sing-box vs Xray 2026: la verdadera diferencia es el alcance

Respuesta corta: ¿quieres un setup anticensura VLESS + REALITY especializado, probado y con la mayor reserva de guías? Elige Xray. ¿Quieres un único binario que sea cliente y servidor y que además hable los nuevos protocolos QUIC (Hysteria2, TUIC)? También suma Shadowsocks, VMess, VLESS, Trojan y WireGuard, así que elige sing-box. Ambos admiten REALITY. La verdadera elección es entre una herramienta especializada y una caja de herramientas todo en uno. ¿Eres nuevo en estos protocolos? Empieza por nuestra guía de configuración de V2Ray / VMess / VLESS.

Elijas el que elijas, la parte servidor corre en un VPS fuera de la red censurada. Una opción que encaja es un VPS Cloud de Contabo con Ubuntu 24.04 (enlace de afiliado), desde 5,50 € al mes con un plazo de 24 meses (precio consultado el 17 de octubre de 2026); elige un centro de datos cercano a tus usuarios para reducir la latencia. Otra opción: HostPapa Unmanaged VPS Lite (enlace de afiliado) por 2,95 $ al mes con un plazo de 3 años, luego a la tarifa normal (1 núcleo, 1 GB de RAM, 25 GB NVMe, acceso root por SSH, garantía de reembolso de 30 días, consultado el 28 de octubre de 2026).

¿Tarjeta bancaria rechazada? Ultahost también acepta Bitcoin y otras criptomonedas, Alipay, WeChat Pay y Qiwi (su página de pagos, leída el 25 de octubre de 2026). Es un enlace de afiliado; revisa sus condiciones para tu país antes de contratar.

¿Todavía no lo tienes claro? No hace falta decidir antes de probar. Nuestro generador de config VLESS REALITY gratuito escribe las configs de servidor y cliente para los dos núcleos con las mismas claves, y si ya tienes un enlace vless:// o vmess://, el convertidor de enlaces lo convierte en una config de Xray y otra de sing-box, una al lado de la otra, con una revisión de seguridad del enlace. Las dos herramientas funcionan en tu navegador.

REALITY necesita un servidor que controles

¿Más RAM para el mismo uso? ver la oferta Contabo Cloud VPS

Enlace de afiliado: podemos recibir una comisión, sin coste extra para ti. El generador sigue siendo gratuito y no depende de ello.

Ver HostPapa VPS Lite, 2,95 $/mes a 3 años

Todo ocurre en tu navegador: claves, UUID y configuraciones se generan en local y no se envían a ningún sitio.

Dirección del servidor

La IP pública de tu VPS (o un dominio que apunte a ella). Se usa en la configuración del cliente y en el enlace.

Puerto

443 es lo habitual: REALITY imita HTTPS.

Sitio destino (SNI)

Un sitio de terceros con TLS 1.3 y HTTP/2, accesible desde tus clientes. Mira la lista de comprobación bajo la herramienta.

Nombre del perfil

Huella uTLS (cliente)

chromefirefoxsafariiosandroidedgerandom

La huella TLS que imita el cliente. chrome es la opción habitual.

Par de claves X25519

Clave privada (servidor)

Clave pública (clientes)

Nuevo parDerivar clave pública

La clave privada va solo en el servidor. La pública va a cada cliente.

UUID del usuario

Nuevo

Short ID

Nuevo

Hexadecimal, longitud par, hasta 16 caracteres.

• Faltan las claves o no son válidas (32 bytes, base64url, 43 caracteres). Genera un par o pega el tuyo.

Enlace vless:// para compartir

vless://@203.0.113.10:443?encryption=none&flow=xtls-rprx-vision&security=reality&sni=www.example.com&fp=chrome&pbk=&sid=&type=tcp&headerType=none#my-reality

Copiar

Impórtalo en v2rayN, v2rayNG, Hiddify, Streisand o Shadowrocket, o escanea el código QR.

Xray-coresing-box

config.json- Servidor Xray, /usr/local/etc/xray/config.json

CopiarDescargar

{
  "log": {
    "loglevel": "warning"
  },
  "inbounds": [
    {
      "listen": "0.0.0.0",
      "port": 443,
      "protocol": "vless",
      "settings": {
        "clients": [
          {
            "id": "",
            "flow": "xtls-rprx-vision",
            "email": "my-reality"
          }
        ],
        "decryption": "none"
      },
      "streamSettings": {
        "network": "tcp",
        "security": "reality",
        "realitySettings": {
          "show": false,
          "target": "www.example.com:443",
          "xver": 0,
          "serverNames": [
            "www.example.com"
          ],
          "privateKey": "",
          "shortIds": [
            ""
          ]
        }
      },
      "sniffing": {
        "enabled": true,
        "destOverride": [
          "http",
          "tls",
          "quic"
        ],
        "routeOnly": true
      }
    }
  ],
  "outbounds": [
    {
      "protocol": "freedom",
      "tag": "direct"
    },
    {
      "protocol": "blackhole",
      "tag": "block"
    }
  ]
}

client-xray.json- Cliente Xray, SOCKS 127.0.0.1:10808 y HTTP 10809

CopiarDescargar

{
  "log": {
    "loglevel": "warning"
  },
  "inbounds": [
    {
      "listen": "127.0.0.1",
      "port": 10808,
      "protocol": "socks",
      "settings": {
        "udp": true
      }
    },
    {
      "listen": "127.0.0.1",
      "port": 10809,
      "protocol": "http"
    }
  ],
  "outbounds": [
    {
      "protocol": "vless",
      "tag": "proxy",
      "settings": {
        "vnext": [
          {
            "address": "203.0.113.10",
            "port": 443,
            "users": [
              {
                "id": "",
                "flow": "xtls-rprx-vision",
                "encryption": "none"
              }
            ]
          }
        ]
      },
      "streamSettings": {
        "network": "tcp",
        "security": "reality",
        "realitySettings": {
          "serverName": "www.example.com",
          "fingerprint": "chrome",
          "publicKey": "",
          "shortId": "",
          "spiderX": "/"
        }
      }
    },
    {
      "protocol": "freedom",
      "tag": "direct"
    }
  ]
}

install.sh- instalar, comprobar y arrancar en el servidor

CopiarDescargar

# Instalar Xray-core con el script oficial (servicio systemd incluido)
bash -c "$(curl -L https://github.com/XTLS/Xray-install/raw/main/install-release.sh)" @ install

# Opcional: confirmar que la clave pública corresponde a la privada
xray x25519 -i ""

# Comprobar que el destino responde en TLS 1.3 y HTTP/2
xray tls ping www.example.com

# Abrir el puerto
sudo ufw allow 443/tcp

# Pegar la configuración del servidor, probarla y arrancar el servicio
sudo nano /usr/local/etc/xray/config.json
xray run -test -c /usr/local/etc/xray/config.json
sudo systemctl restart xray && sudo systemctl enable xray

# Seguir el registro mientras se conecta el primer cliente
sudo journalctl -u xray -f

REALITY necesita un servidor que controles

Un servidor REALITY es un VPS con IP pública y el puerto 443 libre, nada más. El VPS de entrada de Contabo incluye IPv4 pública, acceso root y mucho tráfico, y puedes elegir el datacenter más cercano a tus usuarios.

Segunda opción, un proveedor estadounidense con 30 días de devolución: el VPS Basic de Ultahost, 5,52 $/mes a 24 meses, 1 CPU, 1 GB DDR5 e IPv4 dedicada (leído el 21 de octubre de 2026), suficiente para un servidor Xray. También acepta Bitcoin y otras criptomonedas, Alipay, WeChat Pay y Qiwi (su página de pagos, leída el 25 de octubre de 2026), útil si tu tarjeta bancaria es rechazada; revisa sus condiciones para tu país antes de contratar. Ver VPS de Ultahost

Enlace de afiliado: podemos recibir una comisión, sin coste extra para ti. El generador sigue siendo gratuito y no depende de ello.

Ver el VPS de Contabo

¿Prefieres archivos ya probados de principio a fin?

El pack de configuración VLESS + REALITY incluye un servidor Xray comentado en el puerto 443, un cliente de escritorio (proxy SOCKS5 y HTTP local), una plantilla de enlace vless:// para v2rayN, v2rayNG y Shadowrocket, y dos cosas que este generador no escribe: una variante del servidor con contadores de tráfico por dispositivo y un README con una lista de solución de problemas en 10 puntos. Cada archivo JSON pasa xray run -test con Xray-core 26.10.31. Solo Xray-core, sin archivos sing-box.

Ver el pack de configuración VLESS + REALITY (4,90 EUR)

Producto propio, pago único, ZIP de archivos de texto en inglés (página en inglés). Plantillas para tu propio servidor, no una suscripción VPN, y sin promesa de que REALITY siga pasando un DPI concreto. Los archivos generados arriba funcionan sin él.

¿Qué es sing-box y qué es Xray?

• V2Ray (Project V): la plataforma proxy multiprotocolo original. Introdujo VMess y más tarde VLESS, con transportes como TCP, WebSocket, HTTP/2, gRPC y QUIC. Sigue siendo la referencia principal, pero su núcleo original no tiene REALITY.
• Xray: un fork de V2Ray que añadió XTLS Vision y REALITY. Es el núcleo en el que más se trabaja para sortear la censura. La mayoría de los setups «V2Ray» anti-GFW en 2026 ejecutan en realidad Xray por debajo. (Cubrimos un setup completo en nuestra guía V2Ray / VMess y VLESS.)
• sing-box: se escribe a menudo singbox en foros y buscadores, mientras que el propio proyecto lo escribe con guion; el binario, el paquete y la clave de configuración son todos sing-box. Es una plataforma todo en uno más reciente (Go, binario único). Ejecuta muchos protocolos como cliente y como servidor: Shadowsocks, VMess, VLESS, Trojan, Hysteria/Hysteria2, TUIC, WireGuard, ShadowTLS y más. Añade TLS/REALITY y varios transportes. Hay apps para Android (SFA), iOS (SFI) y macOS (SFM).

Comparación lado a lado

¿Cuál elegir, sing-box o Xray?

• Elige Xray si tu único objetivo es un setup VLESS + REALITY robusto frente a un DPI agresivo (el GFW de China, Irán, Rusia) y quieres el camino mejor documentado. Hace muy bien esa tarea concreta.
• Elige sing-box si quieres reunirlo todo en una sola herramienta: un binario para el servidor y todos tus dispositivos, libertad para probar Hysteria2/TUIC (protocolos UDP/QUIC que pueden rendir mejor en redes con pérdidas o estranguladas) y WireGuard integrado. Es la mejor base «navaja suiza» si prevés cambiar de protocolo.
• ¿No lo tienes claro? Ambos funcionan en un VPS pequeño (qué VPS conviene para V2Ray/Xray) y ambos admiten REALITY, así que ninguno es una mala respuesta. Empieza por el que corresponda a la guía que de verdad vayas a seguir. Para VLESS + REALITY suele ser Xray. Para un laboratorio multiprotocolo, sing-box.

Qué necesitas para probar uno

Ambos núcleos funcionan en cualquier VPS Linux pequeño con IP pública, y el servidor es la única pieza que no se puede pedir prestada: tiene que estar fuera de la red que te filtra. Nuestro generador de configuración VLESS REALITY gratuito escribe las configuraciones de servidor y cliente para Xray y para sing-box con las mismas claves, generadas en tu navegador, así que puedes instalar un núcleo, probarlo y pasar al otro sin regenerar nada.

Si te conectas desde China o Irán, la ubicación del centro de datos importa más que las especificaciones. Contabo tiene centros en Singapur y Tokio además de Europa y Estados Unidos, y su plan de entrada (4 vCPU, 8 GB de RAM, 5,50 €/mes durante los primeros 24 meses) supera con creces lo que necesita un proxy personal. Ningún proveedor garantiza que sus rangos de IP sigan siendo accesibles, así que trata el servidor como reemplazable y ten tu configuración lista para volver a desplegarla en una IP nueva.

Protocolos y transportes de un vistazo

Los dos núcleos coinciden en los protocolos proxy clásicos, pero divergen en los más recientes. Es la diferencia factual más clara entre ellos.

• Terreno común: ambos hablan VLESS, VMess, Trojan y Shadowsocks, y ambos admiten REALITY y TLS. Los dos ofrecen además transportes habituales como TCP, WebSocket, HTTP/2 y gRPC. Así que, para un túnel VLESS + REALITY, cualquiera de los dos te sirve.
• El enfoque de Xray: el núcleo Xray está construido en torno a la pila VLESS + XTLS Vision + REALITY. XTLS Vision es el diseño propio de control de flujo de Xray, que reduce la sobrecarga «TLS dentro de TLS» de tunelizar tráfico TLS dentro de un proxy TLS. Es el setup por el que Xray es más conocido y mejor documentado.
• Los protocolos adicionales de sing-box: sing-box añade en el mismo binario protocolos más recientes basados en QUIC/UDP, en particular Hysteria/Hysteria2 y TUIC, además de WireGuard como inbound/outbound integrado y ShadowTLS. Esa amplitud es la razón principal para optar por sing-box en lugar de Xray.

¿Cuál resiste mejor la inspección profunda de paquetes?

Ambos proyectos tratan REALITY como su primera línea frente a la inspección profunda de paquetes. REALITY funciona tomando prestado el handshake TLS real de un sitio legítimo de terceros (un diseño de «robar el handshake de otro»), de modo que, para un observador, la conexión parece HTTPS normal hacia ese sitio y no un proxy. Lo decisivo es que está diseñado para resistir el sondeo activo, en el que un censor se conecta a tu servidor para ver si se comporta como un proxy: como REALITY reenvía los sondeos inesperados hacia el sitio de destino auténtico, el sondeo recibe una respuesta TLS normal en lugar de la firma reveladora de un proxy.

Xray es el proyecto en el que se introdujo REALITY y en el que XTLS Vision reduce la huella de doble cifrado de un túnel TLS. sing-box también implementa REALITY y lo superpone a su conjunto de protocolos más amplio, de modo que puedes combinar REALITY con, por ejemplo, un protocolo basado en QUIC en otro endpoint. Ningún enfoque garantiza saltarse el bloqueo: los sistemas de censura cambian, y la postura honesta es que el anti-DPI es un juego del gato y el ratón permanente, no un problema resuelto.

Diseño y gobernanza

Los proyectos proceden de linajes distintos, y eso determina cómo está construido cada uno.

• sing-box (SagerNet) es un binario único multipropósito: el mismo ejecutable es cliente y servidor, con reglas de enrutamiento, gestión de DNS y múltiples inbounds/outbounds configurados en un solo archivo JSON unificado. Es el más reciente de los dos y aspira a ser una plataforma universal, más que la referencia de un protocolo.
• Xray (Project XTLS) es un fork comunitario de V2Ray (Project V). Se mantiene cerca del papel de núcleo proxy: es ante todo el motor, y la experiencia de cliente suelen aportarla apps de terceros independientes. Su identidad está ligada a XTLS Vision y REALITY, las funciones anti-detección que inauguró.

Así que la división no es solo función por función. Es una caja de herramientas todo en uno frente a un núcleo proxy especializado rodeado de un gran ecosistema de clientes.

Las licencias no son las mismas, y las comparativas siempre lo omiten

Ambos proyectos son de código abierto, y la mayoría de las comparativas se quedan en esa palabra. No están bajo los mismos términos, y es el tipo de diferencia que importa si distribuyes algo construido sobre uno de ellos.

Xray-core está bajo Mozilla Public License 2.0. La API de GitHub la normaliza como MPL-2.0. Es un copyleft a nivel de archivo: si modificas un archivo MPL, ese archivo sigue siendo MPL, pero puedes combinarlo con código bajo otras licencias.

sing-box está bajo GPL versión 3 o posterior, más una cláusula propia. Su archivo LICENSE incluye la concesión estándar GPLv3 o posterior y después añade:

In addition, no derivative work may use the name or imply association with this application without prior consent.

(Es decir: ninguna obra derivada puede usar el nombre ni sugerir una asociación con esta aplicación sin consentimiento previo.) Esa frase añadida explica por qué GitHub no la normaliza: la API indica Other / NOASSERTION en lugar de GPL-3.0, porque el texto ya no es la licencia sin modificar. (Ambos valores leídos en la API de GitHub el 20 de agosto de 2026, junto con 41.119 estrellas para Xray-core y 37.139 para sing-box.)

Si autoalojas para tu propio uso, nada de esto te afecta: ejecutar software no es redistribuirlo. Si estás construyendo un producto, un servicio o un appliance sobre uno de estos núcleos, «GPLv3 o posterior con restricción de nombre» y «MPL-2.0» son puntos de partida muy distintos, y es una cuestión para quien gestione tus licencias, no algo que zanjar a partir de un artículo comparativo.

¿Qué clientes funcionan con sing-box y Xray?

En el uso diario, la forma de conectarte importa tanto como el núcleo del servidor.

• Apps cliente: sing-box ofrece apps oficiales complementarias (SFA para Android, SFI para iOS y SFM para macOS) que ejecutan el mismo núcleo en el dispositivo. Xray no publica apps propias para el usuario final; en su lugar va integrado en clientes de terceros populares como v2rayNG en Android y Shadowrocket en iOS, que mucha gente ya usa.
• Configuración: ambos núcleos se configuran en JSON. sing-box usa un esquema unificado que cubre inbounds, outbounds, DNS y reglas de enrutamiento en un solo archivo, lo que encaja con un setup todo en uno. El JSON de Xray se centra en el inbound/outbound del proxy, con su propio bloque de enrutamiento. Ninguno es trivial, y ambos esquemas cambian entre versiones: es en la configuración, no en la instalación, donde fallan la mayoría de los setups.

«¿sing-box o v2rayN?» es la comparación equivocada

Esta pregunta aparece constantemente, y mezcla dos tipos de software distintos.

sing-box es un núcleo. Habla los protocolos, termina el túnel y enruta el tráfico. v2rayN es un cliente: una interfaz de escritorio para Windows que gestiona tus perfiles, importa enlaces de suscripción y arranca y detiene la conexión. No implementa los protocolos por sí mismo: maneja un núcleo por debajo. Según la versión que instales, ese núcleo es V2Ray, Xray o sing-box.

Así que no son alternativas. La forma honesta de plantear la decisión tiene dos partes:

• ¿Qué núcleo quieres que gestione el protocolo y la resistencia al DPI, sing-box o Xray? Es la comparación que esta página hace más arriba.
• ¿Qué cliente quieres que lo maneje en tu máquina? En Windows, v2rayN es la respuesta habitual sea cual sea el núcleo que elijas. En Android el equivalente es v2rayNG, y sing-box también ofrece sus propias apps oficiales (SFA, SFI, SFM).

Si ya usas v2rayN y te preguntas si «pasarte a sing-box», lo que en realidad te estás planteando es cambiar el núcleo que lanza, no sustituir la aplicación. Comprueba qué núcleos admite tu versión de v2rayN antes de dar nada por sentado, porque eso varía según la versión.

¿Cómo migrar de Xray a sing-box?

Una pregunta que surge una vez hecha la elección: ¿basta con convertir el archivo de configuración? No editándolo a mano, no. Una migración de V2Ray a sing-box vuelve a crear la configuración en lugar de traducirla: los dos núcleos describen la misma conexión con nombres de clave distintos, así que ningún buscar y reemplazar te lleva hasta ahí.

La forma de la diferencia, tomando como ejemplo un outbound VMess:

Dos notas prácticas además del cambio de nombres. La documentación actual de Xray muestra el outbound VMess con address, port e id directamente bajo settings, en lugar del antiguo array vnext que muchos ejemplos publicados siguen usando, así que ni siquiera las configuraciones del mismo linaje se parecen todas. Y sing-box separa en tls y transport lo que Xray mantiene junto bajo streamSettings, que es donde suele fallar una copia mecánica campo por campo.

El camino fiable es, por tanto, escribir el outbound de sing-box a partir de los parámetros del servidor que ya conoces (host, puerto, UUID, transporte, ajustes TLS) y no a partir del archivo antiguo, y después validarlo antes de ejecutar nada: sing-box check -c config.json informa de los errores de esquema, y sing-box format -w -c config.json reescribe el archivo en forma canónica. Como dice la advertencia más abajo, comprueba los nombres de los campos en la documentación actual de la versión que realmente has instalado, porque estos esquemas cambian entre versiones.

Si usas v2rayN en Windows, la migración es otro trabajo. Ahí no reescribes una configuración de servidor, sino que cambias el núcleo que maneja el cliente, ya que v2rayN puede ejecutar el núcleo Xray o el núcleo sing-box bajo la misma interfaz. Eso cambia qué opciones muestra la interfaz gráfica y, sobre todo, qué componente resuelve el DNS. Explicamos ese cambio y su trampa recurrente en v2rayN con el núcleo sing-box.

¿Qué servidor necesitas para ejecutar cualquiera de los dos?

Si WireGuard a secas basta para tu red y no necesitas un protocolo ofuscado, nuestro generador de configuración WireGuard gratuito te da una configuración de servidor y de cliente funcional en un minuto, con las claves generadas en tu navegador. El generador es gratuito y sin cuenta, hasta 250 dispositivos, y su exportación ZIP reúne cada .conf de cliente y su código QR en PNG, práctico para equipar una oficina o una familia entera de una vez.

Sea cual sea el núcleo que elijas, el túnel falla de la misma manera cuando la MTU es incorrecta: las peticiones pequeñas funcionan, las transferencias grandes se atascan y la conexión cae bajo carga. Ese perfil se achaca habitualmente al proveedor. mtu-probe mide el paquete más grande que tu ruta transporta realmente, para que fijes la MTU de la interfaz a partir de una medición y no de un valor por defecto, restando 60 bytes para WireGuard sobre IPv4 y 80 sobre IPv6.

Sea cual sea el núcleo que elijas, lo autoalojas en tu propio VPS. Eso es lo que mantiene el setup privado y bajo tu control. Una instancia pequeña sobra para uso personal; si aún estás eligiendo proveedor, mira cómo se comparan Contabo, Hetzner y OVH para una VPN autoalojada.

Una opción práctica es un VPS de Contabo (Ubuntu 24.04). Elige un centro de datos cercano a tu región objetivo para reducir la latencia. Ver precios de VPS Contabo →

Con el VPS listo, nuestro generador de configuración VLESS REALITY escribe las configuraciones de servidor y cliente para cualquiera de los dos núcleos, Xray o sing-box, con las mismas claves, así que puedes probar ambos.

¿Qué debería hacerte dudar?

Sortear la censura puede infringir la legislación local en algunos países. Este artículo explica la tecnología; no es asesoramiento jurídico. Además, los esquemas de configuración de los núcleos proxy cambian entre versiones. Trata cualquier fragmento de configuración que encuentres (incluso en guías) como un punto de partida. Contrástalo con la documentación oficial actual de sing-box o Xray antes de fiarte de él.

Y si mantener un núcleo de proxy te parece demasiado, la vía llave en mano es una VPN comercial con servidores ofuscados, como NordVPN (que ahora funcionan con su protocolo NordWhisper). El compromiso es real: sus IP de servidor son compartidas y conocidas por los censores, así que en un país muy filtrado se bloquea más a menudo que tu propio servidor REALITY.

Tu VPN oculta tu IP. No oculta tu navegador.

Un túnel WireGuard bien configurado sustituye la dirección que ve un sitio. No cambia nada de lo que tu navegador anuncia por sí solo: fuentes, pantalla, zona horaria, pila gráfica. Esa combinación suele ser lo bastante única como para seguirte de una sesión a otra, con túnel o sin él.

Mide la huella digital de tu propio navegador: pasivo, sin preguntas, sin cuenta, sin correo. Te dice cuántos navegadores de cada N se parecen al tuyo y qué atributo te hace destacar.

La mayoría de las instalaciones REALITY fallan al copiar los valores. Nuestra VLESS REALITY Cheat Sheet gratuita (PDF de 3 páginas en inglés, descarga directa, sin registro) pone lado a lado el nombre de cada campo en Xray, sing-box y el enlace vless://, con las comprobaciones del servidor y las causas de fallo habituales. Descargar la ficha.

Guías relacionadas

• v2rayN explicado: el cliente de Windows para VLESS y VMess
• Masquerade de Hysteria2: esconder el túnel tras un sitio plausible
• Configuración de V2Ray: VMess y VLESS para China, Irán y Rusia
• Shadowsocks vs VPN: comparación técnica
• Cloak: ofuscación TLS para VPN autoalojada
• Anti-DPI: sortear la inspección profunda de paquetes
• La ofensiva contra las VPN en Rusia en 2026: qué está bloqueado y qué sigue funcionando
• v2rayN con el núcleo sing-box: qué cambia y la trampa del DNS

Ambos núcleos siguen necesitando un servidor en el que ejecutarse. Si esa parte aún no está resuelta, nuestra comparativa de los VPS más baratos para WireGuard recoge lo que cobra cada proveedor por las especificaciones que estos setups necesitan realmente.