¿Es seguro hacer llamadas VoIP? Lo que protege una llamada desde el navegador y lo que deja al descubierto

¿Es seguro usar VoIP?

Para las llamadas normales, sí. Una llamada desde el navegador usa WebRTC, y el estándar prohíbe enviar el audio sin cifrar, así que alguien que comparta tu wifi no puede ponerse a escuchar sin más^[1]. Lo que cambia con la VoIP es la confianza, no las escuchas: dependes de que el servicio trate tu llamada y sus registros con honestidad, y pierdes cosas que te da una línea telefónica, como las llamadas de emergencia y un identificador de llamada que la gente reconoce.

La diferencia que importa está entre una llamada de app a app, en la que las dos personas usan la misma app, y una llamada que hace sonar un número de teléfono normal. Respondí seis preguntas habituales para cada caso a partir de los documentos de los propios proveedores.

De los servicios que comparo más abajo, solo TextNow y los planes de pago de Google Voice dicen admitir llamadas de emergencia; el resto las excluye o no dice nada.

Para la conversación en sí, una llamada de app a app cifrada de extremo a extremo es la opción más privada. Para llamar a teléfonos normales, una llamada desde el navegador es tan privada como el servicio que elijas, y en las secciones siguientes explico cómo evalúo uno.

¿Es seguro WebRTC?

Sí: como tecnología, está diseñado a la defensiva. El estándar del IETF en el que se basa exige audio cifrado en todas las llamadas y un consentimiento explícito antes de que una página pueda usar tu micrófono, y los navegadores solo ofrecen el micrófono a páginas seguras (HTTPS)^[1][19]. Su punto débil conocido es la privacidad, no las escuchas: al establecer una llamada, el servicio puede llegar a ver tus direcciones IP.

Chrome añade controles por encima del estándar. Cuando una web de llamadas pide el micrófono, puedes permitirlo mientras visitas el sitio, permitirlo solo esta vez o no permitirlo nunca, y un sitio no puede empezar a grabar mientras estás en otra pestaña o en otra app^[20]. En un marcador que pienso usar una sola vez, elijo «Permitir esta vez».

WebRTC no necesita plug-ins ni software adicional^[21], así que una página de «llamadas gratis» que te pide instalar una extensión o una app de escritorio quiere más acceso del que necesita una llamada desde el navegador.

Sobre las direcciones IP, el propio documento del IETF dice que WebRTC puede conocer la dirección pública de tu VPN y, con una VPN de túnel dividido, la dirección de tu proveedor de internet que hay debajo^[22]; la ayuda de Messenger añade que las llamadas individuales comparten tu dirección IP con el dispositivo de la otra persona^[23]. Cómo comprobarlo y limitarlo lo explico en mi guía sobre las fugas de WebRTC.

Para ver el camino que sigue una llamada desde la pestaña hasta el teléfono que suena, consulta cómo llega una llamada del navegador a un teléfono.

¿Quién puede oír o ver mi llamada desde el navegador?

Cuatro partes: la persona a la que llamas; el servicio a través del que llamas, cuya pasarela convierte el audio del navegador en una llamada telefónica normal; los operadores telefónicos del otro lado, que la tratan como cualquier otra llamada; y cualquiera que controle tu cuenta o tu ordenador. Solo en una llamada de app a app cifrada de extremo a extremo, como las de WhatsApp o Telegram, el servicio y los operadores quedan fuera de la conversación en sí.

La conversación: cifrada en tránsito, no de extremo a extremo

TwinPhone, patrocinador de esta web, reconoce el límite con claridad: la señalización y el audio que controla van cifrados en tránsito con TLS y SRTP, y el último tramo, el del operador, sigue el modelo de seguridad del operador del destinatario^[4]. Yolla dice que su app web usa una conexión cifrada cuando inicias sesión o haces llamadas^[24]. Google Meet cifra en tránsito de forma predeterminada y ofrece cifrado de extremo a extremo opcional solo en las llamadas entre cuentas personales^[25][26].

Desconfía del «extremo a extremo» en un marcador web. La página de inicio de PopTox promete cifrado WebRTC de extremo a extremo, pero sus condiciones, actualizadas por última vez el 23 de febrero de 2016, dicen que los datos pueden transferirse sin cifrar^[27][28]. Una llamada que hace sonar un fijo tiene que descifrarse antes en una pasarela, así que no puede ser de extremo a extremo en sentido estricto.

Los registros: a quién, cuándo y durante cuánto tiempo

La política de privacidad de Google dice que puede recoger tu número, los números de quien llama y de quien recibe, la hora, la duración y el enrutamiento de las llamadas hechas con sus servicios^[5], y la ayuda de Google Voice dice que guarda la información de llamadas, mensajes de texto y buzón de voz^[29]. Call2Friends registra el número llamado, la fecha y la duración, y dice que no guarda el contenido de las llamadas^[10]. Globfone menciona el número marcado, la hora, la duración y el estado de la llamada^[30].

Eso también responde a «¿se pueden rastrear las llamadas VoIP?»: sí, a través de esos registros. Google, por ejemplo, dice que comparte información personal cuando cree que es necesario para responder a un procedimiento judicial o a una solicitud gubernamental de obligado cumplimiento^[5]. En cuanto a las grabaciones, TwinPhone dice que las llamadas personales no se graban^[14].

Privacidad y llamadas de emergencia, servicio por servicio

WhatsApp y Telegram cifran las llamadas de extremo a extremo, pero solo llegan a sus propios usuarios. En Google Meet el cifrado de extremo a extremo es opcional, y Teams (gratis) solo promete cifrado de datos^[26][31]. Los servicios que llaman a teléfonos cifran, como mucho, hasta su pasarela. Solo TextNow, y Google Voice en sus planes de pago, dicen ofrecer llamadas de emergencia.

En el móvil, desliza la tabla en horizontal para ver todas las columnas.

TwinPhone está en el grupo de los servicios que llaman a teléfonos: cifrado en tránsito pero no de extremo a extremo, sin llamadas de emergencia y con un identificador de llamada compartido salvo que alquiles un número o verifiques el tuyo^[4][7][14]. A su favor, en privacidad, el registro solo pide un correo electrónico o una cuenta de Google, sin número de teléfono^[17]. Para precios, alcance y mis puntuaciones generales, consulta todos los servicios que comparé, uno al lado del otro.

¿Es seguro Google Voice?

Sí, con matices. Google Voice funciona con tu cuenta de Google, y su registro es más estricto que el de la mayoría: un código por SMS a un teléfono real y, para los números nuevos, la verificación de un documento de identidad oficial^[16][34]. No encontré en la ayuda de Google ninguna afirmación de cifrado de extremo a extremo para las llamadas de Voice, Google guarda los registros de llamadas y el plan gratuito no puede llamar al 911. El riesgo que más vigilaría es una estafa, no un hackeo.

La estafa gira en torno a ese código de registro. La FTC, la agencia estadounidense de protección del consumidor, advierte sobre desconocidos que hacen que te llegue por SMS un código de verificación de Google Voice y luego te lo piden; si se lo das, intentan crear un número de Google Voice vinculado a tu número de teléfono^[45]. Nunca le leas un código de verificación a nadie que se haya puesto en contacto contigo primero.

• Activa la verificación en dos pasos, que según Google añade una capa de seguridad por si te roban la contraseña^[46].
• Oculta tu identificador de llamada en las llamadas en las que no quieras mostrar tu número de Voice^[47].
• Ten un teléfono a mano para emergencias: la ayuda de Google dice que con Google Voice no se pueden hacer llamadas de emergencia, y el 911 está limitado a las cuentas de pago Starter, Standard y Workspace^[33][9].

Las cuentas personales de Google Voice solo están disponibles en Estados Unidos^[48]. Si eso o la verificación de identidad lo descartan para ti, mis notas sobre alternativas a Google Voice comparan las opciones.

¿Son seguras las webs para llamar gratis?

En general se pueden abrir sin peligro, pero cada una te pide que confíes en un operador del que sabes poco. Los marcadores gratuitos que revisé se diferencian menos en la tecnología que en los papeles: quién los gestiona, qué registran, qué dicen sobre el cifrado y qué número muestran.

Qué compruebo antes de escribir un número

• Un operador identificado. Unas condiciones que nombran a una empresa y un país te dan a alguien a quien pedir cuentas; unas condiciones con texto de plantilla no te dan a nadie.
• Una política de privacidad que detalle qué se registra. Call2Friends y Globfone dicen exactamente qué guardan, y eso me dice más que una promesa sin detalles.
• Nada que descargar. Una llamada desde el navegador solo necesita el permiso del micrófono, así que cierro cualquier página de llamadas gratis que insista en una extensión o un instalador.
• Datos de la tarjeta solo si el operador está identificado. Globfone comprueba las tarjetas a través de Stripe y dice que no les hace ningún cargo^[43]; yo no escribiría el número de mi tarjeta en un marcador que no nombra a ninguna empresa.

Cuidado con StartACall, HelloAirDial y MySecondLine. Cuando leí sus webs el 1 de noviembre de 2026, las condiciones de StartACall tenían un hueco de plantilla sin rellenar donde debería figurar la legislación aplicable^[53], las condiciones de HelloAirDial no nombraban ninguna empresa ni jurisdicción^[54], y la página de inicio de MySecondLine mostraba texto de relleno «Lorem ipsum»^[55]. No le daría a ninguno de ellos mi número ni mi tarjeta. Qué marcadores gratuitos siguen en línea, y los límites que indican, lo tienes en los marcadores gratuitos para el navegador que revisé.

Llamadas de emergencia e identificador de llamada: dos límites que conviene conocer antes

Para la mayoría de la gente hay dos carencias que importan más que el cifrado. Muchos servicios para llamar desde el navegador no pueden conectar con el 112, el 911 o el 999, y otros no lo aclaran, así que un teléfono en el navegador nunca debería ser tu único teléfono. Y el número que ve la otra persona depende del servicio: puede ser el tuyo, uno alquilado o uno compartido, y eso influye en quién contesta y en si te pueden devolver la llamada.

Llamadas de emergencia

Las condiciones de WhatsApp excluyen los servicios de emergencia, TwinPhone y Yolla no pueden marcarlos, y Google Voice solo admite el 911 en las cuentas de pago Starter, Standard y Workspace^[6][7][8][9]. TextNow es la excepción: encamina el 911 en EE. UU. y Canadá, con limitaciones^[11]; los detalles, y qué hacer fuera de EE. UU., están en mi guía sobre las llamadas de emergencia desde el ordenador.

Identificador de llamada

Yolla muestra tu propio número, Google Voice tu número de Voice y PopTox un único número compartido para todos^[13][33][15]; TwinPhone muestra un número compartido al que no se puede devolver la llamada salvo que alquiles un número o verifiques el tuyo, y no muestra ningún número que no puedas demostrar que es tuyo^[14]. Por qué importa eso cuando llamas a un banco o a una oficina lo explico en mi explicación sobre el identificador de llamada.

Cómo hacer más seguras las llamadas desde el navegador

Seis hábitos cubren la mayor parte del riesgo, y ninguno exige conocimientos técnicos. Los ordeno desde el que más protege, elegir el tipo de llamada adecuado, hasta la alternativa de reserva que debería tener cualquiera que llame desde el navegador: una línea telefónica que pueda llamar a emergencias.

1. Para una conversación privada, usa una llamada de app a app cifrada de extremo a extremo. WhatsApp Web ya permite este tipo de llamadas en el navegador, aunque la función todavía se está desplegando^[56][57].
2. Concede el micrófono sitio por sitio, elige «Permitir esta vez» en los marcadores que vayas a usar una sola vez y elimina los permisos antiguos en la configuración de sitios de Chrome^[20].
3. Activa la verificación en dos pasos en la cuenta desde la que llamas, para que una contraseña robada no baste para entrar^[46].
4. Nunca le leas un código de verificación a alguien que se haya puesto en contacto contigo^[45].
5. Antes de llamar a un banco, a un médico o a una oficina de la Administración, comprueba qué identificador de llamada muestra tu servicio; puede que nadie conteste a un número compartido.
6. Ten un móvil o un fijo al alcance para llamar al 112, al 911 o al 999.

En esta guía

• Guías

  Llamar al 112 o al 911 por internet desde el ordenador: qué funciona, qué está bloqueado y qué usar en su lugar

  ¿Se puede llamar al 112 o al 911 desde el ordenador? He comprobado qué servicios web y VoIP conectan con el 911, 112 o 999, qué exige la ley y qué usar.

• Explicaciones

  Test de fugas WebRTC: qué revela de tu dirección IP una llamada desde el navegador

  Cómo hacer un test de fugas WebRTC y saber quién ve tu IP al llamar desde el navegador, con los ajustes de Chrome, Firefox, Brave, Safari y VPN que he revisado.

• Explicaciones

  Identificador de llamada VoIP: qué número ve la persona a la que llamas desde el navegador

  El identificador de llamada VoIP puede ser un número compartido, uno del servicio o tu móvil verificado. Comparo qué se ve y quién puede devolverte la llamada.

Preguntas frecuentes