Portmaster – El firewall de aplicaciones que devuelve el control de tu privacidad en Windows y Linux

Descripción del programa Portmaster

Portmaster es un firewall de aplicaciones (application firewall) de código abierto y gratuito, desarrollado por Safing, una empresa con sede en Austria (UE). El proyecto comenzó en 2018 con el apoyo del programa de financiación austriaco netidee, y la primera versión pre-alpha fue lanzada en abril de 2020.

Desde entonces, Portmaster ha evolucionado hasta convertirse en una de las herramientas de privacidad más completas y accesibles para usuarios domésticos, combinando la potencia de un cortafuegos tradicional con funcionalidades modernas de bloqueo de rastreadores y cifrado de DNS.

Su principal fortaleza radica en ofrecer una visibilidad sin precedentes sobre el tráfico de red de tu ordenador, permitiéndote ver exactamente qué aplicaciones se conectan a qué servidores, en qué países están ubicados, y cuántos datos están transfiriendo.

A diferencia de los cortafuegos tradicionales que se centran en puertos y direcciones IP, Portmaster trabaja a nivel de aplicación y dominio, mostrando información legible para el usuario: nombres de programas, dominios (como google.com), y países de origen de los servidores.

El programa está disponible para Windows y Linux, y su desarrollo es muy activo, con la versión estable más reciente siendo la 1.6.12 (el módulo en Go está etiquetado con esa versión, aunque la interfaz de usuario sigue en evolución).

El código fuente está disponible en GitHub bajo licencia GNU General Public License v3.0 (GPLv3), lo que garantiza su transparencia y la posibilidad de auditoría independiente. En este contexto, comprender la seguridad en Windows es fundamental para complementar las funciones de Portmaster, que actúa como una capa adicional de control.

¿Necesitas saber qué aplicaciones se conectan a Internet desde tu PC, bloquear rastreadores y telemetría, y proteger tus consultas DNS sin complicaciones?

Características clave de Portmaster

1. Monitorización completa del tráfico de red en tiempo real

Portmaster te ofrece una vista granular de todas las conexiones de red que realizan las aplicaciones en tu sistema. La interfaz principal muestra un gráfico en tiempo real de las conexiones activas y bloqueadas, una lista de aplicaciones con actividad de red, y un contador de conexiones recientes por país.

Puedes seleccionar cualquier aplicación y profundizar en su comportamiento específico: qué dominios está contactando, cuántos datos está subiendo y bajando, cuándo comenzó y terminó cada conexión, y la dirección IP y puerto de destino. Esta visibilidad es especialmente útil para detectar comportamientos sospechosos o telemetría no deseada.

2. Bloqueo automático de rastreadores y malware mediante listas de filtros

Una de las características más valoradas es la capacidad de bloquear automáticamente dominios maliciosos y de rastreo a nivel de sistema. Durante la configuración inicial, puedes activar varias listas de filtros que bloquean: rastreadores publicitarios (trackers), sitios de malware y phishing, y contenido NSFW.

Estas listas se mantienen actualizadas automáticamente en segundo plano, y Portmaster las consulta en tiempo real para detener conexiones no deseadas antes de que ocurran. Esto complementa eficazmente a los bloqueadores de anuncios del navegador, protegiendo también a aplicaciones que no son navegadores.

3. DNS seguro con cifrado DoH/DoT

Portmaster cifra todas tus consultas DNS por defecto, utilizando protocolos DNS over HTTPS (DoH) o DNS over TLS (DoT). Esto impide que tu proveedor de Internet o cualquier persona en tu red pueda espiar qué sitios web visitas. Puedes elegir entre múltiples proveedores de DNS seguro (como Cloudflare, Quad9, o Google) o configurar el tuyo propio.

Además, Portmaster intercepta consultas DNS «descarriadas» (por ejemplo, aplicaciones que intentan usar sus propios DNS) y las redirige a través de su propio sistema de resolución, asegurando que no haya fugas de privacidad.

4. Reglas granulares por aplicación y ámbito de red

Portmaster te permite definir reglas muy detalladas para cada aplicación individual. Puedes:

Bloquear completamente el acceso a Internet de una aplicación (útil para programas que no necesitan conectividad, como calculadoras o editores de texto offline)
Permitir o bloquear el acceso a la red local (LAN), impidiendo que una aplicación escanee otros dispositivos en tu red
Permitir o bloquear conexiones entrantes (inbound), para aplicaciones que actúan como servidores
Permitir o bloquear tráfico P2P, controlando si una aplicación puede usar protocolos de intercambio de archivos

Además, puedes crear reglas basadas en ámbitos de red predefinidos: Localhost, LAN, Internet, P2P e Inbound. Estas reglas se pueden combinar con las listas de filtros para un control aún más fino.

5. Arquitectura cliente-servidor con interfaz gráfica moderna

Portmaster se divide en dos componentes. El Core Service (servicio principal) se ejecuta en segundo plano con privilegios elevados y es responsable de interceptar paquetes, identificar procesos y aplicar reglas. Se integra en la pila de red utilizando nfqueue en Linux y un controlador de kernel (WFP) en Windows.

La interfaz de usuario (UI) se ejecuta en el espacio de usuario y se encarga de mostrar la información y recibir las decisiones del usuario. Actualmente, la UI utiliza Electron como envoltura, aunque los desarrolladores planean cambiarlo en el futuro. También es posible acceder a la UI desde un navegador web.

6. Gestión de conexiones entrantes y geolocalización

A diferencia de muchos firewalls de aplicaciones que solo controlan el tráfico saliente, Portmaster también puede gestionar conexiones entrantes (inbound). Esto es útil si ejecutas servidores locales (como un servidor web o SSH) y quieres controlar qué programas pueden recibir conexiones externas.

Además, la interfaz muestra la ubicación geográfica de los servidores a los que se conectan tus aplicaciones (país, ASN y organización), permitiéndote identificar tráfico hacia países sospechosos o no deseados.

7. Modos de seguridad predefinidos (Normal, High, Extreme)

Portmaster incluye tres niveles de seguridad predefinidos que ajustan automáticamente el comportamiento del firewall según el entorno en el que te encuentres:

Normal: para redes de confianza (como tu hogar), con bloqueo moderado de rastreadores pero permitiendo la funcionalidad normal de las aplicaciones.
High: para redes no confiables (como un café o aeropuerto), con medidas más estrictas que pueden limitar algunas funciones de las aplicaciones.
Extreme: para situaciones de alto riesgo, restringiendo severamente la conectividad y diseñado solo para uso temporal.

Explicación detallada de las funcionalidades

La arquitectura de Portmaster está construida sobre tecnologías modernas de interceptación de red que operan a nivel de paquete sin cifrar, lo que le permite ver y controlar todo el tráfico saliente y entrante.

El proceso de interceptación es el siguiente:

Cuando una aplicación intenta establecer una conexión de red, el paquete es interceptado por el componente de filtrado (nfqueue en Linux, kernel driver en Windows).
Portmaster identifica qué proceso (aplicación) originó el paquete utilizando eBPF y /proc en Linux, y un controlador de kernel y la API IP Helper en Windows.
El servicio principal consulta la base de datos de reglas para ver si existe una regla que coincida con la aplicación y el destino (dominio, IP, puerto).
Si existe una regla, se permite o bloquea la conexión en consecuencia. Si no existe, se muestra un diálogo al usuario (o se aplica la acción por defecto configurada) para que decida.
Las reglas se almacenan localmente en el sistema y pueden exportarse/importarse entre equipos.

El sistema de DNS seguro opera interceptando todas las consultas DNS que salen del sistema, incluso aquellas que las aplicaciones intentan enviar directamente a servidores específicos (por ejemplo, Chromium intentando usar los DNS de Google 8.8.8.8). Portmaster redirige estas consultas a su propio resolvedor, que las envía cifradas (DoH/DoT) al servidor configurado por el usuario. Esto garantiza que no haya fugas de DNS, incluso si una aplicación maliciosa intenta evitarlo.

El filtro de privacidad (Privacy Filter) utiliza listas de dominios mantenidas por la comunidad y actualizadas automáticamente. Estas listas incluyen dominios conocidos por rastrear usuarios, distribuir malware, o servir publicidad. Cuando una aplicación intenta conectarse a un dominio incluido en estas listas, Portmaster bloquea la conexión automáticamente, sin necesidad de intervención del usuario.

La SPN (Safing Privacy Network) es una característica de pago que ofrece una red de privacidad de próxima generación, situada «entre» una VPN y Tor. Utiliza cifrado en cebolla (onion encryption) a través de múltiples saltos, similar a Tor, pero con salidas seleccionadas cerca del servidor de destino para mejorar la velocidad y desbloquear contenido geográficamente restringido. La SPN puede aplicarse por aplicación o por dominio, y sus nodos son alojados por Safing y la comunidad.

Descarga e instalación de Portmaster

Página oficial: Portmaster en safing.io
Versión actual: 1.6.12 (módulo principal en Go); la interfaz de usuario sigue actualizándose con frecuencia
Últimas versiones: 1.6.12 (2025), 1.6.x, 1.5.x
Tamaño: Aproximadamente 100-150 MB (incluye el servicio principal y la interfaz gráfica)
Sistemas operativos compatibles: Windows 10/11 (64 bits), Linux (Debian/Ubuntu, Fedora, Arch, y otras distribuciones mediante paquetes.deb,.rpm o AUR)
Requisitos mínimos: Procesador de 1 GHz, 2 GB de RAM, 200 MB de espacio en disco
Licencia: GNU General Public License v3.0 (GPLv3) para el núcleo; la UI también es de código abierto
Idiomas: Múltiples idiomas, incluyendo inglés, alemán, español, francés, japonés, chino
Soporte técnico: Documentación oficial en safing.io, GitHub Issues, comunidad en foros

Nota sobre la instalación: Portmaster no está disponible en los repositorios oficiales de las distribuciones Linux; debe descargarse desde la página oficial. En Debian/Ubuntu, se instala con un paquete .deb; en Fedora, con un .rpm; en Arch Linux, desde el AUR como portmaster-bin. En Windows, se descarga un instalador .exe que debe ejecutarse como administrador. Durante la instalación, Portmaster puede solicitar permisos para instalar un controlador de kernel (en Windows) o configurar reglas de iptables (en Linux).

Nota de compatibilidad: Portmaster utiliza el puerto 53 para DNS. Si tienes otro servicio que también use este puerto (por ejemplo, un servidor DNS local como Unbound o la aplicación de NextDNS), puede haber conflictos. En ese caso, deberás detener el otro servicio o configurarlo para que no escuche en el puerto 53. En Linux, puedes usar sudo systemctl stop unbound para detener temporalmente Unbound, y luego sudo systemctl restart portmaster para reiniciar Portmaster.

Cómo usar Portmaster

La instalación y configuración de Portmaster es sencilla y se completa en pocos minutos.

Paso 1: Descarga e instalación

Visita la página oficial de Portmaster y descarga el instalador para tu sistema operativo. En Windows, ejecuta el instalador como administrador y sigue las instrucciones. En Linux, descarga el paquete correspondiente a tu distribución (.deb para Debian/Ubuntu, .rpm para Fedora) e instálalo con el gestor de paquetes gráfico o desde la terminal (sudo dpkg -i portmaster.deb).

Paso 2: Configuración inicial

Tras la instalación, Portmaster se inicia automáticamente en segundo plano. Aparecerá un icono en la bandeja del sistema (Windows) o en el área de notificaciones (Linux). Haz clic en el icono y selecciona «Open Dashboard» para abrir la interfaz de control. La primera vez, se te guiará a través de una configuración rápida donde podrás:

Seleccionar las listas de filtros que deseas activar (bloqueo de rastreadores, malware, NSFW)
Elegir tu proveedor de DNS seguro preferido (Cloudflare, Quad9, Google, etc.)
Configurar el modo de seguridad (Normal, High, Extreme)

Paso 3: Explorar la actividad de red

Una vez configurado, la pantalla principal (Network Activity) te mostrará:

Un gráfico en tiempo real de las conexiones activas y bloqueadas.
Una lista de aplicaciones con actividad de red, ordenadas por número de conexiones recientes.
Al seleccionar una aplicación, el panel derecho muestra detalles de sus conexiones: dominios contactados, direcciones IP, países, volumen de datos transferidos, y duración de cada conexión.

Paso 4: Bloquear o permitir aplicaciones individuales

Para bloquear completamente el acceso a Internet de una aplicación:

En la lista de aplicaciones, haz clic en la que deseas bloquear.
En el panel de detalles, busca el interruptor «Internet Access» y cámbialo a «Block».
La aplicación ya no podrá conectarse a Internet hasta que vuelvas a permitirlo.

Para bloquear solo destinos específicos (dominios o IPs):

En la lista de conexiones de una aplicación, localiza la conexión que deseas bloquear.
Haz clic en los tres puntos (…) junto a la conexión y selecciona «Block this destination».
Se creará una regla permanente que bloquea ese destino específico para esa aplicación.

Paso 5: Configurar reglas avanzadas por aplicación

Para un control más granular, haz clic en el icono de engranaje junto al nombre de una aplicación en la lista. Se abrirá el panel de configuración de esa aplicación, donde puedes ajustar:

Internet Access: Allow, Block, Ask (preguntar cada vez)
Local Network Access: Allow, Block, Ask
Incoming Connections: Allow, Block, Ask
P2P Traffic: Allow, Block, Ask
Filter Lists: puedes aplicar listas de filtros específicas para esta aplicación, sobrescribiendo la configuración global.

Paso 6: Solución de problemas comunes

Si experimentas problemas de conectividad después de instalar Portmaster:

Verifica que el servicio de Portmaster esté en ejecución: en Windows, busca «Services» y comprueba que «Portmaster Core Service» está iniciado; en Linux, ejecuta sudo systemctl status portmaster.
Si tienes otro servicio usando el puerto 53 (como Unbound o la aplicación de NextDNS), deténlo temporalmente.
En Linux, si el demonio no intercepta conexiones, verifica las reglas de iptables con sudo iptables -t mangle -L OUTPUT | grep NFQUEUE. Si no aparecen, reinicia Portmaster con sudo systemctl restart portmaster.
Si el problema persiste, consulta los logs del servicio: en Linux, sudo journalctl -u portmaster -f; en Windows, el visor de eventos.

Observaciones sobre el programa Portmaster

Frente a otros firewalls de aplicaciones como OpenSnitch (Linux) o GlassWire (Windows), Portmaster destaca por su equilibrio entre facilidad de uso y profundidad de control, así como por su enfoque multiplataforma (Windows y Linux).

Mientras que OpenSnitch es una herramienta más «austera» y orientada a usuarios avanzados, Portmaster ofrece una interfaz más pulida y moderna, con características como el dashboard y los modos de seguridad predefinidos que reducen la fricción inicial.

Un usuario en un foro comenta que Portmaster tiene una interfaz «bastante hermosa», aunque inicialmente puede resultar abrumadora por la cantidad de información.

Para el usuario final, el beneficio práctico de Portmaster es recuperar el control sobre la telemetría y el rastreo. Como señala un usuario en el foro de EndeavourOS, sin un firewall de aplicaciones, «una calculadora, un gestor de contraseñas local o un editor de imágenes no necesitan acceso a Internet.

Sin embargo, sin un firewall de aplicaciones, todos tienen acceso a Internet». Portmaster permite cerrar esa puerta, bloqueando conexiones innecesarias y potencialmente maliciosas.

La comunidad y el desarrollo son otros puntos fuertes. Portmaster es desarrollado por Safing, una empresa transparente sobre su modelo de negocio (freemium) y su estructura de propiedad. El proyecto cuenta con una comunidad activa en GitHub, donde tiene más de 9,400 estrellas y recibe contribuciones regulares. La versión gratuita incluye todas las funcionalidades esenciales, y las características de pago (historial de red, estadísticas de ancho de banda, SPN) están claramente diferenciadas y no afectan al núcleo de la protección.

Casos de uso destacados:

Bloquear aplicaciones offline: Como se menciona en una reseña, un usuario bloquea Obsidian (una aplicación de notas) del acceso a Internet, ya que no lo necesita para funcionar y prefiere evitar que plugins de terceros puedan filtrar información sensible.
Controlar la telemetría del navegador: Portmaster permite ver y bloquear conexiones que los navegadores realizan a servidores de telemetría, como las conexiones de Brave a go-updater.brave.com para actualizar componentes.
Protección en redes no confiables: Al activar el modo «High» o «Extreme», Portmaster ajusta automáticamente las reglas para proteger el equipo en redes públicas, limitando la exposición.

Limitaciones actuales:

La interfaz de usuario utiliza Electron: Aunque es funcional y moderna, Electron consume más recursos que una aplicación nativa. Los desarrolladores planean reemplazarlo en el futuro.
Curva de aprendizaje inicial: La cantidad de información y opciones puede resultar abrumadora para usuarios principiantes, aunque los modos predefinidos ayudan a mitigarlo.
Compatibilidad con otros firewalls: Portmaster está diseñado para complementar, no reemplazar, un firewall de red tradicional como UFW o firewalld en Linux, o el firewall de Windows. Ambos pueden coexistir sin conflictos.

Limitaciones importantes

❌ No disponible para macOS: Portmaster solo está disponible para Windows y Linux. Los usuarios de macOS deben recurrir a alternativas como Little Snitch (comercial) o LuLu (gratuito).
❌ Algunas características avanzadas son de pago: El historial de red (búsqueda de conexiones pasadas) y el monitor de ancho de banda requieren una suscripción Plus (€4/mes). La SPN (red de privacidad) requiere la suscripción Pro (€9.90/mes).
❌ La interfaz Electron puede ser pesada: En equipos con recursos limitados, la interfaz gráfica basada en Electron puede consumir más memoria de la deseable.
❌ Posibles conflictos con otros servicios DNS: Si ya tienes un servidor DNS local (como Unbound) o una aplicación como NextDNS, pueden surgir conflictos por el uso del puerto 53.
❌ No es un sustituto de un antivirus: Portmaster bloquea conexiones a dominios maliciosos conocidos, pero no escanea archivos en busca de virus. Debe complementarse con un antivirus tradicional.

Alternativa recomendada

Si buscas una alternativa similar para Linux, OpenSnitch es la opción más cercana. Es también un firewall de aplicaciones interactivo, inspirado en Little Snitch, y utiliza tecnologías similares (eBPF, nfqueue).

Su interfaz es más «austera» y orientada a usuarios avanzados, pero es completamente gratuita sin características de pago. Para Windows, GlassWire ofrece una interfaz visualmente atractiva y funcionalidades similares, aunque su versión gratuita tiene limitaciones. SimpleWall es otra alternativa gratuita y ligera para Windows, basada en el filtrado de Windows (WFP).

Si prefieres una solución todo-en-uno que combine firewall de aplicaciones y antivirus, Comodo Firewall incluye un HIPS (Host Intrusion Prevention System) que puede bloquear conexiones salientes no autorizadas, aunque su interfaz es más compleja.

Portmaster es la herramienta de privacidad más completa y accesible para usuarios de Windows y Linux que desean recuperar el control sobre las conexiones de red de sus aplicaciones. Su combinación de monitorización en tiempo real, bloqueo automático de rastreadores, DNS seguro y reglas granulares por aplicación lo convierten en una herramienta imprescindible para cualquier persona preocupada por su privacidad digital. Puedes descargarlo gratuitamente desde su página oficial y empezar a descubrir qué aplicaciones se conectan a Internet en tu sistema.

Sección FAQ

¿Portmaster es gratis o de pago?

Portmaster ofrece un modelo freemium. La versión gratuita incluye todas las funcionalidades esenciales: monitorización de red en tiempo real, bloqueo automático de rastreadores y malware, DNS seguro (DoH/DoT), reglas por aplicación y modos de seguridad predefinidos. Las características de pago (Plus y Pro) añaden historial de red con búsqueda, monitorización de ancho de banda por aplicación y acceso a la red SPN (Safing Privacy Network). Las suscripciones cuestan €4/mes (Plus) y €9.90/mes (Pro).

¿Funciona en Linux, macOS, Windows 10 y Windows 11?

Portmaster está disponible para Windows (10/11) y Linux (Debian/Ubuntu, Fedora, Arch y otras distribuciones). No existe versión nativa para macOS. Los usuarios de macOS pueden considerar alternativas como Little Snitch (comercial) o LuLu (gratuito, de código abierto).

¿Qué diferencia a Portmaster de OpenSnitch?

Portmaster y OpenSnitch son ambos firewalls de aplicaciones para Linux, pero tienen diferencias significativas. Portmaster ofrece una interfaz más moderna y pulida, está disponible también para Windows, incluye DNS seguro integrado, bloqueo automático de rastreadores mediante listas, y modos de seguridad predefinidos. OpenSnitch es más «austero», tiene una interfaz más sencilla, es exclusivo para Linux, y es completamente gratuito sin características de pago. En cuanto a popularidad en GitHub, Portmaster tiene más estrellas (9,449 vs 10,959 de OpenSnitch), pero OpenSnitch tiene una comunidad ligeramente más activa.

¿Portmaster reemplaza al firewall de Windows o a UFW?

No. Portmaster complementa, no reemplaza, un firewall de red tradicional. El firewall de Windows y UFW (en Linux) se centran en controlar el tráfico a nivel de puertos y direcciones IP, mientras que Portmaster se centra en controlar el tráfico a nivel de aplicación y dominio. Ambos pueden (y deben) coexistir: el firewall de red protege contra accesos no autorizados desde el exterior, y Portmaster controla qué aplicaciones pueden iniciar conexiones salientes.

¿Qué hago si Portmaster no intercepta conexiones o no puedo navegar?

Si experimentas problemas de conectividad tras instalar Portmaster:

Verifica que el servicio esté en ejecución: sudo systemctl status portmaster (Linux) o revisa «Servicios» en Windows.
Comprueba si hay conflictos con el puerto 53 (DNS). Si tienes otro servicio usando ese puerto (como Unbound o la aplicación de NextDNS), deténlo temporalmente.
En Linux, verifica las reglas de iptables: sudo iptables -t mangle -L OUTPUT | grep NFQUEUE. Si no aparecen, reinicia Portmaster con sudo systemctl restart portmaster.
Consulta los logs del servicio para identificar errores específicos: sudo journalctl -u portmaster -f (Linux) o el visor de eventos de Windows.
Si el problema persiste, visita la documentación oficial de Safing o abre un issue en GitHub.

Descargas