sing-box vs Xray 2026: la verdadera diferencia es el alcance

Divulgación de afiliados: este artículo contiene enlaces de afiliado de Contabo y NordVPN. Si contratas un VPS a través de nuestro enlace, recibimos una comisión sin coste adicional para ti. La comparación que sigue refleja las funciones documentadas de cada proyecto. Comprueba la sintaxis exacta de la configuración en la documentación oficial de cada herramienta, porque cambia entre versiones.

Respuesta corta: ¿quieres un setup anticensura VLESS + REALITY especializado, probado y con la mayor reserva de guías? Elige Xray. ¿Quieres un único binario que sea cliente y servidor y que además hable los nuevos protocolos QUIC (Hysteria2, TUIC)? También suma Shadowsocks, VMess, VLESS, Trojan y WireGuard, así que elige sing-box. Ambos admiten REALITY. La verdadera elección es entre una herramienta especializada y una caja de herramientas todo en uno. ¿Eres nuevo en estos protocolos? Empieza por nuestra guía de configuración de V2Ray / VMess / VLESS.

Elijas el que elijas, la parte servidor corre en un VPS fuera de la red censurada. Una opción que encaja es un VPS Cloud de Contabo con Ubuntu 24.04 (enlace de afiliado), desde 5,50 € al mes con un plazo de 24 meses (precio consultado el 17 de octubre de 2026); elige un centro de datos cercano a tus usuarios para reducir la latencia.

¿Qué es sing-box y qué es Xray?

• V2Ray (Project V): la plataforma proxy multiprotocolo original. Introdujo VMess y más tarde VLESS, con transportes como TCP, WebSocket, HTTP/2, gRPC y QUIC. Sigue siendo la referencia principal, pero su núcleo original no tiene REALITY.
• Xray: un fork de V2Ray que añadió XTLS Vision y REALITY. Es el núcleo en el que más se trabaja para sortear la censura. La mayoría de los setups «V2Ray» anti-GFW en 2026 ejecutan en realidad Xray por debajo. (Cubrimos un setup completo en nuestra guía V2Ray / VMess y VLESS.)
• sing-box: se escribe a menudo singbox en foros y buscadores, mientras que el propio proyecto lo escribe con guion; el binario, el paquete y la clave de configuración son todos sing-box. Es una plataforma todo en uno más reciente (Go, binario único). Ejecuta muchos protocolos como cliente y como servidor: Shadowsocks, VMess, VLESS, Trojan, Hysteria/Hysteria2, TUIC, WireGuard, ShadowTLS y más. Añade TLS/REALITY y varios transportes. Hay apps para Android (SFA), iOS (SFI) y macOS (SFM).

Comparación lado a lado

¿Cuál elegir, sing-box o Xray?

• Elige Xray si tu único objetivo es un setup VLESS + REALITY robusto frente a un DPI agresivo (el GFW de China, Irán, Rusia) y quieres el camino mejor documentado. Hace muy bien esa tarea concreta.
• Elige sing-box si quieres reunirlo todo en una sola herramienta: un binario para el servidor y todos tus dispositivos, libertad para probar Hysteria2/TUIC (protocolos UDP/QUIC que pueden rendir mejor en redes con pérdidas o estranguladas) y WireGuard integrado. Es la mejor base «navaja suiza» si prevés cambiar de protocolo.
• ¿No lo tienes claro? Ambos funcionan en un VPS pequeño (qué VPS conviene para V2Ray/Xray) y ambos admiten REALITY, así que ninguno es una mala respuesta. Empieza por el que corresponda a la guía que de verdad vayas a seguir. Para VLESS + REALITY suele ser Xray. Para un laboratorio multiprotocolo, sing-box.

Qué necesitas para probar uno

Ambos núcleos funcionan en cualquier VPS Linux pequeño con IP pública, y el servidor es la única pieza que no se puede pedir prestada: tiene que estar fuera de la red que te filtra. Nuestro generador de configuración VLESS REALITY gratuito escribe las configuraciones de servidor y cliente para Xray y para sing-box con las mismas claves, generadas en tu navegador, así que puedes instalar un núcleo, probarlo y pasar al otro sin regenerar nada.

Si te conectas desde China o Irán, la ubicación del centro de datos importa más que las especificaciones. Contabo tiene centros en Singapur y Tokio además de Europa y Estados Unidos, y su plan de entrada (4 vCPU, 8 GB de RAM, 5,50 €/mes durante los primeros 24 meses) supera con creces lo que necesita un proxy personal. Ningún proveedor garantiza que sus rangos de IP sigan siendo accesibles, así que trata el servidor como reemplazable y ten tu configuración lista para volver a desplegarla en una IP nueva.

Protocolos y transportes de un vistazo

Los dos núcleos coinciden en los protocolos proxy clásicos, pero divergen en los más recientes. Es la diferencia factual más clara entre ellos.

• Terreno común: ambos hablan VLESS, VMess, Trojan y Shadowsocks, y ambos admiten REALITY y TLS. Los dos ofrecen además transportes habituales como TCP, WebSocket, HTTP/2 y gRPC. Así que, para un túnel VLESS + REALITY, cualquiera de los dos te sirve.
• El enfoque de Xray: el núcleo Xray está construido en torno a la pila VLESS + XTLS Vision + REALITY. XTLS Vision es el diseño propio de control de flujo de Xray, que reduce la sobrecarga «TLS dentro de TLS» de tunelizar tráfico TLS dentro de un proxy TLS. Es el setup por el que Xray es más conocido y mejor documentado.
• Los protocolos adicionales de sing-box: sing-box añade en el mismo binario protocolos más recientes basados en QUIC/UDP, en particular Hysteria/Hysteria2 y TUIC, además de WireGuard como inbound/outbound integrado y ShadowTLS. Esa amplitud es la razón principal para optar por sing-box en lugar de Xray.

¿Cuál resiste mejor la inspección profunda de paquetes?

Ambos proyectos tratan REALITY como su primera línea frente a la inspección profunda de paquetes. REALITY funciona tomando prestado el handshake TLS real de un sitio legítimo de terceros (un diseño de «robar el handshake de otro»), de modo que, para un observador, la conexión parece HTTPS normal hacia ese sitio y no un proxy. Lo decisivo es que está diseñado para resistir el sondeo activo, en el que un censor se conecta a tu servidor para ver si se comporta como un proxy: como REALITY reenvía los sondeos inesperados hacia el sitio de destino auténtico, el sondeo recibe una respuesta TLS normal en lugar de la firma reveladora de un proxy.

Xray es el proyecto en el que se introdujo REALITY y en el que XTLS Vision reduce la huella de doble cifrado de un túnel TLS. sing-box también implementa REALITY y lo superpone a su conjunto de protocolos más amplio, de modo que puedes combinar REALITY con, por ejemplo, un protocolo basado en QUIC en otro endpoint. Ningún enfoque garantiza saltarse el bloqueo: los sistemas de censura cambian, y la postura honesta es que el anti-DPI es un juego del gato y el ratón permanente, no un problema resuelto.

Diseño y gobernanza

Los proyectos proceden de linajes distintos, y eso determina cómo está construido cada uno.

• sing-box (SagerNet) es un binario único multipropósito: el mismo ejecutable es cliente y servidor, con reglas de enrutamiento, gestión de DNS y múltiples inbounds/outbounds configurados en un solo archivo JSON unificado. Es el más reciente de los dos y aspira a ser una plataforma universal, más que la referencia de un protocolo.
• Xray (Project XTLS) es un fork comunitario de V2Ray (Project V). Se mantiene cerca del papel de núcleo proxy: es ante todo el motor, y la experiencia de cliente suelen aportarla apps de terceros independientes. Su identidad está ligada a XTLS Vision y REALITY, las funciones anti-detección que inauguró.

Así que la división no es solo función por función. Es una caja de herramientas todo en uno frente a un núcleo proxy especializado rodeado de un gran ecosistema de clientes.

Las licencias no son las mismas, y las comparativas siempre lo omiten

Ambos proyectos son de código abierto, y la mayoría de las comparativas se quedan en esa palabra. No están bajo los mismos términos, y es el tipo de diferencia que importa si distribuyes algo construido sobre uno de ellos.

Xray-core está bajo Mozilla Public License 2.0. La API de GitHub la normaliza como MPL-2.0. Es un copyleft a nivel de archivo: si modificas un archivo MPL, ese archivo sigue siendo MPL, pero puedes combinarlo con código bajo otras licencias.

sing-box está bajo GPL versión 3 o posterior, más una cláusula propia. Su archivo LICENSE incluye la concesión estándar GPLv3 o posterior y después añade:

In addition, no derivative work may use the name or imply association with this application without prior consent.

(Es decir: ninguna obra derivada puede usar el nombre ni sugerir una asociación con esta aplicación sin consentimiento previo.) Esa frase añadida explica por qué GitHub no la normaliza: la API indica Other / NOASSERTION en lugar de GPL-3.0, porque el texto ya no es la licencia sin modificar. (Ambos valores leídos en la API de GitHub el 20 de agosto de 2026, junto con 41.119 estrellas para Xray-core y 37.139 para sing-box.)

Si autoalojas para tu propio uso, nada de esto te afecta: ejecutar software no es redistribuirlo. Si estás construyendo un producto, un servicio o un appliance sobre uno de estos núcleos, «GPLv3 o posterior con restricción de nombre» y «MPL-2.0» son puntos de partida muy distintos, y es una cuestión para quien gestione tus licencias, no algo que zanjar a partir de un artículo comparativo.

¿Qué clientes funcionan con sing-box y Xray?

En el uso diario, la forma de conectarte importa tanto como el núcleo del servidor.

• Apps cliente: sing-box ofrece apps oficiales complementarias (SFA para Android, SFI para iOS y SFM para macOS) que ejecutan el mismo núcleo en el dispositivo. Xray no publica apps propias para el usuario final; en su lugar va integrado en clientes de terceros populares como v2rayNG en Android y Shadowrocket en iOS, que mucha gente ya usa.
• Configuración: ambos núcleos se configuran en JSON. sing-box usa un esquema unificado que cubre inbounds, outbounds, DNS y reglas de enrutamiento en un solo archivo, lo que encaja con un setup todo en uno. El JSON de Xray se centra en el inbound/outbound del proxy, con su propio bloque de enrutamiento. Ninguno es trivial, y ambos esquemas cambian entre versiones: es en la configuración, no en la instalación, donde fallan la mayoría de los setups.

«¿sing-box o v2rayN?» es la comparación equivocada

Esta pregunta aparece constantemente, y mezcla dos tipos de software distintos.

sing-box es un núcleo. Habla los protocolos, termina el túnel y enruta el tráfico. v2rayN es un cliente: una interfaz de escritorio para Windows que gestiona tus perfiles, importa enlaces de suscripción y arranca y detiene la conexión. No implementa los protocolos por sí mismo: maneja un núcleo por debajo. Según la versión que instales, ese núcleo es V2Ray, Xray o sing-box.

Así que no son alternativas. La forma honesta de plantear la decisión tiene dos partes:

• ¿Qué núcleo quieres que gestione el protocolo y la resistencia al DPI, sing-box o Xray? Es la comparación que esta página hace más arriba.
• ¿Qué cliente quieres que lo maneje en tu máquina? En Windows, v2rayN es la respuesta habitual sea cual sea el núcleo que elijas. En Android el equivalente es v2rayNG, y sing-box también ofrece sus propias apps oficiales (SFA, SFI, SFM).

Si ya usas v2rayN y te preguntas si «pasarte a sing-box», lo que en realidad te estás planteando es cambiar el núcleo que lanza, no sustituir la aplicación. Comprueba qué núcleos admite tu versión de v2rayN antes de dar nada por sentado, porque eso varía según la versión.

¿Cómo migrar de Xray a sing-box?

Una pregunta que surge una vez hecha la elección: ¿basta con convertir el archivo de configuración? No editándolo a mano, no. Una migración de V2Ray a sing-box vuelve a crear la configuración en lugar de traducirla: los dos núcleos describen la misma conexión con nombres de clave distintos, así que ningún buscar y reemplazar te lleva hasta ahí.

La forma de la diferencia, tomando como ejemplo un outbound VMess:

Dos notas prácticas además del cambio de nombres. La documentación actual de Xray muestra el outbound VMess con address, port e id directamente bajo settings, en lugar del antiguo array vnext que muchos ejemplos publicados siguen usando, así que ni siquiera las configuraciones del mismo linaje se parecen todas. Y sing-box separa en tls y transport lo que Xray mantiene junto bajo streamSettings, que es donde suele fallar una copia mecánica campo por campo.

El camino fiable es, por tanto, escribir el outbound de sing-box a partir de los parámetros del servidor que ya conoces (host, puerto, UUID, transporte, ajustes TLS) y no a partir del archivo antiguo, y después validarlo antes de ejecutar nada: sing-box check -c config.json informa de los errores de esquema, y sing-box format -w -c config.json reescribe el archivo en forma canónica. Como dice la advertencia más abajo, comprueba los nombres de los campos en la documentación actual de la versión que realmente has instalado, porque estos esquemas cambian entre versiones.

Si usas v2rayN en Windows, la migración es otro trabajo. Ahí no reescribes una configuración de servidor, sino que cambias el núcleo que maneja el cliente, ya que v2rayN puede ejecutar el núcleo Xray o el núcleo sing-box bajo la misma interfaz. Eso cambia qué opciones muestra la interfaz gráfica y, sobre todo, qué componente resuelve el DNS. Explicamos ese cambio y su trampa recurrente en v2rayN con el núcleo sing-box.

¿Qué servidor necesitas para ejecutar cualquiera de los dos?

Si WireGuard a secas basta para tu red y no necesitas un protocolo ofuscado, nuestro generador de configuración WireGuard gratuito te da una configuración de servidor y de cliente funcional en un minuto, con las claves generadas en tu navegador.

Sea cual sea el núcleo que elijas, el túnel falla de la misma manera cuando la MTU es incorrecta: las peticiones pequeñas funcionan, las transferencias grandes se atascan y la conexión cae bajo carga. Ese perfil se achaca habitualmente al proveedor. mtu-probe mide el paquete más grande que tu ruta transporta realmente, para que fijes la MTU de la interfaz a partir de una medición y no de un valor por defecto, restando 60 bytes para WireGuard sobre IPv4 y 80 sobre IPv6.

Sea cual sea el núcleo que elijas, lo autoalojas en tu propio VPS. Eso es lo que mantiene el setup privado y bajo tu control. Una instancia pequeña sobra para uso personal; si aún estás eligiendo proveedor, mira cómo se comparan Contabo, Hetzner y OVH para una VPN autoalojada.

Una opción práctica es un VPS de Contabo (Ubuntu 24.04). Elige un centro de datos cercano a tu región objetivo para reducir la latencia. Ver precios de VPS Contabo →

Con el VPS listo, nuestro generador de configuración VLESS REALITY escribe las configuraciones de servidor y cliente para cualquiera de los dos núcleos, Xray o sing-box, con las mismas claves, así que puedes probar ambos.

¿Qué debería hacerte dudar?

Sortear la censura puede infringir la legislación local en algunos países. Este artículo explica la tecnología; no es asesoramiento jurídico. Además, los esquemas de configuración de los núcleos proxy cambian entre versiones. Trata cualquier fragmento de configuración que encuentres (incluso en guías) como un punto de partida. Contrástalo con la documentación oficial actual de sing-box o Xray antes de fiarte de él.

Y si mantener un núcleo de proxy te parece demasiado, la vía llave en mano es una VPN comercial con servidores ofuscados, como NordVPN (que ahora funcionan con su protocolo NordWhisper). El compromiso es real: sus IP de servidor son compartidas y conocidas por los censores, así que en un país muy filtrado se bloquea más a menudo que tu propio servidor REALITY.

Tu VPN oculta tu IP. No oculta tu navegador.

Un túnel WireGuard bien configurado sustituye la dirección que ve un sitio. No cambia nada de lo que tu navegador anuncia por sí solo: fuentes, pantalla, zona horaria, pila gráfica. Esa combinación suele ser lo bastante única como para seguirte de una sesión a otra, con túnel o sin él.

Mide la huella digital de tu propio navegador: pasivo, sin preguntas, sin cuenta, sin correo. Te dice cuántos navegadores de cada N se parecen al tuyo y qué atributo te hace destacar.

Guías relacionadas

• v2rayN explicado: el cliente de Windows para VLESS y VMess
• Masquerade de Hysteria2: esconder el túnel tras un sitio plausible
• Configuración de V2Ray: VMess y VLESS para China, Irán y Rusia
• Shadowsocks vs VPN: comparación técnica
• Cloak: ofuscación TLS para VPN autoalojada
• Anti-DPI: sortear la inspección profunda de paquetes
• La ofensiva contra las VPN en Rusia en 2026: qué está bloqueado y qué sigue funcionando
• v2rayN con el núcleo sing-box: qué cambia y la trampa del DNS

Ambos núcleos siguen necesitando un servidor en el que ejecutarse. Si esa parte aún no está resuelta, nuestra comparativa de los VPS más baratos para WireGuard recoge lo que cobra cada proveedor por las especificaciones que estos setups necesitan realmente.