¿Tu router ofrece WPA2/WPA3 Personal y no sabes cuál elegir para la red de casa? La decisión influye tanto en la seguridad como en la compatibilidad de aspiradoras robot, enchufes inteligentes, cámaras y sensores. Aquí explico qué cambia entre ambos modos, cuándo conviene usar una configuración mixta y cómo evitar los errores más habituales.
La configuración adecuada depende de tus dispositivos y del nivel de seguridad que buscas
- WPA3 Personal ofrece una autenticación más moderna mediante SAE.
- El modo mixto permite conectar equipos WPA2 y WPA3 con la misma contraseña.
- WPA2 con AES sigue siendo una opción razonable para dispositivos antiguos, pero no conviene usar TKIP.
- La domótica antigua suele funcionar mejor en la banda de 2,4 GHz.
- Una contraseña larga y única sigue siendo esencial, incluso con WPA3.
Qué significa realmente WPA2 y WPA3 en una red doméstica
La palabra “Personal” indica que la red se protege con una contraseña compartida, como ocurre en la mayoría de los hogares. No es lo mismo que WPA2 o WPA3 Enterprise, un sistema pensado para empresas y basado en servidores de autenticación individuales.
En WPA2-Personal, el método habitual es PSK, una clave previamente compartida. El router y el dispositivo utilizan esa contraseña para establecer las claves de cifrado de la conexión. Cuando se configura con AES-CCMP, ofrece una protección sólida para el uso doméstico, siempre que la contraseña no sea fácil de adivinar.
WPA3-Personal sustituye ese intercambio por SAE, siglas de Simultaneous Authentication of Equals. Este sistema dificulta que alguien capture una comunicación Wi-Fi y pruebe miles de contraseñas sin conexión, algo que sí resulta más viable contra configuraciones antiguas y contraseñas débiles.
La mejora no significa que WPA3 haga innecesaria una buena contraseña. Una clave corta, reutilizada o basada en el nombre de la familia sigue siendo un riesgo. La seguridad real depende del conjunto formado por el cifrado, la contraseña, el firmware y la configuración del router.
Qué opción conviene en una casa con domótica
Yo suelo valorar primero la compatibilidad de los dispositivos antes de activar el modo más estricto. En una vivienda con móviles y ordenadores recientes, WPA3 funciona muy bien, pero una aspiradora robot o un enchufe comprado hace varios años puede aceptar únicamente WPA2.
| Modo | Cómo funciona | Cuándo elegirlo |
|---|---|---|
| WPA2-Personal | Utiliza PSK y cifrado AES | Para equipos antiguos que no admiten WPA3 |
| WPA3-Personal | Utiliza SAE y requiere protecciones modernas | Cuando todos los dispositivos son compatibles |
| Modo mixto WPA2/WPA3 | Permite PSK y SAE en la misma red | Para migrar poco a poco sin dejar equipos desconectados |
El modo mixto suele ser el punto de equilibrio más práctico. Los dispositivos compatibles negocian WPA3 y los antiguos se conectan mediante WPA2, normalmente con el mismo nombre de red y la misma contraseña. La contrapartida es que la red sigue admitiendo clientes con la protección más antigua.
Si todos tus equipos aceptan WPA3, prefiero WPA3-Personal exclusivo. Si tienes una cafetera, una cámara o un robot aspirador que no conecta, el modo mixto evita convertir la instalación en una búsqueda interminable de incompatibilidades.
Cómo configurar el router sin perder compatibilidad
Los nombres cambian según la marca. Puedes encontrar opciones como “WPA2/WPA3-Personal”, “WPA2-PSK/WPA3-SAE”, “Transition Mode” o “WPA3 Mixed”. La idea es la misma: habilitar la autenticación moderna sin romper el acceso de los dispositivos que todavía dependen de WPA2.
- Actualiza el firmware del router y de los dispositivos principales.
- Entra en el apartado de seguridad Wi-Fi y selecciona WPA2/WPA3 mixto o WPA3 exclusivo si ya has comprobado la compatibilidad.
- Elige AES o CCMP como cifrado. Evita TKIP, WEP y cualquier opción descrita como “legacy”.
- Configura una contraseña única de al menos 16 caracteres, preferiblemente formada por varias palabras aleatorias.
- Guarda los cambios y vuelve a conectar los dispositivos que no recuperen la red automáticamente.
También revisaría la opción de Protected Management Frames, conocida como PMF o 802.11w. En WPA3 es una protección esencial para ciertos mensajes de gestión de la conexión; en modo mixto puede aparecer como “capaz”, “opcional” u “obligatoria”. Si al forzarla una bombilla o un sensor deja de conectarse, utiliza el modo recomendado por el fabricante.
Para una red con dispositivos de distintas edades, mantener el mismo SSID en 2,4 y 5 GHz suele simplificar el uso diario. Sin embargo, durante la instalación de algunos aparatos inteligentes puede ser útil separar temporalmente las bandas y conectar el móvil a 2,4 GHz.
Qué hacer con las aspiradoras robot y otros dispositivos antiguos
Muchos aparatos de domótica solo trabajan en 2,4 GHz, porque esa banda llega más lejos y consume menos energía. Algunos tampoco entienden WPA3, aunque el móvil desde el que los configuras sí lo admita. Por eso, que un dispositivo no aparezca durante la instalación no significa necesariamente que esté averiado.
Mi procedimiento es sencillo. Primero creo o pruebo una red compatible con WPA2 y AES, desactivo temporalmente los datos móviles del teléfono y conecto el móvil a 2,4 GHz. Después inicio el emparejamiento desde la aplicación del fabricante y vuelvo a activar la configuración más segura cuando el aparato ya está dentro de la red.
Si el router lo permite, una solución más limpia consiste en crear una red separada para IoT. Allí pueden vivir los dispositivos antiguos, mientras que móviles y ordenadores utilizan WPA3. Conviene activar el aislamiento entre clientes o las reglas de red adecuadas, aunque algunas funciones de control local pueden dejar de funcionar si el aislamiento es demasiado estricto.
En redes mesh hay que tener un cuidado adicional. Algunos sistemas aplican la misma política a todos los nodos y otros permiten crear una red específica para invitados o domótica. Si una aspiradora pierde conexión al desplazarse por la casa, revisaría el roaming, la banda de 2,4 GHz y las actualizaciones antes de culpar al estándar de seguridad.
Los límites de la configuración mixta y de WPA3
El modo mixto facilita la transición, pero no convierte automáticamente a todos los dispositivos en WPA3. Un equipo que se conecte mediante WPA2 seguirá teniendo las limitaciones de WPA2. Por eso lo considero una etapa intermedia, no el punto final ideal.
También conviene saber que la banda de 6 GHz, utilizada por Wi-Fi 6E y Wi-Fi 7, exige mecanismos compatibles con WPA3 y no está pensada para clientes WPA2 puros. El soporte del modo de transición depende del router y del firmware, así que una red que funciona en 2,4 GHz puede requerir una política diferente en 6 GHz.
Otro error frecuente es pensar que WPA3 protege frente a cualquier ataque. No evita que alguien descubra la contraseña mediante ingeniería social, acceda al panel de administración con credenciales débiles o aproveche un dispositivo sin actualizar. La seguridad inalámbrica empieza en el cifrado, pero continúa en todo lo que conecta a la red.
Yo aplicaría cuatro medidas adicionales: cambiar la contraseña de administrador del router, activar las actualizaciones automáticas si existen, desactivar la administración desde Internet y separar los dispositivos de domótica cuando el equipo lo permita. Estas decisiones suelen aportar más protección práctica que cambiar de router cada pocos meses.
Mi criterio para dejar la red preparada para los próximos años
Para una vivienda española con dispositivos variados, empezaría con WPA2/WPA3 en modo mixto, AES y una contraseña larga. Después comprobaría qué equipos siguen utilizando WPA2 y los sustituiría o aislaría gradualmente, en lugar de mantener toda la red antigua por culpa de un único sensor.
Cuando móviles, ordenadores y aparatos inteligentes sean compatibles, pasaría a WPA3 exclusivo en la red principal. Así se aprovecha mejor la protección de SAE y se deja atrás la dependencia de clientes heredados, sin obligar a cambiar de golpe toda la domótica de la casa.
