Cuando alguien en Cuba escribe la dirección de un medio independiente y la página no carga, casi nunca ve un cartel que diga «bloqueado». Ve una pantalla en blanco, o un error, o simplemente una espera que no termina. Esa ambigüedad es deliberada. Hay una pantalla que sí dice algo, y más abajo explico por qué esa no sale de esta máquina. Vamos a ver cómo se hace, técnicamente.
Los tres niveles donde se puede cortar
1. El DNS: falsificar la dirección
Antes de conectarte a un sitio, tu dispositivo pregunta a un servidor DNS por su dirección numérica. Es como preguntar por un número de teléfono en una guía. Si esa guía la controla el mismo que quiere censurarte, puede responder con un número equivocado, o no responder.
Es el método más barato y el más fácil de esquivar: basta con usar otro servidor DNS. Por eso rara vez se usa solo.
2. La dirección IP: tapiar el edificio
Si el bloqueo se aplica sobre la dirección IP del servidor, ya no importa cómo la hayas averiguado: los paquetes hacia esa dirección no pasan. Es más contundente y también más tosco, porque un mismo servidor puede alojar cientos de sitios inocentes que caen con él.
Este método ha ganado peso en Cuba precisamente por la extensión del cifrado, y ahora se usa para censurar sitios que van por HTTPS.
3. La inspección profunda de paquetes: mirar dentro
Es el nivel serio, y es el que ETECSA emplea como mecanismo principal. La inspección profunda de paquetes, o DPI, consiste en equipos intermedios que examinan el tráfico que los atraviesa y deciden qué hacer con él en tiempo real.
La técnica documentada en Cuba es el reinicio de conexiones TCP: cuando el sistema identifica una petición hacia un destino prohibido, inyecta un paquete que corta la conexión de golpe, y el usuario recibe una página en blanco o un error de red. Nadie te dice que te censuraron. Parece que internet falla, que es la excusa perpetua.
Cómo ha ido cambiando
Los datos de medición pública más detallados que existen son de 2017, del proyecto OONI, y hay que citarlos con esa fecha por delante: documentaron al menos 41 dominios bloqueados, todos con algo en común: criticaban al gobierno, cubrían derechos humanos o eran herramientas de evasión. El bloqueo se aplicaba mediante manipulación de DNS, inyección en HTTP y reinicios TCP/IP, y en aquel momento afectaba solo a la versión HTTP de los sitios, de modo que usar HTTPS bastaba para esquivarlo.
Esa ventana se cerró. Al generalizarse el cifrado, el censor perdió la capacidad de leer qué página concreta pedías, y respondió subiendo un escalón: bloquear la IP entera.
Es una carrera conocida en todo el mundo. Cada mejora de privacidad obliga al censor a usar un método más burdo, y cada método más burdo hace más daño colateral y es más visible.
Que la carrera siguió está medido. En julio de 2021, durante las protestas del 11J, OONI documentó el bloqueo de Signal, y también el de WhatsApp, Telegram, Facebook y TikTok. El detalle técnico importa: el saludo TLS contra los servidores de Signal fallaba siempre con un error de conexión reiniciada, lo que apunta a equipos de inspección profunda mirando el campo SNI, la única parte de ese saludo que va en claro y que dice a qué sitio te estás conectando. Es el mismo reinicio de 2017, un escalón más arriba, ya sobre tráfico cifrado.
Ese informe deja además un dato que hay que tener presente: Cuba tiene un solo sistema autónomo, el AS27725, y es ETECSA. Un país entero, una sola red, un solo dueño.
Y hay datos bastante más recientes que los de 2017. Freedom House, en su informe sobre Cuba que cubre de junio de 2023 a mayo de 2024, da por bloqueados los sitios de 14ymedio, CubaNet, Diario de Cuba, El Estornudo, Cubalex, ADN Cuba, CiberCuba, Rialta y Proyecto Inventario, entre otros, además de Change.org y Avaaz. OONI detectó en ese mismo periodo señales de bloqueo en herramientas de evasión como Anonymouse y Megaproxy. Y ETECSA filtra mensajes SMS que contengan palabras como «democracia», «dictadura», «protesta», «comunismo» o «VPN».
El 17 de marzo de 2024, después de las protestas de Santiago de Cuba, El Cobre y Bayamo, Kentik y Cloudflare Radar registraron cinco horas de tráfico caído. Esta vez no hubo corte nacional: hubo estrangulamiento. Ralentizar en vez de apagar hace difícil subir un video o transmitir en vivo, y al mismo tiempo permite seguir diciendo que la red anda inestable. La misma lógica de siempre, afinada.
Quién construye la máquina
Un dato que suele pasarse por alto. Según la propia revista corporativa de ETECSA, sus principales proveedores tecnológicos son tres empresas chinas: Huawei, TP-Link y ZTE. OONI llegó a encontrar rastros de código chino en los portales de acceso a las zonas wifi.
No hace falta suponer conspiraciones para entender la implicación: la infraestructura de un país se compra a quien la vende, y quien la vende marca lo que esa infraestructura sabe hacer. Las capacidades de filtrado y control no las inventó ETECSA, pero las compró sabiendo para qué sirven y es ella quien las tiene encendidas contra los cubanos. Quien vende la máquina decide lo que sabe hacer. Quien la enciende decide contra quién.
La otra pantalla, la que sí te dice algo
Un cubano que haya llegado hasta aquí me va a decir que él sí ve carteles, que le sale 403 constantemente. Tiene razón, y hay que explicar de dónde sale ese 403, porque no sale de esta máquina.
Cientos de servicios extranjeros cierran la puerta a las direcciones cubanas por su cuenta, para no incumplir las sanciones de Estados Unidos, o por miedo a incumplirlas. Un equipo de la Universidad de Michigan y Georgia Tech lo midió desde dentro de Cuba y lo publicó en USENIX Security en 2024: de 10.093 dominios probados, 546 están cerrados a Cuba. De las 395 respuestas HTTP que recogieron, 347 fueron 403 Forbidden y 9 fueron 451, el código que existe para decir «no disponible por razones legales». El 404 casi no aparece: cae en un cajón de siete casos, junto al 503.
Dos datos más de ese estudio. El 88% de esos dominios no explica por qué te cierra. Y 32 de esas páginas de bloqueo se sirven con un código 200 OK, es decir, respondiendo «todo correcto» mientras te niegan lo que pediste. Entre los servicios cerrados a Cuba está Spotify, que aloja podcasts sobre el embargo a Cuba.
No son lo mismo, y no quiero que se confundan. ETECSA bloquea para que no leas: elige los sitios por lo que dicen, y por eso las listas están llenas de medios independientes y de organizaciones de derechos humanos. Eso es censura, y es el aparato del Estado haciendo su trabajo. Una empresa extranjera que rechaza un rango de direcciones no sabe quién eres ni le importa lo que ibas a leer: está cumpliendo, o creyendo que cumple, una norma que le puede costar dinero. Eso es daño colateral, y hay que decir de dónde sale: Cuba está sancionada por lo que hace su gobierno, no por lo que hacen los cubanos. Al usuario le queda una pantalla parecida, pero el responsable, el motivo y el remedio son distintos, y meterlos en el mismo saco solo le conviene a uno de los dos.
Cómo saber cuál te tocó
Si la página se queda cargando y nunca termina, o sale en blanco, o el navegador dice que la conexión se cerró sola, casi siempre es el corte de aquí. Si te responde rápido, con una página maquetada que dice 403, o «no disponible en tu región», entonces llegaste al servidor y fue él quien te cerró la puerta.
Y sirve saberlo, porque el remedio no es el mismo. Contra el corte de aquí hace falta que ETECSA no reconozca tu tráfico, que es la ofuscación de la que hablé al comparar las VPN gratis. Contra el de allá basta con que tu salida a internet no sea una dirección cubana. Desde la isla casi siempre necesitas lo primero para conseguir lo segundo.
Lo que esto significa para quien está dentro
Tres cosas concretas.
Una: que una página no cargue no significa que esté bloqueada. Y que cargue no significa que nadie sepa que la abriste. La ambigüedad juega a favor del censor, no tuyo.
Dos: el bloqueo se aplica sobre algo reconocible. Un dominio, una IP, una firma de protocolo. Por eso funcionan las herramientas que hacen su tráfico irreconocible, como expliqué al hablar de Psiphon y el millón y medio.
Y tres, la más importante: todo esto solo determina qué puedes ver. No determina qué te pueden hacer después. Las condenas que documento en esta serie no vinieron de que alguien leyera tu tráfico en un equipo de DPI. Vinieron de contenido publicado a la vista y de gente que habló. El filtrado y la represión son dos máquinas distintas, y la segunda es la que encarcela.
Comparte esta entrada