El Gran Cortafuegos: qué bloquea y cómo sortearlo

Un bloqueo no pasa desapercibido. Alguien en la oficina lo advierte y se soluciona. El fallo que de verdad cuesta dinero es el que no hace ruido: el servidor responde, el primer byte llega en medio segundo y, a partir de ahí, la petición no termina nunca.

Wix entregó el primer byte en una mediana de 532 ms, pero ninguna de las 3 cargas de página llegó a completarse en 60 segundos (0 de 3), según la medición efectuada el 30 de agosto de 2026 desde una instancia de Alibaba Cloud (阿里云) en la región cn-zhangjiakou. Fuente: 21YunBox, Does Wix Work in China?, agosto de 2026, página revisada el 7 de octubre de 2026. https://www.21cloudbox.com/support/wix-china.html

Cuando un widget se comporta de este modo, la página que lo rodea se muestra con total normalidad. El widget se queda en blanco y ningún registro deja constancia del error. De ahí que un equipo que trabaja fuera de China pueda revisar el sitio cada mañana durante un año sin notar nada extraño.

Por debajo opera la maquinaria sobre la que todo el mundo escribe: DNS envenenadas, rangos de IP bloqueados, contenido de los paquetes inspeccionado en tiempo real. El cortafuegos rastrea además las firmas de las VPN, y una instalación estándar de WordPress arrastra varias dependencias que chocan con él. Todo eso es real. Las solicitudes de contacto que se pierden, en cambio, se explican casi siempre por una conexión abierta que nadie vigila.

Cómo funciona realmente el Gran Cortafuegos

Cinco mecanismos funcionan en paralelo. Cada uno intercepta un tipo de tráfico distinto, en una capa distinta de la red.

El envenenamiento de DNS es la capa más básica. Un usuario en China pide un dominio bloqueado. El cortafuegos le devuelve una dirección IP falsa. La petición no expira: lo lleva a otro lugar. Ve un error o una página en blanco, sin entender por qué.

El bloqueo de IP va un paso más allá. Corta en la red rangos enteros de direcciones de servicios extranjeros. Cambiar de servidor DNS no sirve de nada: la IP sigue fuera de alcance.

La inspección profunda de paquetes es la capa decisiva. El sistema abre cada paquete y examina lo que lleva dentro. Si el contenido coincide con un patrón marcado, corta la conexión en pleno tránsito. Otros filtros nacionales se quedan en la dirección de destino; el sistema chino llega mucho más lejos.

La inspección profunda de paquetes examina el contenido del tráfico, además de su destino. Eso convierte al Gran Cortafuegos en un sistema mucho más difícil de sortear que cualquier otro filtro nacional.

El filtrado de URL actúa página por página. El dominio sigue accesible, pero las direcciones que contienen ciertas palabras clave quedan bloqueadas. Es una intervención quirúrgica: bloquea la página exacta y deja el resto del sitio intacto.

La detección de VPN es el mecanismo más reciente. El cortafuegos reconoce los protocolos VPN por su firma y, a partir de ahí, los ralentiza o los bloquea. Una VPN doméstica que iba bien hace dos años hoy puede no servir. La detección mejora cada año.

Qué está bloqueado y cómo afecta a su sitio

Las empresas extranjeras suelen fijarse en la dimensión política del Gran Cortafuegos. Para su sitio, lo que cuenta son las dependencias técnicas.

El buscador de Google, Gmail, Maps, YouTube y Google Ads no funcionan desde una conexión en China continental. Para un sitio web, el que cuenta es Google Analytics, que figura en la tabla inferior con la fecha de su prueba, como todo lo que recoge esta página. La última prueba fallida de GreatFire sobre www.google-analytics.com data del 24 de julio de 2026. Cuando la etiqueta se dispara desde una página en China, la baliza de medición no llega nunca, de modo que los datos se pierden tanto si el script del contenedor se cargó como si no.

Google Fonts es la excepción, y quien opina sobre ella suele equivocarse en uno u otro sentido, así que merece un párrafo aparte.

Desde una instancia de Alibaba Cloud (阿里云) en cn-zhangjiakou, el 28 de agosto de 2026, con una muestra cada diez minutos durante doce horas, fonts.googleapis.com completó 72 de 72 peticiones con una mediana de 111 ms hasta el primer byte. Desde una línea residencial de China Mobile (中国移动) en Pekín, el 30 de agosto de 2026, a lo largo de 264 cargas de página, el mismo servidor respondió a 0 de 54 peticiones. Fuente: 21YunBox, A Chinese Cloud Probe Is Not a Chinese Visitor: The Same Hosts, Opposite Answers, agosto de 2026. https://www.21cloudbox.com/a-day-of-third-party-requests-from-inside-china.html

Frente a estos dos datos, ninguna afirmación tajante se sostiene. Google Fonts se resuelve desde los centros de datos del continente y, con frecuencia, no lo hace en las conexiones domésticas. Ahí reside todo el argumento para alojar las fuentes en el propio servidor: se elimina una variable que cambia según la red, el resolvedor y la hora. fonts.google.com, la interfaz de consulta, depende de otro servidor: GreatFire registró interferencias en sus dos últimas pruebas concluyentes, la más reciente del 30 de septiembre de 2026, y lo da por perturbado al 100 %.

La lista sigue con las redes sociales. Facebook, Instagram, WhatsApp y Messenger están bloqueados. Lo mismo vale para Twitter/X, Reddit y Pinterest. La edición china de Wikipedia tampoco se abre.

Las herramientas de trabajo occidentales corren la misma suerte. Dropbox, Slack, Notion y Trello quedan fuera de alcance. Cualquier integración con ellos deja de funcionar en China, y también los recursos que el sitio cargue desde sus dominios.

Lo mismo ocurre con el entretenimiento, como Netflix, Spotify o Twitch, y con buena parte de la gran prensa occidental: el New York Times, el Wall Street Journal o la BBC.

Lo que más sorprende llega después. Cualquier script, tipografía, widget o llamada a una API que dependa de un dominio bloqueado deja de funcionar. Un enlace a Google Fonts olvidado en la hoja de estilos puede dejar la página en blanco para cualquier visitante cuya red no obtenga respuesta. Una sola etiqueta de analítica puede congelar la página entera.

Un enlace a Google Fonts olvidado en la hoja de estilos puede dejar la página en blanco para cualquier usuario cuya red no obtenga respuesta. El problema está en el propio código, en dependencias que el equipo ya ni recordaba.

Cada dependencia registrada, con la fecha de su última prueba

Las páginas mejor posicionadas para estas consultas no aportan ningún dato que lo respalde. En todas las páginas de compatibilidad que hemos leído de Chinafy, de AppInChina y de las agencias más pequeñas no hay tabla, ni fecha de prueba, ni lugar de medición identificado, ni cifra de latencia. Las empresas especializadas en medición publican sus datos, pero las páginas que le explican qué falla no los citan. La tabla que sigue cubre ese hueco, fila por fila.

Conviene dejar claro de quién son estas cifras. Cada fila procede de GreatFire o de 21YunBox, con su fuente y su fecha. El 7 de octubre de 2026, 21YunBox retiró buena parte de sus mediciones herramienta por herramienta. Las filas que dependían de ellas reflejan ahora el veredicto de GreatFire o, si GreatFire no ha emitido ninguno, figuran como «sin probar».

La tabla combina dos tipos de datos que responden a preguntas distintas. Un veredicto de accesibilidad indica si es posible conectarse a un servidor. Una carga de página cronometrada mide cuánto tardó en completarse el sitio del propio proveedor desde una sonda identificada en China continental, lo que ofrece una aproximación al punto de acceso del script al que llama el navegador de su visitante, sin medirlo directamente. Cuando ambas fuentes discrepan, publicamos las dos, sin promediarlas.

La columna de veredicto recoge seis valores, y dos de ellos merecen una lectura atenta: «intermitente» y «diverge según el punto de medición». Son los casos en que un servidor parece en perfecto estado a ojos de quien lo comprobó por última vez.

Analítica

Formularios y chat

Contenidos incrustados

Mapas

Plataformas

Infraestructura

Pagos

Pendientes de medición

Este registro no contiene pruebas fechadas de Crisp, Tawk.to, Loom, Sanity, Netlify, Bootstrap CDN ni js.stripe.com. También faltan resultados para el cargador HTTPS de HubSpot, js.driftt.com de Drift y cdn.matomo.cloud. Una prueba del sitio de un proveedor no demuestra cómo funciona el servidor de su widget.

Adobe Fonts, Font Awesome y LinkedIn Insight Tag sí cuentan con resultados fechados.

GreatFire dio por accesibles use.typekit.net y snap.licdn.com el 22 de septiembre de 2026, con una prueba concluyente por servidor. Registró el mismo resultado para use.fontawesome.com el 11 de octubre de 2026 y kit.fontawesome.com el 13 de septiembre de 2026, también con una prueba concluyente en cada caso. Fuente: GreatFire, septiembre y octubre de 2026. https://en.greatfire.org/https/use.typekit.net ; https://en.greatfire.org/https/snap.licdn.com ; https://en.greatfire.org/https/use.fontawesome.com ; https://en.greatfire.org/https/kit.fontawesome.com

En la conexión residencial observada, el servidor de Adobe no respondió. El recuento del servidor de verificación indica cuántas peticiones recibieron respuesta. No mide si el usuario completó el proceso.

En una conexión residencial de China Mobile (中国移动) en Pekín, el 30 de agosto de 2026, 21YunBox no obtuvo respuesta a ninguna de las 11 peticiones a use.typekit.net ni de las 6 a static.hotjar.com. Registró 6 fallos en 15 peticiones a fast.wistia.com y 3 en 12 a challenges.cloudflare.com. Por separado, GreatFire indica que la URL del script de Turnstile era accesible en sus 2 pruebas concluyentes; la última se realizó el 11 de octubre de 2026. Fuente: 21YunBox, 30 de agosto de 2026. https://www.21cloudbox.com/a-day-of-third-party-requests-from-inside-china.html ; GreatFire, 11 de octubre de 2026. https://en.greatfire.org/https/challenges.cloudflare.com/turnstile/v0/api.js

El veredicto de accesibilidad de munchkin.marketo.net, de Marketo, data del 31 de mayo de 2026 y supera los 90 días de antigüedad. Las fuentes se contrastaron el 16 de octubre de 2026; las fechas de las pruebas no cambian por volver a consultar las fuentes. La próxima revisión editorial se hará el 15 de noviembre de 2026.

Fuente: GreatFire, 31 de mayo de 2026. https://en.greatfire.org/https/munchkin.marketo.net

Por qué Stripe queda fuera de esta tabla

Stripe es el nombre que cualquiera espera encontrar en una tabla como esta. Su caso, sin embargo, responde a otra cuestión. Que js.stripe.com cargue o no desde Shanghái es lo de menos, porque el obstáculo tiene que ver con las licencias.

China continental no figura en la lista de países de Stripe en los que se puede abrir una cuenta. Hong Kong sí. Fuente: Stripe, Global availability, consultado el 22 de septiembre de 2026. https://stripe.com/global

Una entidad del continente no dispone de adquirencia local, llegue o no el script al navegador, así que optimizar su carga no resuelve nada. La pregunta que de verdad merece respuesta es cómo cobrar con Alipay (支付宝), WeChat Pay (微信支付) y UnionPay (银联), y nuestra guía para gestionar una tienda WooCommerce en China es lo más cercano que hemos publicado sobre ello.

El veredicto de la tabla corresponde a www.paypal.com. No demuestra que el proceso de pago llegue a completarse.

Estrategias para las empresas extranjeras

Nadie va a perforar el Gran Cortafuegos. Lo sensato es construir un sitio que no necesite cruzarlo.

Alojar el sitio en China continental con un registro ICP es la vía más limpia. El sitio vive dentro del cortafuegos en lugar de pelear para atravesarlo: las peticiones se quedan en el país, Baiduspider lo rastrea sin cruzar la frontera y el cumplimiento normativo queda resuelto. Para una empresa decidida a operar en China, esta es la opción de referencia.

Recurrir a un CDN chino permite guardar el contenido en caché en nodos de China continental. El servidor de origen puede estar fuera del país. Un CDN con nodos en el continente entrega igualmente las páginas, sin que cada petición cruce el cortafuegos.

Sustituir cada dependencia extranjera es el paso que más se olvida. Google Fonts pasa a tipografías alojadas en servidores locales, Google Maps a Baidu Maps y Google Analytics a Baidu Tongji. Hay que revisar todas las llamadas externas del sitio, una por una: cada script, cada tipografía, cada punto de acceso a una API. Si una apunta a un dominio fuera del alcance de la red de sus visitantes, los usuarios chinos sufren una mala experiencia y la empresa ni se entera.

Google Fonts, Google Analytics y Google Maps tienen que dar paso a tipografías locales, a Baidu Tongji y a Baidu Maps. Cada llamada externa del sitio necesita una revisión.

Queda el alojamiento en Hong Kong. Es una solución intermedia para las empresas que aún no están listas para el registro ICP. No exige licencia. La latencia hacia el continente es razonable. Y el cortafuegos rara vez interfiere. Es un compromiso aceptable para quien todavía explora el mercado.

Las VPN se mueven en una zona gris. Las VPN corporativas, que conectan las oficinas en China con las redes internacionales, suelen tolerarse. Las VPN domésticas son otra cosa. Sirven para saltarse el cortafuegos y son técnicamente ilegales, aunque la persecución varía según la región y el año. Las empresas extranjeras en China deben tener clara esta diferencia. No dé por sentado que su plantilla puede usar VPN personales en la oficina para llegar a servicios bloqueados.