Filtrado MAC: qué es y si sirve para proteger tu WiFi

Qué es una dirección MAC

Todo aparato que se conecta a una red WiFi tiene que identificarse. Para eso usa una dirección única llamada MAC (siglas en inglés de Media Access Control, control de acceso al medio). Apple la describe así en su ayuda sobre direcciones privadas.

Es una serie de números y letras. TP-Link, en su guía de filtrado, la escribe con el formato XX-XX-XX-XX-XX-XX. Piensa en ella como la matrícula del aparato dentro de tu red. El router la ve en cuanto el aparato intenta conectarse y la muestra en su lista de dispositivos.

Durante años cada aparato tenía una sola MAC, grabada de fábrica. Hoy ya no es así, y eso cambia mucho el valor del filtro, como verás más abajo.

Qué hace el filtrado MAC en el router

El filtrado MAC es una lista que guardas en el router. Según el fabricante se llama "Filtrado MAC inalámbrico", "Control de acceso", "Lista de bloqueo" o "Limitar el acceso a la red inalámbrica". Casi siempre funciona de una de estas dos formas:

• Lista de permitidos. Solo pueden conectarse los aparatos cuya MAC está en la lista. Cualquier otro se queda fuera aunque tenga la contraseña. TP-Link lo llama Allow List, ASUS Accept y FRITZ! "Solo permitir el acceso a la red Wi-Fi a los dispositivos conocidos".
• Lista de bloqueados. Entran todos menos los aparatos de la lista. TP-Link lo llama Deny List y ASUS Reject.

NETGEAR plantea lo mismo con otras palabras: puedes permitir todos los aparatos nuevos y bloquear los que elijas, o bloquear todos los nuevos y dejar entrar solo a los que autorices.

Por qué no protege tu red

La MAC viaja sin cifrar. FRITZ! lo explica en su base de conocimientos: las direcciones MAC se transmiten sin cifrar en la red inalámbrica. Cualquiera cerca de tu casa con las herramientas adecuadas puede ver qué MAC usan tus aparatos.

Se puede copiar. Una vez vista, esa MAC se puede poner en otro aparato. A esto se le llama suplantación de MAC (en inglés, MAC spoofing). Apple lo resume en sus ajustes recomendados para routers: las direcciones MAC se pueden copiar, falsificar o cambiar fácilmente. Por eso FRITZ! concluye que no sirven para identificar un aparato de forma segura.

No protege lo que envías. Apple añade otro motivo: el filtro no impide que alguien vigile o intercepte el tráfico de la red. Eso solo lo evita el cifrado.

Por todo esto, Apple recomienda dejar el filtrado MAC desactivado y proteger el acceso con el ajuste de seguridad adecuado. FRITZ! lo ofrece en sus routers, pero avisa de que por sí solo no protege lo suficiente.

No todas las fuentes oficiales coinciden. INCIBE, en un artículo para empresas de 2017, incluía habilitar el filtrado por MAC entre sus consejos. Es un consejo antiguo, anterior a la llegada de las MAC privadas a los móviles. Los fabricantes que documentan el problema hoy lo desaconsejan como medida de seguridad.

El problema de las direcciones MAC privadas

Los móviles, tabletas y ordenadores actuales ya no enseñan siempre su MAC de fábrica. Para que nadie pueda seguirte de una red a otra, usan una MAC privada o aleatoria, inventada por el propio aparato.

• iPhone, iPad y Mac. Según Apple, por defecto usan una MAC diferente para cada red WiFi. En iOS 18 y versiones posteriores puedes elegir entre Desactivada, Fija o Rotatoria. La rotatoria cambia cada dos semanas. Además, si restableces los ajustes de red o borras el dispositivo, usará otra dirección privada la próxima vez.
• Android. La documentación de Android indica que, desde Android 10, el sistema usa una MAC aleatoria por defecto. Normalmente es una por red y se mantiene al reconectar, pero desde Android 12 existe también un modo que cambia la MAC en cada conexión.
• Windows. Microsoft ofrece las direcciones de hardware aleatorias si la tarjeta WiFi lo admite, tanto para todas las redes como para una red concreta.

¿Qué pasa con tu filtro? FRITZ! lo dice claramente: con MAC aleatorias, el filtro puede bloquear tus propios aparatos y dejarlos sin poder conectarse. TP-Link, en su guía de filtrado, pide comprobar que la dirección privada no está activada en el aparato, porque si no su MAC cambiará. Y Apple explica que hay redes que no funcionan bien con direcciones privadas, por ejemplo las que usan control parental o identifican al aparato para autorizarlo. En esos casos permite desactivar la dirección privada solo para esa red.

Si tu móvil se conecta pero no navega y sospechas de esto, en el móvil se conecta al WiFi pero no hay internet tienes cómo revisarlo. Si es la impresora la que desaparece de la red, repasa la guía de la impresora no se conecta al WiFi.

Cuándo sí puede servirte

El filtrado MAC no es un candado, pero sí una herramienta de orden para casa. Tiene sentido en estos casos:

• Echar a un aparato concreto. ASUS pone este ejemplo: si ves un móvil desconocido en la lista de dispositivos del router, lo añades a la lista de bloqueo y deja de poder usar tu WiFi. Ojo: si esa persona tiene tu contraseña, cámbiala también, porque bastaría con cambiar la MAC para volver a entrar. Tienes el proceso completo en cómo saber quién está conectado a tu WiFi.
• Control parental por dispositivo. Muchos routers aplican horarios o bloqueos a un aparato concreto, y lo reconocen por su MAC. Google recomienda, si configuras control parental en tu red, incluir las dos direcciones MAC del teléfono Android: la de fábrica y la aleatoria.
• Aparatos con la dirección privada desactivada. Según Apple, al desactivar la dirección privada el aparato usa su MAC de hardware, la de fábrica. Esa no cambia, así que la lista funciona de forma estable con él.

En todos estos casos el filtro complementa la seguridad, no la sustituye.

Qué protege tu WiFi de verdad

Si lo que quieres es que nadie entre sin permiso, estas son las medidas que recomiendan los fabricantes:

1. Cifrado WPA3 o WPA2/WPA3. Apple recomienda WPA3 Personal o el modo transicional WPA2/WPA3 si tienes aparatos antiguos. Lo tienes explicado en qué cifrado elegir en tu WiFi.
2. Contraseña larga y propia. Cambia la que venía de fábrica siguiendo cómo cambiar la contraseña del WiFi.
3. Red de invitados para las visitas. Así no les das la clave principal. Ojo: FRITZ! indica que su filtro MAC no limita el acceso a la red de invitados. Tienes los pasos en red WiFi de invitados.

ASUS lo recuerda en su propia guía de filtrado: lo que de verdad mejora la seguridad es el cifrado, una contraseña complicada y tener el router actualizado.

Dónde está la opción en tu router

Entra en el panel del router desde el navegador y busca en el apartado de WiFi o de seguridad. Estas son las rutas que documenta cada fabricante:

• FRITZ!Box: Wi-Fi > Seguridad > Limitar el acceso a la red inalámbrica y activa "Solo permitir el acceso a la red Wi-Fi a los dispositivos conocidos". Pulsa Aplicar. Para añadir un aparato nuevo puedes apagar el filtro un momento y dejar que el router lo registre solo, o usar "Añadir un nuevo dispositivo Wi-Fi" y escribir su MAC. La lista admite hasta 128 aparatos.
• TP-Link (interfaz actual): Advanced > Security > Access Control. Activa la función, elige el modo en Change Mode (lista de bloqueo o de permitidos) y añade los aparatos. En TP-Link la regla vale para cable y WiFi. En modelos antiguos está en Wireless > Wireless MAC Filtering.
• ASUS: en la web o en la app ASUS Router, dentro del perfil de la red WiFi, activa Enable MAC Filter y elige Accept o Reject. Puedes elegir los aparatos de un desplegable.
• NETGEAR: ADVANCED > Security > Access Control y marca Turn on Access Control. Al elegir "bloquear todos los nuevos", los aparatos ya conectados quedan permitidos.

Si el router es de tu operador y no ves la opción, consulta su manual o su servicio técnico.

Fuentes

Documentación oficial consultada el 29 de septiembre de 2026.

• Apple: Ajustes recomendados para routers y puntos de acceso wifi (se abre en una pestaña nueva)
• Apple: Usar direcciones wifi privadas en dispositivos Apple (se abre en una pestaña nueva)
• Apple: Usar una dirección de red privada en el iPhone (se abre en una pestaña nueva)
• Android Open Source Project: Comportamiento de la aleatorización de MAC (se abre en una pestaña nueva)
• Google: Gestionar la configuración de red avanzada en un teléfono Android (se abre en una pestaña nueva)
• Microsoft: Cómo usar direcciones de hardware aleatorias en Windows (se abre en una pestaña nueva)
• Microsoft: Analizar el informe de la red inalámbrica (se abre en una pestaña nueva)
• FRITZ!: Limitar el acceso a través de Wi-Fi a determinados dispositivos (filtro de direcciones MAC) (se abre en una pestaña nueva)
• TP-Link: How to Block or Allow Devices on Your TP-Link Router (Access Control) (se abre en una pestaña nueva)
• TP-Link: How to configure the Wireless MAC address filter on TP-Link Wi-Fi Router (se abre en una pestaña nueva)
• ASUS: How to set up Wireless MAC Filter on ASUS Router (WiFi Deny List) (se abre en una pestaña nueva)
• NETGEAR: How do I use access control to allow or block devices on my Nighthawk router or Orbi system? (se abre en una pestaña nueva)
• INCIBE: 7 atributos que debe tener tu wifi y 9 consejos para configurarla (se abre en una pestaña nueva)