El botón WPS (Wi-Fi Protected Setup) de los routers se ha convertido en una herramienta útil para conectar dispositivos a internet de forma rápida y sin necesidad de introducir contraseñas complejas. Sin embargo, este método también plantea serias preocupaciones de seguridad que los usuarios deben considerar antes de utilizarlo.

¿Qué es el botón WPS del router?

El botón WPS es una función integrada en la mayoría de los routers modernos que permite establecer una conexión inalámbrica a internet sin necesidad de introducir la contraseña completa de la red. Este sistema es especialmente útil para quienes olvidan la clave o para conectar dispositivos como impresoras, televisores inteligentes o smartphones en pocos segundos.

Al presionar el botón WPS, la red wifi del router se abre durante un breve periodo —generalmente dos minutos— para que los dispositivos se conecten directamente. Aunque este método agiliza la configuración, también deja la red expuesta durante ese tiempo.

Ubicación y funcionamiento del WPS

El botón WPS suele encontrarse en la parte trasera o lateral del router, identificado con las siglas “WPS”. Su funcionamiento es bastante sencillo:

1. Presiona el botón WPS: Mantén pulsado el botón durante menos de cinco segundos. Una luz LED comenzará a parpadear, indicando que el WPS está activo.
2. Conecta el dispositivo: Desde el dispositivo que deseas conectar, busca la red wifi y selecciona conectar. En algunos casos, se te pedirá un PIN de 8 dígitos, que generalmente está impreso en el router.
3. Conexión establecida: Una vez introducido el PIN, el dispositivo se conectará automáticamente a la red.

Este proceso también es útil para conectar impresoras con botón WPS, que pueden integrarse a la red siguiendo un procedimiento similar.

Riesgos de seguridad del WPS

A pesar de su conveniencia, el uso del WPS puede comprometer la seguridad de tu red wifi. Durante los dos minutos que la red permanece abierta, es más vulnerable a accesos no autorizados. Aunque el sistema requiere el PIN de 8 dígitos, este código es más fácil de descifrar en comparación con las contraseñas largas y complejas que suelen establecerse en los routers.

Además, en algunos modelos de routers, los PIN WPS predeterminados son conocidos públicamente, lo que facilita aún más el acceso indebido.

Medidas de seguridad para proteger tu red

Si decides utilizar el botón WPS, es importante tomar ciertas precauciones para minimizar los riesgos:

• Desactiva el WPS cuando no lo necesites: Algunos routers permiten desactivar esta función desde la configuración, limitando su uso a situaciones puntuales.
• Cambia el PIN predeterminado: Si el router lo permite, configura un nuevo PIN más difícil de adivinar.
• Prefiere métodos alternativos: Opta por introducir manualmente la contraseña o utiliza los códigos QR que algunos routers modernos incluyen para compartir la conexión de manera segura.

Alternativas más seguras al WPS

El método tradicional de introducir manualmente la contraseña de la red sigue siendo el más seguro, especialmente si esta es lo suficientemente robusta. Además, muchos routers actuales incluyen opciones como:

• Códigos QR: Escanear un código para acceder a la red es una solución rápida y segura.
• Redes invitadas: Crear una red wifi separada para visitas o dispositivos ocasionales evita comprometer la red principal.

Conclusión

El botón WPS es una herramienta útil que facilita la conexión a internet, pero su uso conlleva riesgos que no deben subestimarse. Para quienes valoran la seguridad de su red, es fundamental ser conscientes de estas vulnerabilidades y tomar medidas para protegerla. Aunque el WPS puede ser una solución rápida, métodos alternativos como las contraseñas robustas o los códigos QR ofrecen una mayor tranquilidad frente a posibles amenazas.

---

Botón y PIN no son lo mismo, y la diferencia lo es todo

Bajo las siglas WPS conviven dos mecanismos muy distintos, y mezclarlos es la raíz de casi toda la confusión sobre si es seguro o no:

• El botón físico (PBC). Abre una ventana de un par de minutos durante la cual se admite un dispositivo. Exige presencia física junto al router, así que el riesgo real es que alguien esté dentro de tu casa en ese momento. Es, con diferencia, el modo menos problemático.
• El PIN de ocho dígitos. Suele estar activo de forma permanente, funciona desde la calle y es el que tiene el fallo grave. Es el que hay que desactivar.

El fallo del PIN no es que sea corto: es que se valida en dos mitades

Conviene ser preciso, porque «ocho dígitos son pocos» no explica la gravedad. Ocho dígitos son cien millones de combinaciones: por fuerza bruta contra un router sería inviable.

El problema está en el diseño del protocolo. Cuando el PIN es incorrecto, el router responde diciendo si ha fallado la primera mitad o la segunda. Eso permite atacar cada mitad por separado. Y el último dígito no es secreto, es una suma de verificación calculada a partir de los anteriores. Resultado: el espacio de búsqueda real cae de cien millones a unos once mil intentos, cuestión de horas con herramientas públicas desde 2011.

Y hay una vuelta de tuerca peor. Muchos routers generan mal los números aleatorios que usan en ese intercambio, lo que permite calcular el PIN sin conexión a partir de un solo intento —el ataque conocido como Pixie Dust—. En los modelos afectados, la red cae en segundos, no en horas.

Y lo decisivo: con el PIN se obtiene la contraseña real de la red. No es un acceso temporal que se corte al desactivar el WPS. Quien lo consigue se lleva la clave WPA, y ahí cambiarla es lo único que sirve.

Por eso la recomendación del artículo se puede afinar: no es «cambia el PIN por uno mejor» —en muchos routers ni siquiera se puede, y no arregla el fallo del protocolo—, es desactivar el PIN en el panel del router. El botón físico puedes dejarlo si te resulta cómodo.

Qué hacer, en orden

1. Entra en el panel del router y busca la sección de wifi. Si hay una opción de WPS por PIN, desactívala. Ojo: en algunos equipos desactivar «WPS» apaga las dos cosas y en otros solo el botón, así que conviene mirar qué queda activo.
2. Si el router es de la operadora y no deja tocarlo, ese es un motivo razonable para pedir un cambio de equipo o poner uno propio detrás.
3. Cambia la contraseña de la wifi si el WPS por PIN llevaba años activo. Es la única forma de invalidar una clave que pueda haberse filtrado por esa vía.
4. Usa WPA2 o WPA3 y una clave larga. Con el PIN desactivado, la contraseña vuelve a ser la única puerta.
5. Para los invitados, red separada, y para compartirla, el código QR. Los estándares modernos de wifi ya no incluyen el PIN como método de emparejamiento: han pasado precisamente al emparejamiento por código.

Es el mismo principio que rige en cualquier red corporativa: una credencial que da acceso completo y no se puede revocar por separado es un problema de diseño, no un ajuste de comodidad. La versión profesional de esa idea es el acceso de confianza cero, que explicamos en FortiClient y el acceso remoto seguro.