Cliente Shadowsocks: cómo elegirlo, configurarlo y usarlo en 2026

Un cliente Shadowsocks es la aplicación de tu dispositivo que se conecta a un servidor Shadowsocks y hace pasar tu tráfico por un túnel cifrado. Lo necesitas cada vez que alguien te da un enlace ss://, un código QR o un conjunto de datos del servidor, y la aplicación que elijas importa más de lo que parece: la mitad de los clientes que recomiendan las guías antiguas llevan años sin actualizarse, y algunos ni siquiera saben hablar con los servidores modernos.

Para la mayoría, la respuesta es corta. Outline es la opción gratuita más sencilla en cualquier plataforma, shadowsocks-android da más control en Android y sslocal, de shadowsocks-rust, cubre Linux, servidores y routers. A continuación vemos qué clientes siguen vivos en 2026, desmontamos un enlace ss://, configuramos cada plataforma y comprobamos que tu tráfico de verdad sale por el servidor, porque un icono verde de «conectado» no lo demuestra por sí solo.

Qué hace realmente un cliente Shadowsocks#

Shadowsocks es un protocolo de proxy cifrado. Apareció en 2012 como una forma de llegar a sitios que no están disponibles en algunas regiones, y hoy es uno de los protocolos más extendidos en redes con restricciones. Cualquier configuración tiene siempre dos mitades: un servidor en una red sin restricciones y un cliente en tu dispositivo.

El cliente hace tres trabajos:

1. Abre un proxy local. El cliente escucha en tu propio equipo, normalmente como proxy SOCKS5 en 127.0.0.1:1080. Algunos clientes también abren un proxy HTTP o una interfaz VPN para todo el sistema.
2. Cifra y reenvía. Cada conexión que tus aplicaciones mandan a ese proxy local se cifra con la clave compartida y se envía al servidor Shadowsocks.
3. Decide qué pasa por el túnel. Según el modo, puede ser todo el tráfico, solo el que coincide con unas reglas o solo las aplicaciones que tú configures para usarlo.

En el otro extremo, el servidor descifra el tráfico y abre la conexión real con el sitio web. El sitio ve la dirección IP del servidor en lugar de la tuya, mientras que tu proveedor de internet solo ve un flujo cifrado hacia un único servidor, sin ningún handshake de proxy visible.

Browser / app
   │  plain SOCKS5 or HTTP (only on your device)
   ▼
Shadowsocks client  127.0.0.1:1080
   │  encrypted Shadowsocks stream
   ▼
Shadowsocks server  (your VPS or provider)
   │  normal HTTPS
   ▼
Website

Hay dos ideas muy extendidas sobre Shadowsocks que son falsas:

• No es un proxy SOCKS5. El cliente habla SOCKS5 con tus aplicaciones, pero la conexión con el servidor usa otro protocolo, cifrado. Por eso no puedes apuntar un cliente Shadowsocks a un servidor SOCKS5 corriente, ni al revés.
• Por defecto no es una VPN completa. En el modo básico solo pasan por el túnel las aplicaciones que usan el proxy local, y las que ignoran la configuración de proxy salen directamente. Para cubrir todo el dispositivo, tienes que cambiar el cliente al modo VPN (TUN).

Los mejores clientes Shadowsocks en 2026#

Muchas listas siguen recomendando clientes abandonados hace tiempo, así que en octubre de 2026 revisamos el historial de versiones de cada uno. La tabla muestra en qué situación están.

Clientes oficiales y de un solo protocolo#

Cliente	Plataformas	Cifrados Shadowsocks 2022	Plugins	Estado en 2026
Outline Client	Windows, macOS, Linux, Android, iOS, ChromeOS	No, solo cifrados clásicos	No	En desarrollo activo; desde enero de 2026 lo gestiona la organización sin ánimo de lucro Outline Foundation
shadowsocks-android	Android	Sí	Sí, como aplicaciones aparte	Mantenido en GitHub (v5.3.4); la ficha de Google Play no se actualiza desde 2021
ShadowsocksX-NG	macOS	No	Sí	Última versión v1.10.3, de octubre de 2024; funciona de forma nativa en Apple Silicon
shadowsocks-rust (sslocal)	Linux, macOS, Windows, routers	Sí	Sí	La implementación de referencia, con versiones regulares (v1.25.0)
Shadowsocks for Windows	Windows	No	Sí	Sigue funcionando, pero la última versión (4.4.1.0) es de febrero de 2022
shadowsocks-libev, ahora shadowsocks-c	Linux, routers	Todavía no en una versión publicada	Sí	Recuperado con un nuevo nombre; la v3.3.6 salió en febrero de 2026
shadowsocks-qt5	Linux, Windows	No	No	Abandonado; usa sslocal o una aplicación multiprotocolo
Python shadowsocks (pip)	Cualquiera	No	No	Abandonado hace años, así que no lo uses
ShadowsocksR (SSR)	Varias	No	No	Un fork muerto con su propio protocolo, que los servidores modernos no aceptan

Clientes multiprotocolo que también hablan Shadowsocks#

Si más adelante puedes necesitar VLESS, Trojan o Hysteria, una sola aplicación puede gestionarlos todos junto con Shadowsocks:

• Escritorio: Clash Verge Rev, que se basa en el núcleo mihomo, y v2rayN.
• Android: NekoBox, Hiddify y la aplicación oficial de sing-box. NekoBox se actualiza despacio y su ficha de Google Play la gestiona un tercero, así que instálalo desde GitHub.
• iOS: la aplicación gratuita sing-box MT, a la que enlaza la documentación de sing-box, y Potatso, que sigue recibiendo actualizaciones en la App Store aunque su antiguo repositorio de código abierto esté abandonado. Las aplicaciones de pago como Shadowrocket, Stash y Surge añaden además enrutamiento basado en reglas.

Tanto sing-box como mihomo admiten los cifrados Shadowsocks 2022. También traen integrados los plugins más comunes, de modo que no tienes que instalarlos como programas aparte.

Elecciones rápidas#

• Lo más fácil en cualquier dispositivo: Outline. Pegas una clave y pulsas Connect.
• Android con control total: shadowsocks-android.
• Mac: ShadowsocksX-NG, o Clash Verge Rev si quieres reglas de enrutamiento y cifrados más nuevos.
• Linux, servidores y routers: sslocal de shadowsocks-rust.
• iPhone: Outline si buscas algo gratis, o una aplicación con reglas si necesitas enrutar por sitio, algo que Outline no ofrece.

Qué necesitas del servidor#

Todos los clientes Shadowsocks necesitan los mismos cuatro valores, tanto si los escribes a mano como si los importas:

Campo	Ejemplo	Notas
Servidor	203.0.113.10	Dirección IP o nombre de dominio
Puerto	8388	Cualquier puerto en el que escuche el servidor; el 443 es habitual
Contraseña / clave	Secret0	Debe coincidir exactamente con la del servidor
Cifrado (método)	chacha20-ietf-poly1305	Debe coincidir exactamente con el del servidor

Un cifrado o una contraseña incorrectos no producen un error claro. El cliente se conecta y luego no carga nada, y por eso es, con diferencia, el problema de configuración más frecuente.

Cómo leer un enlace ss://#

Los proveedores y los paneles de servidor suelen darte los cuatro valores en un único enlace con formato SIP002, a menudo acompañado de un código QR:

ss://Y2hhY2hhMjAtaWV0Zi1wb2x5MTMwNTpTZWNyZXQw@203.0.113.10:8388#Frankfurt

Parte	Significado
ss://	El esquema que reconoce cualquier cliente Shadowsocks
Y2hhY2hh…	El cifrado y la contraseña, chacha20-ietf-poly1305:Secret0, codificados en Base64 apto para URL
@203.0.113.10:8388	Dirección y puerto del servidor
#Frankfurt	Una etiqueta que muestra la aplicación y que no afecta a la conexión

Para comprobar qué te han dado, puedes decodificar la parte central con echo Y2hhY2hh… | base64 -d. Los enlaces con cifrados Shadowsocks 2022 tienen otro aspecto, porque la especificación prohíbe ahí el Base64. En ese caso el cifrado y la clave van en texto plano, con los caracteres especiales codificados con porcentajes. Si el servidor usa un plugin, el enlace lleva un parámetro /?plugin= después del puerto.

También puedes encontrarte con otros dos formatos que reparten servidores mediante una URL:

• URL de suscripción SIP008. Es un enlace HTTPS que devuelve una lista de servidores en JSON. El cliente la vuelve a descargar cada cierto tiempo (shadowsocks-rust lo hace cada hora por defecto), así que el proveedor puede cambiar los servidores sin mandarte enlaces nuevos.
• Claves ssconf:// de Outline. Son las claves de acceso dinámicas de Outline. La aplicación cambia ssconf:// por https:// y descarga de esa dirección los datos actuales del servidor.

Trata cualquiera de estos enlaces como una contraseña, ya que quien tenga el enlace puede usar tu servidor.

Qué cifrado usar#

Cifrado	Familia	¿Usarlo?
2022-blake3-aes-128-gcm, 2022-blake3-aes-256-gcm, 2022-blake3-chacha20-poly1305	Shadowsocks 2022	Sí, si lo admiten tanto el cliente como el servidor. Incluye protección contra ataques de repetición.
chacha20-ietf-poly1305	AEAD clásico	Sí. Cualquier cliente que cumpla la especificación debe admitirlo, y es la opción más rápida en móviles y routers.
aes-256-gcm, aes-128-gcm	AEAD clásico	Sí. Es lo más rápido en PC con AES por hardware.
aes-256-cfb, aes-128-ctr, rc4-md5, salsa20 y otros cifrados de flujo	Heredados	No. No tienen comprobación de integridad, y el propio proyecto los considera completamente rotos.

El riesgo de los cifrados de flujo no tiene nada de teórico. Un ataque publicado en 2020 demostró que alguien que hubiera grabado tu tráfico podía conseguir que lo descifrara un servidor que siguiera usando un cifrado de flujo con la misma contraseña.

Shadowsocks 2022 también cambia el funcionamiento de las claves, porque no acepta una contraseña cualquiera. La clave tiene que ser una secuencia de bytes aleatorios en Base64: 16 bytes para 2022-blake3-aes-128-gcm y 32 bytes para los otros dos. Puedes generarla con openssl rand -base64 16 o openssl rand -base64 32. Además, el protocolo comprueba las marcas de tiempo y trata como repetición cualquier mensaje con más de 30 segundos de desfase. En la práctica, eso significa que si el reloj de tu dispositivo se ha desviado medio minuto, todas las conexiones fallarán.

Cómo configurar un cliente Shadowsocks#

Primero copia tu enlace ss://. Todos los clientes de abajo pueden importarlo, así te ahorras escribir a mano el cifrado y la clave.

Windows#

La opción más sencilla es Outline:

1. Descarga Outline Client para Windows desde la web de Outline e instálalo.
2. Haz clic en Add server (añadir servidor), pega el enlace ss:// o la clave de acceso en el campo Paste access key here y confirma.
3. Haz clic en Connect y acepta el aviso de red la primera vez. A partir de ahí, todo el tráfico pasa por el túnel.

La opción clásica es Shadowsocks for Windows:

1. Descarga el ZIP más reciente desde la página de versiones del proyecto en GitHub y descomprímelo en una carpeta que vayas a conservar.
2. Instala .NET Framework 4.8 y Visual C++ 2015 Redistributable (x86) si Windows no los tiene, y luego ejecuta Shadowsocks.exe.
3. Haz clic derecho en el icono del avión de papel de la bandeja del sistema, abre Servers y elige Import URL from Clipboard…, o añade el servidor a mano en Edit Servers….
4. En System Proxy, elige PAC para enviar por el túnel solo los sitios de una lista, o Global para enviarlo todo.

macOS#

1. Descarga ShadowsocksX-NG.dmg desde la página de versiones en GitHub y arrastra la aplicación a Aplicaciones. Si macOS se niega a abrirla la primera vez, permítela en Ajustes del Sistema → Privacidad y seguridad.
2. En el icono de la barra de menús, elige Import Server URLs… o Scan QR Code From Screen. También puedes introducir los valores en Server Preferences….
3. Activa Shadowsocks y elige un modo: Auto Mode By PAC, Global Mode o Manual Mode, en el que solo usan el túnel las aplicaciones que configures tú mismo.

Linux (y routers, servidores, Docker)#

En Linux, usa sslocal de shadowsocks-rust. Puedes instalarlo con tu gestor de paquetes, con snap install shadowsocks-rust o brew install shadowsocks-rust, o descargar un binario ya compilado de la página de versiones.

La forma más rápida de empezar es pasarle el enlace directamente:

sslocal -b 127.0.0.1:1080 --server-url "ss://Y2hhY2hh...@203.0.113.10:8388"

Para una configuración permanente, pon los valores en un archivo de configuración:

{
  "server": "203.0.113.10",
  "server_port": 8388,
  "password": "Secret0",
  "method": "chacha20-ietf-poly1305",
  "local_address": "127.0.0.1",
  "local_port": 1080
}

sslocal -c config.json                    # SOCKS5 proxy on 127.0.0.1:1080
sslocal -c config.json --protocol http    # HTTP proxy instead

El paquete snap incluye además un servicio sslocal-daemon que puedes activar con systemd, y existe una imagen oficial de Docker, ghcr.io/shadowsocks/sslocal-rust.

Android#

1. Instala shadowsocks-android desde su página de versiones en GitHub. La versión de Google Play sigue funcionando, pero no se actualiza desde 2021.
2. Toca el icono de añadir perfil de la parte superior y elige Scan QR code, Import from Clipboard o Manual Settings.
3. Selecciona el perfil, toca el botón redondo de conexión y acepta la solicitud de VPN.
4. En los ajustes del perfil, configura Route (por ejemplo, Bypass LAN deja las direcciones locales fuera del túnel). Si solo algunas aplicaciones deben usar el túnel, activa Apps VPN mode y selecciónalas.

iPhone y iPad#

1. Instala Outline desde la App Store.
2. Copia el enlace ss://. Outline te ofrece añadirlo al abrir la aplicación, aunque también puedes tocar Add server y pegarlo.
3. Toca Connect y permite la configuración de VPN.

Las aplicaciones con reglas, como Shadowrocket o Potatso, funcionan igual: añades un servidor pegando el enlace o escaneando el código QR y luego lo activas. La diferencia es que pueden enviar por el túnel solo los sitios que elijas, mientras que Outline siempre lo envía todo.

Modos de enrutamiento: qué pasa realmente por el túnel#

El modo decide qué tráfico usa Shadowsocks, y elegir el equivocado es el segundo motivo más común por el que un cliente «que funciona» parece no hacer nada.

Modo	Qué pasa por el túnel	Útil para
Manual	Solo las aplicaciones que apuntes a 127.0.0.1:1080	Scripts, un perfil de navegador concreto, pruebas
Global (proxy del sistema)	Todas las aplicaciones que respetan el proxy del sistema	Navegar con todo el navegador dentro del túnel
PAC / Auto / reglas	Solo los dominios de una lista, mientras el resto sale directo	Mantener rápidos los sitios locales mientras los extranjeros usan el túnel
VPN / TUN	Todo el tráfico del dispositivo, incluido UDP y las aplicaciones que ignoran el proxy	Juegos, mensajería, móviles y todo lo que «no ve» el proxy

Outline y las aplicaciones móviles siempre funcionan en modo VPN. Los clientes de escritorio clásicos usan por defecto el proxy del sistema, mientras que las aplicaciones multiprotocolo como Clash Verge Rev y v2rayN te permiten activar un modo TUN.

Cómo usar el proxy local en aplicaciones concretas#

• Firefox: abre los Ajustes, busca «proxy» y haz clic en Configure proxy en la sección Proxy settings (configuración de red). Elige Manual proxy configuration, escribe 127.0.0.1 y el puerto 1080 en SOCKS Host, selecciona SOCKS v5 y asegúrate de que Proxy DNS when using SOCKS v5 está marcado. Las versiones recientes lo marcan por defecto, y sin esa casilla las consultas DNS se saltan el túnel.
• Chrome y Edge: siguen el proxy del sistema. Para enviar por el túnel un solo navegador, ábrelo con --proxy-server="socks5://127.0.0.1:1080". Con SOCKS5, Chrome siempre resuelve los nombres de dominio en el lado del proxy, así que el DNS no se filtra.
• Extensiones del navegador: un selector de proxy te permite enviar solo determinados sitios a través de 127.0.0.1:1080 y cambiar las reglas con un clic. El Proxy SwitchyOmega original ya no funciona en el Chrome actual, y su fork mantenido es ZeroOmega. En la Chrome Web Store también aparece un «SwitchyOmega V3» falso, así que revisa el editor antes de instalar nada. En Firefox, comprueba que la opción de DNS remoto de la extensión está activada.
• Línea de comandos: usa curl --socks5-hostname 127.0.0.1:1080 … o define ALL_PROXY=socks5h://127.0.0.1:1080. Muchas herramientas solo entienden proxies HTTP, y para ellas puedes ejecutar sslocal con --protocol http.
• Git: git config --global http.proxy socks5h://127.0.0.1:1080.

La h de socks5h es importante, porque le indica a la herramienta que resuelva los nombres de dominio a través del proxy y no con tu DNS local.

Comprueba que funciona de verdad#

Un icono verde solo significa que el cliente se ha iniciado. Para ver por dónde sale tu tráfico, ejecuta un comando:

curl --socks5-hostname 127.0.0.1:1080 https://ifconfig.me

Debería mostrar la dirección IP de tu servidor Shadowsocks y no la tuya. En modo VPN, ejecuta simplemente curl https://ifconfig.me sin la opción de proxy. Después, abre en el navegador una prueba de fugas de DNS. Los servidores DNS que aparezcan deberían pertenecer a la red del servidor o a un resolvedor público, y no a tu proveedor de internet de casa.

Plugins y cómo de detectable es Shadowsocks en 2026#

Plugins#

Shadowsocks puede pasar su tráfico a un plugin definido por el estándar SIP003, que lo envuelve en otro transporte. El plugin funciona en los dos extremos, así que el cliente necesita el mismo plugin que el servidor y con ajustes que coincidan (en v2ray-plugin, el mismo host, la misma ruta y la misma elección de TLS). Solo puede funcionar un plugin a la vez, y los plugins solo transportan tráfico TCP.

Plugin	Qué hace	Notas
v2ray-plugin	Envuelve el tráfico en WebSocket, opcionalmente con TLS	Puede funcionar detrás de una CDN o de un servidor web normal en el puerto 443
kcptun	Envía el tráfico por un protocolo basado en UDP pensado para enlaces con pérdidas	Ayuda en conexiones móviles inestables o de larga distancia, a cambio de consumir más ancho de banda
simple-obfs	Disfraza el tráfico como HTTP o TLS normal	Obsoleto; usa v2ray-plugin en su lugar
Cloak	Hace que el servidor parezca un sitio HTTPS corriente ante los sondeos	Necesita su propia configuración en cliente y servidor

Outline y muchas aplicaciones de iOS no ejecutan plugins. Si tu servidor usa uno, elige un cliente que tenga «Sí» en la columna de plugins de la tabla de arriba, o una aplicación multiprotocolo con el plugin integrado.

¿Se puede detectar Shadowsocks?#

Sí, con filtros de red bien equipados. Shadowsocks no tiene un handshake a la vista, porque el primer paquete ya lleva datos cifrados y todo el flujo parece una serie de bytes aleatorios. Ese diseño es también su punto débil. En noviembre de 2021, los sistemas de filtrado de regiones con restricciones empezaron a cortar las conexiones cuyo primer paquete parece «demasiado aleatorio».

Un equipo de investigadores de varias universidades de EE. UU. explicó cómo funciona en un artículo presentado en USENIX Security 2023. El sistema aplica reglas sencillas al primer paquete de datos, como la proporción de caracteres imprimibles, y solo revisa aproximadamente una cuarta parte de las conexiones. Aun así, los autores calcularon que podía atrapar alrededor del 0,6 % del tráfico normal de internet como daño colateral. En respuesta, shadowsocks-rust añadió a principios de 2022 prefijos de carga útil configurables, y Outline incorporó a su cliente una opción «prefix» parecida más adelante ese mismo año.

Esto es lo que significa en la práctica:

• En redes normales, como el wifi de un hotel o una cafetería, el cortafuegos de una oficina o un viaje de trabajo, Shadowsocks sin más, con un cifrado AEAD moderno o de 2022, funciona bien.
• En regiones con restricciones, ningún protocolo sigue accesible para siempre. Los protocolos que imitan tráfico TLS real, como VLESS con Reality o Trojan, suelen aguantar más hoy en día, y un cliente multiprotocolo te permite cambiar sin reinstalar nada.
• En cuanto a la privacidad, ten en cuenta que Shadowsocks no ofrece secreto perfecto hacia adelante (forward secrecy), ni siquiera en la edición 2022. Quien grabe tu tráfico y más tarde consiga la clave podrá descifrarlo, así que cambia las claves con regularidad y no compartas los enlaces con cualquiera.

Solución de problemas#

Síntoma	Causa probable	Solución
Conectado, pero no carga ningún sitio	El cifrado o la contraseña no coinciden con los del servidor	Vuelve a importar el enlace ss:// en lugar de escribir los valores, o decodifícalo para compararlos
La conexión agota el tiempo de espera	El servidor está caído, el puerto es incorrecto o está cerrado en tu red	Comprueba que el servidor funciona y prueba otro puerto, como el 443
El navegador funciona, pero otras aplicaciones no	Esas aplicaciones ignoran el proxy del sistema	Cambia al modo VPN/TUN o configura el proxy dentro de la propia aplicación
Los sitios siguen mostrando tu país real	El DNS o el tráfico se salta el túnel	Usa socks5h, marca «Proxy DNS» en Firefox o cambia al modo VPN
Con un cifrado 2022 fallan todas las conexiones	La clave no es un Base64 válido de 16 o 32 bytes, o el reloj del dispositivo tiene más de 30 segundos de desfase	Genera de nuevo la clave con openssl rand -base64 32 (16 para aes-128) y sincroniza el reloj
Error «Unsupported method»	El cliente no conoce el cifrado	Actualiza el cliente o usa chacha20-ietf-poly1305 en los dos extremos
No conecta con un servidor que usa plugin	El cliente no tiene el plugin, o sus ajustes no coinciden con los del servidor	Instala el mismo plugin con el mismo host, ruta y ajustes de TLS, o usa un cliente compatible con plugins
Funciona unos minutos y luego deja de hacerlo	Filtrado o limitación de velocidad en la red	Prueba un plugin, otro puerto o un protocolo basado en TLS
Velocidad lenta	Servidor lejano, VPS saturado o un enlace móvil con pérdidas	Elige un servidor más cercano y prueba kcptun en conexiones inestables

Shadowsocks frente a proxy SOCKS5 frente a VPN#

Estas tres herramientas resuelven problemas distintos, y es habitual elegir la que no toca.

	Shadowsocks	Proxy SOCKS5	VPN (WireGuard, OpenVPN)
Cifrado hasta el servidor	Sí	No; el tráfico y el inicio de sesión se ven en la red	Sí
Cómo se ve	Bytes aleatorios, sin handshake	Un handshake de proxy reconocible	Un handshake de VPN reconocible
Qué cubre	Las aplicaciones que usan el proxy local, o todo el dispositivo en modo TUN	Las aplicaciones que configures	Todo el dispositivo
Configuración típica	Un servidor privado compartido por unas pocas personas	Muchas IP de un proveedor	Un servidor o la red de un proveedor
Ideal para	Redes filtradas y regiones con restricciones	Scraping, automatización, trabajo con varias cuentas, pruebas geográficas	Privacidad diaria en redes que no son de confianza

Shadowsocks te da un único túnel cifrado difícil de detectar, pero solo una dirección de salida. La recopilación de datos y la automatización necesitan justo lo contrario, muchas IP de salida sin la sobrecarga del cifrado, y para esa tarea encajan mejor los proxies SOCKS5. Si solo quieres proteger todo un dispositivo en una wifi pública, una VPN como FineVPN es más sencilla que mantener tu propio servidor Shadowsocks.