En España se bloquean webs todas las semanas. No es una novedad: la orden judicial que obliga a una operadora a cortar el acceso a un dominio existe desde hace más de una década. Lo que ha cambiado en los dos últimos años es el instrumento. Se ha pasado de bloquear dominios concretos a bloquear direcciones IP completas durante ventanas de tiempo determinadas, y esas direcciones IP casi nunca pertenecen a un solo servicio. El resultado es que cortar el acceso a una retransmisión pirata puede dejar sin servicio, durante noventa minutos, a una pasarela de pagos, a un videojuego o a una tienda que no tienen nada que ver con el fútbol.
Esta guía reúne lo que hemos ido publicando sobre el asunto y lo ordena: qué significa técnicamente bloquear una web, por qué el filtrado por IP es el método más tosco de todos, qué daño colateral está documentado, cómo han reaccionado los grandes proveedores de infraestructura, en qué punto está el frente judicial y regulatorio, y por qué —al final— las webs perseguidas siguen ahí, sencillamente bajo otro dominio.
Qué significa realmente “bloquear una web”
Conviene empezar por lo evidente, porque casi nunca se explica: una orden de bloqueo no borra nada. El servidor sigue encendido, el contenido sigue publicado y cualquiera fuera de España sigue accediendo con normalidad. Lo que hace un bloqueo es interponer un obstáculo entre el usuario de una operadora concreta y ese servidor. Y hay tres sitios donde se puede colocar ese obstáculo, cada uno con un coste y una precisión muy distintos.
Bloqueo por DNS
Es el más antiguo y el más quirúrgico. La operadora manipula la respuesta de su propio servidor DNS: cuando el usuario pide la dirección de ejemplo.com, el resolutor de la operadora devuelve un error o una página de aviso en lugar de la IP real. Solo afecta al dominio señalado y no toca a nadie más.
También es el más fácil de esquivar. Basta con cambiar el DNS del dispositivo a un resolutor público para que el bloqueo desaparezca. Por eso ha dejado de ser el método preferido cuando lo que se persigue es una retransmisión en directo que solo dura hora y media.
Bloqueo por SNI
Una capa más abajo. Durante el saludo inicial de una conexión TLS, el navegador anuncia en claro a qué dominio quiere conectarse: es el campo SNI (Server Name Indication). Un equipo de inspección en la red de la operadora puede leer ese campo y cortar la conexión sin necesidad de tocar el DNS.
Ese hueco se está cerrando. Encrypted Client Hello (ECH) ya es estándar oficial del IETF, y cifra precisamente ese saludo inicial. A medida que se despliegue, el filtrado por SNI dejará de funcionar y quedará, otra vez, un único instrumento contundente.
Bloqueo por dirección IP
El martillo. La operadora deja de enrutar el tráfico hacia una dirección IP concreta, sin mirar qué dominio hay detrás. Es imposible de esquivar cambiando el DNS y funciona aunque el tráfico vaya cifrado de principio a fin.
Y ahí está el problema de fondo, que es puramente arquitectónico: en la web moderna una dirección IP no identifica a un sitio. Detrás de una IP de un CDN puede haber decenas de miles de dominios compartiendo la misma infraestructura. Bloquear la IP es tirar del cable de un edificio entero para desalojar a un inquilino.
El caso español: cómo se llegó al bloqueo por IP
La escalada tiene un motor concreto: las retransmisiones deportivas. A diferencia de una película, un partido pierde casi todo su valor pasadas dos horas, así que la estrategia antipiratería dejó de perseguir dominios estables y pasó a perseguir infraestructura en tiempo real, con bloqueos dinámicos activados durante la ventana del partido y levantados después.
Sobre el papel es eficaz. En la práctica, ha enseñado lo frágil que resulta filtrar Internet por IP: usuarios de Movistar llegaron a encontrarse bloqueado el acceso a dominios vinculados a la propia LaLiga. Cuando el instrumento acierta contra quien lo maneja, la discusión sobre su precisión deja de ser teórica.
El circuito, además, no se limita al fútbol. La CNMC ha trasladado a todas las operadoras inscritas en su registro órdenes judiciales de bloqueo, en un procedimiento administrativo que se ha vuelto rutinario y del que apenas queda rastro público.
El daño colateral, documentado
Durante meses la respuesta oficial fue que el sobrebloqueo era anecdótico. Los casos documentados dicen otra cosa.
- Pagos. El bloqueo intermitente de 3ds.redsys.es desde la red de Vodafone dejó a la vista que perseguir webs pirata está rompiendo servicios legítimos, en este caso la autenticación de pagos con tarjeta.
- Videojuegos. Miles de jugadores se quedaron fuera de Blue Protocol por bloqueos masivos de direcciones de Cloudflare. Lo contó hasta la prensa deportiva.
- Medición independiente. La OONI Foundation ha documentado el alcance técnico real de estos cortes: los bloqueos golpean la infraestructura compartida de Internet en España, no solo a sus destinatarios.
El coste no es únicamente el de los servicios caídos. Es reputacional y afecta a la posición del país como plaza digital: cuesta mucho vender centros de datos, cables submarinos e interconexión mientras se acepta que Internet se corte por el fútbol. Un proveedor que evalúa dónde alojar su servicio mira, entre otras cosas, la previsibilidad de la red del país.
La respuesta de los proveedores de infraestructura
Las empresas que sostienen buena parte de la web han pasado del silencio a la confrontación abierta, y cada una ha elegido una vía distinta.
- Cloudflare ha ido más lejos que nadie. Primero cargó públicamente contra los bloqueos; después pidió ayuda a los usuarios españoles para medirlos con una aplicación; y finalmente llevó el asunto al representante comercial de Estados Unidos señalando a España como caso paradigmático.
- Vercel optó por lo operativo: publicó su protocolo para minimizar el daño colateral sobre los clientes que comparten sus rangos de direcciones.
- Fastly eligió el otro lado del tablero y puso IA y edge al servicio de LALIGA, con la promesa de una detección más fina. La prueba de fuego es precisamente esa: no tumbar media web por el camino.
- Google ha llevado el conflicto a Bruselas y ha pedido a la Comisión Europea límites a las órdenes dirigidas contra IP, resolutores DNS, VPN y CDN.
El frente judicial y regulatorio
Aquí el balance es de momento ambiguo, con avances en los tribunales y un vacío llamativo en la supervisión.
En sede judicial, el Juzgado de lo Mercantil de Córdoba rechazó imponer multas coercitivas a NordVPN y puso en cuestión el alcance de los bloqueos por IP. En sede parlamentaria, el Congreso dio un primer paso para revisar cómo se aplican.
El punto muerto está en la supervisión: el organismo encargado de vigilar la neutralidad de la red se ha declarado no competente para revisarlos. El mayor conflicto de neutralidad vivido en España queda, por ahora, sin árbitro técnico.
En paralelo, la persecución sigue por la vía policial y de cooperación internacional, como en la operación KRATOS 2 contra redes de IPTV ilegal, un enfoque que ataca al operador del servicio en lugar de al enrutado de todos los demás.
Las contramedidas y el techo de eficacia
Todo régimen de bloqueo genera su propia respuesta técnica, y en España el efecto medible ha sido un crecimiento del uso de herramientas de privacidad: el consumo de VPN ha subido empujado por los bloqueos en la red. A eso se suman los resolutores DNS cifrados y, cuando esté extendido, ECH.
La consecuencia es incómoda para quien diseña la política: cuanto más agresivo es el bloqueo, más usuarios se mueven a canales cifrados donde el bloqueo ya no llega, y esos usuarios no vuelven después. El instrumento pierde eficacia sobre su objetivo mientras conserva intacta su capacidad de provocar daño colateral. Es el peor de los dos mundos.
Merece la pena mirarlo también con perspectiva. El bloqueo por IP es la misma familia de herramientas que se usa en contextos mucho más severos: Irán encadenó más de diez días prácticamente sin Internet global. La diferencia es de grado y de finalidad, no de mecanismo, y ese parecido es exactamente el motivo por el que conviene poner límites claros al instrumento.
Por qué las webs bloqueadas siguen ahí: el baile de dominios
La pregunta que casi nadie hace es la más reveladora: después de años de órdenes de bloqueo, ¿qué ha pasado con los sitios perseguidos? La respuesta es que no han desaparecido, han aprendido a moverse.
El patrón se repite: registrar dominios de recambio por adelantado, a menudo en extensiones de países con procedimientos de retirada lentos; mantener el mismo servidor y la misma base de datos detrás; y comunicar el dominio activo por canales que ninguna orden judicial contra un registrador puede tocar, típicamente mensajería o redes sociales. Cuando cae un dominio, la migración es cuestión de horas.
El caso más estudiado en España es el de DonTorrent, que lleva años navegando entre dominios para mantenerse activo: es, en la práctica, el manual de esta estrategia. Y en el extremo opuesto está la resistencia por diseño de las redes descentralizadas, donde no hay dominio que bloquear porque no hay servidor central: eMule sigue vivo en 2025 más de dos décadas después justamente por eso.
Conviene ser claro con lo que esto significa y con lo que no. Que un bloqueo sea técnicamente evitable no lo convierte en ilegítimo, ni convierte en legal descargar obra protegida: los riesgos legales y de seguridad para el usuario siguen ahí. Lo que significa es algo más incómodo para el diseño de la política pública: el bloqueo por IP es caro para terceros inocentes y barato de esquivar para su destinatario. Cualquier evaluación seria del instrumento tiene que partir de ahí.
Qué vigilar a partir de ahora
- Si Bruselas fija límites. La petición de Google a la Comisión Europea es el intento más serio de acotar por norma las órdenes contra IP, DNS, VPN y CDN. Si prospera, cambia el marco de todos los estados miembros.
- Si alguien asume la supervisión técnica. Mientras no haya un organismo que verifique el sobrebloqueo antes y después de cada orden, el único contrapeso son las mediciones independientes.
- Si se impone la transparencia. Hoy no existe un registro público consultable de qué rangos se bloquean y cuándo. Sin ese dato, un negocio afectado no puede ni saber por qué se cayó.
- Cuánto tarda ECH en desplegarse. Cuando el cifrado del saludo TLS sea mayoritario, el filtrado intermedio pierde su penúltima palanca y solo quedará la IP, la más dañina.
La conclusión que atraviesa toda esta cobertura es sencilla de enunciar y difícil de aplicar: proteger un derecho legítimo —el de quien produce un contenido— no puede hacerse con una herramienta que no sabe distinguir a quién apaga. Mientras el instrumento siga siendo la dirección IP, el daño colateral no es un fallo de implementación. Es una propiedad del diseño.
