Cuando necesitas mover archivos entre tu ordenador, un NAS, un alojamiento web o un equipo de la red doméstica, el protocolo elegido marca la diferencia entre una transferencia cómoda y un problema de seguridad. Un servidor FTP permite intercambiar archivos entre un cliente y un equipo servidor, pero conviene entender sus puertos, sus modos de conexión y sus alternativas cifradas antes de abrirlo a Internet. Aquí explico cómo funciona, cuándo usar FTP, FTPS o SFTP y qué ajustes reducen los riesgos.
La forma segura de mover archivos depende del entorno
- FTP tradicional no cifra las contraseñas ni los archivos transferidos.
- SFTP usa SSH y el puerto 22, mientras que FTPS añade TLS al protocolo FTP.
- El modo pasivo suele funcionar mejor detrás de routers, cortafuegos y redes WiFi domésticas.
- La cuenta debe estar limitada a una carpeta concreta y con los permisos imprescindibles.
- El acceso desde Internet exige revisar CG-NAT, actualizaciones, registros y copias de seguridad.
Qué es un servidor FTP y cómo funciona
FTP son las siglas de File Transfer Protocol, un protocolo cliente-servidor diseñado para subir, descargar, renombrar y borrar archivos a través de una red. El servidor aloja los datos y aplica las reglas de acceso, mientras que el cliente es la aplicación desde la que iniciamos la conexión, como FileZilla, WinSCP o el administrador de archivos de un NAS.
La comunicación tradicional separa el control de los datos. El cliente contacta normalmente con el puerto TCP 21 para autenticarse y enviar órdenes, pero la transferencia del archivo se realiza mediante una conexión adicional. Esta separación explica por qué FTP puede funcionar dentro de una red local y, sin embargo, fallar cuando intervienen un router o un cortafuegos.
Modo activo y modo pasivo
En el modo activo, el servidor intenta abrir la conexión de datos hacia el cliente. Es una configuración histórica que puede dar problemas cuando el ordenador está detrás de un router con NAT, es decir, un sistema que traduce la dirección privada de la red doméstica a una dirección pública.
En el modo pasivo, el cliente inicia también la conexión de datos. El servidor anuncia un puerto adicional dentro de un rango configurado y el router debe permitirlo. Para redes WiFi domésticas y conexiones desde hoteles, oficinas o universidades, suelo considerar el modo pasivo la opción más práctica, siempre que el rango de puertos esté bien definido.
Una sesión normal sigue un flujo sencillo. El usuario se conecta, se identifica, consulta las carpetas autorizadas y ejecuta operaciones como descargar o subir archivos. El servidor debería mantener al usuario dentro de su directorio asignado, una medida conocida como aislamiento o jail que evita explorar otras partes del sistema.
FTP, FTPS y SFTP no son lo mismo
La confusión entre estos nombres es una de las causas más habituales de configuraciones incorrectas. FTP, FTPS y SFTP sirven para transferir archivos, pero utilizan tecnologías distintas y no siempre son intercambiables en el cliente o en el servidor.
| Protocolo | Cifrado | Puerto habitual | Cuándo tiene sentido |
|---|---|---|---|
| FTP | No | TCP 21 | Pruebas internas o redes totalmente controladas |
| FTPS explícito | TLS | TCP 21 más puertos de datos | Entornos que necesitan compatibilidad con FTP y cifrado |
| FTPS implícito | TLS desde el inicio | TCP 990, normalmente | Instalaciones antiguas o requisitos concretos del proveedor |
| SFTP | SSH | TCP 22 | Acceso seguro con una única conexión de red |
FTP sin cifrado transmite las credenciales y el contenido en claro. En una WiFi pública o en una red comprometida, alguien con capacidad para inspeccionar el tráfico podría capturar la contraseña. Por eso, mi recomendación es directa: no uses FTP plano para cuentas reales ni para conexiones a través de Internet.
FTPS mantiene la arquitectura de FTP y protege la sesión mediante TLS, el mismo tipo de tecnología criptográfica que se utiliza para proteger otros servicios de Internet. SFTP, en cambio, no es FTP con una “S” añadida, sino un protocolo diferente que funciona sobre SSH. Su ventaja práctica es que suele necesitar un solo puerto, algo que simplifica el paso por cortafuegos y routers.
La elección depende de la compatibilidad. Si un proveedor de alojamiento solo ofrece FTPS, será una opción válida si el certificado se verifica correctamente. Si administras un servidor Linux, un NAS moderno o una máquina con SSH, normalmente elegiría SFTP por su configuración más sencilla y su menor superficie de exposición.
Cómo configurar un acceso de archivos sin abrir una puerta innecesaria
La instalación cambia según el sistema, pero las decisiones importantes son siempre parecidas. Puedes utilizar un servicio integrado en un NAS, un programa específico para Windows o un demonio de FTP o SFTP en Linux. El software importa menos que la configuración de permisos, cifrado y red.
Define primero el uso
Para compartir archivos dentro de casa, basta con limitar el servicio a la red local y permitir únicamente las direcciones privadas de tus dispositivos. Para publicar archivos a colaboradores o clientes, conviene crear cuentas separadas, establecer caducidades y evitar que todos tengan permisos de escritura.
También debes decidir si cada usuario podrá subir, descargar, modificar o eliminar contenido. Una cuenta que solo necesita recibir documentos no debería tener permiso para borrar carpetas completas. Este principio de mínimo privilegio reduce el impacto de una contraseña robada o de un error humano.
Configura el servidor
- Activa SFTP o FTPS y deshabilita FTP plano si no existe una razón técnica para mantenerlo.
- Crea usuarios individuales y evita compartir una cuenta entre varias personas.
- Asigna una carpeta raíz para que cada cuenta vea solo los archivos necesarios.
- Limita los permisos de lectura, escritura, borrado y ejecución.
- Fija un rango pasivo si utilizas FTP o FTPS, en lugar de dejar miles de puertos abiertos.
- Activa los registros para detectar inicios de sesión extraños, errores repetidos o transferencias anómalas.
Si el servicio se publica fuera de casa, el router necesitará una regla de redirección de puertos. Antes de hacerlo, comprueba si tu operador utiliza CG-NAT, una técnica que puede impedir las conexiones entrantes aunque configures correctamente el router. En ese caso, suele ser más seguro usar una VPN, una red privada del fabricante del NAS o un servidor intermedio con SFTP.
No expongas el panel de administración del NAS o del servidor con la misma regla que utilizas para transferir archivos. Separar ambos accesos, actualizar el software y aplicar autenticación con claves SSH cuando sea posible ofrece una protección mucho más sólida que cambiar simplemente el número de puerto.
Qué protocolo conviene en cada situación
No existe una única respuesta válida para todos los escenarios. La red local, el tipo de cliente, la compatibilidad exigida y el nivel de exposición determinan la opción razonable.
| Situación | Opción preferible | Motivo |
|---|---|---|
| Transferencias entre equipos de casa | SFTP o recurso compartido local | Evita credenciales en claro y reduce la exposición |
| Acceso a un hosting compatible con FTP | FTPS explícito | Mantiene compatibilidad y añade cifrado TLS |
| Administración de un servidor Linux | SFTP | Usa SSH y normalmente requiere un solo puerto |
| Entrega puntual de un archivo grande | Enlace temporal o plataforma segura | Puede ser más sencillo que mantener un servicio abierto |
| Distribución pública de archivos sin cuenta | Servicio web de solo lectura | Resulta más fácil controlar caché, permisos y registros |
Para un intercambio ocasional, montar un servicio permanente suele ser excesivo. Un enlace con caducidad, una carpeta compartida con permisos limitados o una VPN pueden resolver el problema con menos mantenimiento. En cambio, si necesitas sincronizar archivos todos los días entre sistemas, un servicio dedicado sí aporta automatización y trazabilidad.
En mi experiencia técnica, muchas personas se fijan primero en la velocidad y dejan la seguridad para el final. La diferencia entre FTP y SFTP rara vez será el cuello de botella en una conexión doméstica moderna; lo que realmente pesa es la subida disponible, la latencia y la calidad del almacenamiento.
Errores frecuentes al conectar desde una red WiFi
Cuando el cliente muestra “timeout”, “conexión rechazada” o una carpeta vacía, no siempre significa que la contraseña sea incorrecta. El problema puede encontrarse en el modo de conexión, el router o el certificado.
El usuario inicia sesión, pero no ve los archivos
Revisa la carpeta raíz asignada y los permisos del sistema operativo. Un usuario puede autenticarse correctamente y no tener derechos para leer el directorio. También conviene comprobar que el cliente no esté usando un protocolo distinto, por ejemplo SFTP contra un puerto configurado únicamente para FTPS.
La conexión funciona, pero la transferencia se bloquea
Este síntoma suele apuntar a un problema con el modo pasivo y su rango de puertos. El servidor debe anunciar una dirección accesible desde el exterior y el router debe reenviar el rango correspondiente. Si anuncia una dirección privada como 192.168.x.x a un cliente de Internet, la transferencia no llegará a completarse.
El certificado genera una advertencia
No aceptes cualquier certificado a ciegas. Comprueba el nombre del servidor, la fecha de validez y la autoridad que lo firma. En una red doméstica puede ser normal usar un certificado local, pero debes instalarlo de forma controlada y verificar su huella por un canal independiente.
Lee también: Puerto WAN del router - Guía para evitar fallos de red
El acceso deja de funcionar desde otra red
Prueba primero dentro de la LAN y después desde una conexión móvil. Si funciona en casa pero no desde fuera, revisa CG-NAT, la dirección pública, el cortafuegos y las reglas del router. Si utilizas SFTP, confirma que el puerto SSH está permitido y que el servicio escucha en la interfaz correcta.
Una configuración pequeña puede ser mucho más segura
Para la mayoría de los hogares y pequeños equipos, una arquitectura sencilla resulta suficiente: SFTP, un usuario por persona, acceso a una sola carpeta y copias de seguridad independientes. Si necesitas FTP por compatibilidad, usa FTPS, limita el rango pasivo y permite el acceso solo desde las direcciones que realmente lo necesitan.
Recuerda que el cifrado protege la comunicación, pero no sustituye a las copias de seguridad. Un usuario autorizado también puede borrar archivos, y un ransomware puede cifrar una carpeta conectada. Mantén al menos una copia desconectada o protegida contra modificaciones y revisa los registros con cierta frecuencia.
La decisión práctica es clara. Para una red WiFi local controlada, cualquier solución bien aislada puede funcionar, pero para Internet conviene descartar FTP sin cifrado y elegir SFTP o FTPS según la compatibilidad disponible. La seguridad no depende solo del protocolo: también depende de quién entra, qué puede hacer y cuánto tiempo permanece expuesto el servicio.
