, suficiente para notar una ligera desincronización.

Otro límite que descubrí por las malas: si tu servidor Shadowsocks tiene una IP compartida con otros servicios (pongamos un alojamiento web en la misma VPS), el tráfico de esos servicios puede filtrar metadatos que correlacionen tu actividad. En mi caso, un atacante con acceso al panel de control de la VPS podría cruzar logs.

Y una realidad que en 2026 ya no es marginal: los firewalls avanzados con inspección de paquetes (DPI) aprenden a identificar Shadowsocks por los patrones de longitud de los paquetes. Si el que te bloquea es un gobierno con presupuesto, Shadowsocks sin ofuscación adicional es detectable. Existen herramientas como v2ray-plugin o Cloak que envuelven el tráfico en TLS falso, pero eso ya no es Shadowsocks puro.

Dos trucos que aprendí después de usarlo meses