NetGuard: el firewall por aplicación para Android sin root

Buscas “netguard apk” y el primer resultado no siempre es el bueno: puede ser un mirror con una build adulterada. De hecho llegó a existir una aplicación maliciosa que se hacía pasar por NetGuard usando su mismo nombre de paquete.

Por eso empezamos por lo importante: la descarga oficial y segura está en Google Play, F-Droid y las releases de GitHub del propio desarrollador, y comprobar la firma antes de instalar es la otra mitad del trabajo.

NetGuard es una aplicación de código abierto que hace una sola cosa y la hace bien: cortar el acceso a internet, aplicación por aplicación, sin necesidad de root. Es el clásico del cortafuegos sin root en Android, lo mantiene una sola persona desde 2015 y sigue siendo la referencia.

La usamos en el lab sobre un dispositivo Android para esta guía. La clave que las páginas de APK suelen saltarse: NetGuard no funciona como una VPN remota, sino que filtra dentro del propio teléfono, sin sacar tu tráfico, y por eso no puede correr a la vez que otra app basada en VpnService.

NetGuard es un firewall de código abierto para Android que bloquea el acceso a internet aplicación por aplicación, sin necesidad de root. Filtra el tráfico dentro del propio teléfono —no lo manda a ningún servidor remoto— y se descarga gratis y de forma segura desde F-Droid, GitHub o Google Play.

Qué es NetGuard y por qué sigue siendo el firewall sin root de referencia

NetGuard (paquete eu.faircode.netguard) es el primer cortafuegos sin root de código abierto para Android, creado por Marcel Bokhorst (M66B). Es software libre bajo licencia GPL-3.0-only, con el código completo publicado en el repositorio oficial de NetGuard en GitHub.

No lleva anuncios, no incluye analíticas y no manda tu actividad a un servidor de telemetría; esa transparencia es justo lo que lo separó siempre de las decenas de “firewalls” de la tienda que piden permisos de más.

NetGuard te da una lista de todas las aplicaciones instaladas y, con un par de interruptores, decides cuáles pueden usar internet y cuáles no. Puedes cortar el acceso por Wi-Fi, por datos móviles, o por ambos, de forma independiente para cada app.

Ese control por aplicación e interfaz, sin root y sin complicaciones, es lo que lo mantiene vigente frente a herramientas más completas pero más pesadas.

Descarga segura de NetGuard (oficial)

Si buscaste «NetGuard APK» para descargar NetGuard, esta es la parte que te importa. Hay tres vías oficiales para instalarlo, todas con el mismo código de Marcel Bokhorst por detrás; la diferencia está en las funciones que incluye cada una, en quién compila y firma el APK y en la comodidad de las actualizaciones.

Google Play

La forma más cómoda: la publica el propio Marcel Bokhorst (FairCode B.V.) y se actualiza sola. El detalle a tener en cuenta es que la versión de Google Play viene recortada: por las políticas de distribución de la tienda, no incluye el bloqueo de anuncios y rastreadores por archivo de hosts ni el reenvío de puertos.

Si solo quieres cortar internet a ciertas apps, cumple de sobra.

F-Droid (recomendado)

Si quieres las funciones que la versión de Google Play deja fuera, esta es la vía. La versión de F-Droid (paquete eu.faircode.netguard) trae el filtrado por hosts y el reenvío de puertos que la de Play no tiene; puedes instalarla desde la ficha oficial de NetGuard en F-Droid.

Es la que recomendamos para quien necesita esas dos funciones, a cambio de actualizar desde la propia app de F-Droid en lugar de la tienda de Google.

Un detalle importante: F-Droid compila y firma la app con su propia clave, distinta a la del desarrollador, y publica sus actualizaciones según su propio calendario; por eso, si un día cambias entre la versión de F-Droid y la de GitHub o Play, Android te pedirá desinstalar y reinstalar, porque las firmas no coinciden.

GitHub Releases

La tercera vía es descargar el APK directamente de las releases oficiales en GitHub (github.com/M66B/NetGuard). Al igual que la de F-Droid, incluye el filtrado por hosts y el reenvío de puertos que faltan en la versión de Google Play.

Es la opción para quien prefiere el archivo firmado por el desarrollador sin pasar por ninguna tienda. Al cierre de esta guía la versión era la 2.337 (agosto de 2026), y el proyecto sigue mantenido de forma activa.

Cómo comprobar que descargaste el NetGuard oficial

Este paso es el que de verdad te protege. Hubo una aplicación en la tienda de Samsung, titulada “Play Music – MP3 Music player”, que usaba el mismo nombre de paquete que NetGuard (eu.faircode.netguard) y podía instalarse como si fuera una actualización, sin tu confirmación; el propio desarrollador la reportó a Samsung.

Aquí hay que separar tres cosas que no son lo mismo: el nombre del paquete solo identifica la app dentro de Android; la procedencia es de dónde bajaste el archivo; y la firma es la clave con la que se compiló. Que el nombre del paquete coincida no prueba nada por sí solo.

Para no caer en una copia adulterada, baja solo desde Google Play, F-Droid o las releases de GitHub del proyecto, y evita los mirrors de APK de terceros. Si instalas un APK a mano, esa procedencia hay que rematarla comprobando que la firma corresponda a la del canal oficial que elegiste antes de darle permisos —recuerda que la de F-Droid y la del desarrollador son distintas—.

Si no puedes confirmar ni el canal de origen ni la firma, no lo instales.

Requisitos y cómo funciona sin root

NetGuard funciona en Android 6.0 o superior (minSdkVersion 23) en sus builds actuales y no pide root. La forma en que lo consigue es importante de entender, porque de ahí sale su principal límite.

Para poder filtrar el tráfico sin permisos de superusuario, NetGuard usa el VpnService de Android: levanta un túnel local, dentro del propio teléfono, por donde pasa el tráfico para aplicarle sus reglas. Eso significa que no funciona como una VPN remota: no redirige tu tráfico a un servidor VPN externo antes de mandarlo a su destino.

El tráfico que permites sí sale al sitio al que va, como siempre, pero el filtrado ocurre en el móvil, sin meter a un proveedor de VPN de por medio. Y ahí está la clave de su privacidad: NetGuard no necesita un tercero para hacer su trabajo.

Esa misma mecánica trae una consecuencia inevitable: Android solo permite una VPN activa a la vez, y como NetGuard ocupa esa ranura, no puede correr al mismo tiempo que otra aplicación de VPN ni que otro firewall basado en VpnService.

No es un capricho de la app, es una limitación de la plataforma. Si usas una VPN comercial siempre activa, tendrás que elegir una u otra.

Casos de uso: bloquear internet a las apps

Esto es lo que harás el 90 % del tiempo. El control principal está en la lista de aplicaciones, con los interruptores de Wi-Fi y datos; las reglas condicionadas y el bloqueo por hosts viven en sus propios apartados, y también los vemos aquí.

Bloquear internet a una aplicación en Android es la función estrella y se hace así:

1. Abre NetGuard y pulsa el botón de arranque para activar el firewall (Android te mostrará la solicitud de conexión VPN local; acéptala).
2. Busca la aplicación en la lista.
3. Toca el icono de Wi-Fi para cortarle el acceso por Wi-Fi y el de datos móviles para cortárselo por la red móvil.
4. Un icono en rojo o tachado indica que esa app ya no puede salir a internet por esa interfaz. Listo: el cambio es inmediato.

Permitir Wi-Fi pero no datos (o al revés). Como los dos interruptores son independientes, puedes dejar que una app funcione solo con Wi-Fi y se quede sin conexión cuando estás con datos móviles. Es útil para apps que consumen mucho o que solo quieres usar en casa.

Bloquear apps con la pantalla apagada. NetGuard permite cortar el acceso a una app cuando la pantalla está apagada, de modo que solo tenga internet mientras la usas.

Y aquí hay que ser precisos: Android no deja que una app consulte de forma fiable si otra está en primer o segundo plano sin un permiso invasivo y un sondeo constante que gasta batería. Por eso la condición que NetGuard ofrece es la de pantalla encendida, no un “modo segundo plano” real.

Aun así, para frenar telemetría y conexiones silenciosas cumple, porque casi todo ese ruido ocurre con el teléfono en reposo.

Bloquear rastreadores por hosts (solo F-Droid/GitHub). En las versiones que no vienen de Play, NetGuard puede usar un archivo de hosts para bloquear dominios de anuncios y rastreadores en todo el dispositivo, antes de que las apps lleguen a conectarse. Recuerda: esta función no está en la versión de Google Play.

Esto corta los rastreadores a nivel de red; si además quieres ver cuáles esconde cada app por dentro, se complementa con App Manager.

¿NetGuard es seguro?

Es la pregunta que más gente busca antes de instalarlo, y la respuesta corta es sí, con argumentos concretos. NetGuard es código abierto (GPL-3.0), así que su funcionamiento se puede revisar a fondo; no lleva anuncios ni analíticas y no manda tu actividad a un servidor de telemetría.

El filtrado se ejecuta en local, sin encaminar tu tráfico por un servidor VPN remoto, y ahí está su ventaja frente a un “firewall” gratuito que sí depende de servidores externos para funcionar.

Un matiz, y conviene decirlo: de forma opcional, NetGuard puede consultar un servicio externo (ipinfo.io) para mostrarte el nombre y la organización detrás de cada dirección IP.

No es telemetría ni envía tu tráfico, es una consulta de conveniencia para etiquetar conexiones, y se puede desactivar desde el menú de tres puntos si prefieres que la app no haga ninguna conexión propia.

Aquí va un aviso, porque es donde más gente tropieza. NetGuard tiene una versión Pro de pago que añade funciones como el registro completo de tráfico con exportación, filtrar y bloquear por dirección, el aviso de aplicaciones nuevas, el gráfico de velocidad y temas adicionales.

Esas funciones solo son legítimas si las compras dentro de la app (o las desbloqueas mediante una donación al proyecto).

Todo lo que circula por ahí como “NetGuard Pro apk” o “NetGuard mod apk” es una versión pirateada: no la ofrecemos, no la enlazamos y no la instales, porque es precisamente el tipo de archivo por el que acaba colándose el malware. Si quieres el Pro, se compra; si no, la versión gratuita ya hace lo esencial.

NetGuard vs RethinkDNS: cuál elegir

Si estás comparando cortafuegos sin root, la duda habitual es entre estos dos. NetGuard es el firewall simple y directo: interruptores de Wi-Fi y datos por aplicación, liviano, fácil de entender. Si lo único que quieres es cortar internet a ciertas apps y nada más, es la elección obvia.

RethinkDNS juega en otra liga de complejidad: suma DNS cifrado con listas de bloqueo y un monitor de conexiones en vivo que te muestra a qué dominios habla cada app. Más potente, pero con más curva de aprendizaje. Lo desglosamos en nuestra guía de RethinkDNS, firewall y DNS privado en Android sin root.

Un aviso que vale para los dos: ambos usan el VpnService de Android, así que no pueden correr a la vez (ni entre ellos, ni junto a una VPN comercial). Tienes que elegir cuál ocupa esa única ranura VPN del sistema.

Más formas de aumentar la seguridad en Android

Cortar el tráfico de las apps es una capa del rompecabezas, no todo. Si quieres el panorama completo —permisos, actualizaciones, cifrado, copias de seguridad y el resto de piezas que endurecen un teléfono— lo reunimos en nuestra guía de cómo aumentar la seguridad de tu dispositivo Android, desde donde puedes ir tirando del hilo hacia cada herramienta.

Y si te gusta la filosofía de NetGuard —potente, libre y sin root—, no es la única: reunimos las mejores en nuestra selección de aplicaciones para Android sin root.

Preguntas frecuentes