Clave precompartida WireGuard: qué aporta (y no es contraseña)

Cada peer de WireGuard ya tiene un par de claves, así que la primera pregunta razonable sobre PresharedKey es qué se supone que aporta una tercera clave.

La respuesta es concreta y acotada, y merece la pena formularla con precisión, porque las dos descripciones habituales son erróneas.

Lo que no es

No es una contraseña en el túnel. La gente la añade esperando que la conexión exija un secreto, igual que SSH exige una frase de contraseña. No funciona así.

No sustituye a nada. Añadir una clave precompartida no te permite usar claves más débiles, saltarte reglas de firewall ni exponer el puerto con más seguridad.

Lo que es

El handshake de WireGuard deriva las claves de sesión a partir de las claves públicas y privadas de los dos peers. Si hay una clave precompartida configurada, se mezcla en esa derivación como una entrada adicional.

La consecuencia es justo lo que importa: la clave precompartida es simétrica y nunca se envía por la red. Un atacante que grabe hoy cada paquete de tu tráfico, y que más adelante consiga la capacidad de romper el intercambio de curva elíptica, sigue sin poder derivar las claves de sesión, porque una de las entradas nunca cruzó la red.

La documentación de WireGuard lo describe como resistencia poscuántica, y esa formulación es exacta siempre que tengas presente el modelo de amenaza. El adversario del que te defiendes es el que almacena tráfico ahora y lo descifra después. Si nadie está grabando tu túnel, no te protege de nada, y aun así añadirla no te cuesta casi nada.

Generarla e instalarla

wg genpsk

Esto imprime una clave de 32 bytes codificada en base64. Para generarla y guardarla en un solo paso:

wg genpsk > peer1.psk
chmod 600 peer1.psk

Va en la sección [Peer], en ambas máquinas, con el mismo valor:

[Peer]
PublicKey = <the other side's public key>
PresharedKey = <the same value on both ends>
AllowedIPs = 10.10.0.2/32

Una clave precompartida por cada par de peers, no una por servidor. Reutilizar un único valor en todos los clientes significa que cualquiera de ellos tiene la clave que protege a todos los demás.

Si creaste tus archivos con nuestro generador de configuración WireGuard, ten en cuenta lo que hace y lo que no hace aquí: genera los pares de claves en tu navegador y escribe el [Interface] del servidor, los bloques [Peer] y un archivo de cliente por dispositivo, pero no genera ninguna línea PresharedKey. Ejecuta wg genpsk una vez por cliente y pega el mismo valor en el bloque [Peer] de ese cliente en ambos extremos antes de entregar el archivo, y las configuraciones quedan completas. El generador es gratuito hasta 10 dispositivos; a partir de ahí, WireGuard Pro (nuestro propio producto, 9 EUR en un solo pago, sin suscripción) eleva el límite a 250 y añade un ZIP con el .conf de cada cliente y su código QR en PNG, práctico para configurar una oficina o una familia entera de una vez.

Añadirla a un túnel activo sin quedarte fuera

Aquí es donde la gente se lleva el susto. Una clave precompartida que coincide solo en un lado significa que el handshake deja de completarse, y WireGuard no te dice por qué. wg show no indica ningún handshake reciente, la misma salida que obtienes con un puerto equivocado, un bloqueo del firewall o una clave pública incorrecta.

Si el túnel es tu única vía de acceso a un servidor remoto, eso es quedarte fuera.

El orden seguro:

1. Genera la clave y llévala primero a ambas máquinas, sin editar ninguna configuración.
2. Si tienes acceso fuera de banda, una consola o IPMI, úsalo y edita ambos lados.
3. Si no lo tienes, programa una vuelta atrás. Algo como echo "wg-quick down wg0 && wg-quick up wg0" | at now + 10 minutes con la configuración original en disco, para que un error se corrija solo mientras aún tienes una forma de entrar.
4. Edita el lado remoto, luego el local, y confirma con wg show que se ha producido un handshake en los últimos dos minutos.

El síntoma general, un túnel que antes funcionaba y ahora no muestra handshake, se trata en solución de problemas de handshake. Añade a esa lista «un lado tiene clave precompartida y el otro no».

Dónde encajan las claves precompartidas frente a todo lo demás

No hacen nada por la visibilidad del túnel. Una red que bloquea WireGuard por la forma de su tráfico lo bloquea igual. Es otro problema con otras respuestas: consulta VPN anti DPI para eludir bloqueos.

No hacen nada respecto a quién puede alcanzar el puerto. Ocultar el endpoint es una técnica distinta, tratada en port knocking y modo sigiloso.

Deben tratarse como material de claves. Ni en un mensaje de chat, ni en un documento compartido, ni confirmadas en un repositorio. Una clave precompartida en un historial de git es peor que no tener clave precompartida, porque genera una confianza que no está respaldada por nada.

Si estás montando el lado del servidor desde cero, la guía completa está en autoalojar WireGuard en un VPS, y añadir clientes más adelante se explica en añadir un peer de WireGuard. Si todavía necesitas la máquina, esa guía está escrita sobre un Contabo Cloud VPS (enlace de afiliado).

Si prefieres un proveedor en EE. UU. con garantía de devolución de 30 días, Ultahost VPS Basic cuesta 5,52 $ al mes con un plazo de 24 meses (1 GB de RAM, IPv4 dedicada, consultado el 21 de octubre de 2026), suficiente para un servidor WireGuard para unos cuantos dispositivos.