ERR_TUNNEL_CONNECTION_FAILED: el nombre del error es el diagnóstico

La mayoría de los errores del navegador son vagos. Este no lo es, y esa es la buena noticia.

Cuando abres un sitio HTTPS a través de un proxy, el navegador no envía tu solicitud directamente al proxy. Le pide al proxy que construya un túnel primero, mediante una petición HTTP CONNECT que especifica el host y el puerto. El proxy debe responder 200 Connection Established, después de lo cual el tráfico cifrado fluye sin modificaciones.

ERR_TUNNEL_CONNECTION_FAILED significa que ese intercambio no se completó. No que el sitio esté caído, no que tu internet esté rota, no que haya confusión con el DNS. El salto del proxy falló.

Lo cual te da un diagnóstico antes de cambiar nada: hay un proxy en tu conexión, y ese es el problema. La única pregunta es cuál proxy, y por qué rechazó la petición.

"Pero yo no uso proxy"

Entonces tienes uno que no configuraste a propósito. En orden aproximado de frecuencia según cuál suele ser la causa:

Un cliente VPN, corriendo o medio corriendo. Muchos configuran un proxy del sistema y lo dejan ahí cuando se cuelgan o cuando desconectas mal.
Una extensión del navegador. Bloqueadores de anuncios, herramientas de privacidad y extensiones de "VPN gratuita" pueden establecer un proxy mediante la API de extensiones, y el propio rastreador de incidencias de Chromium registra reportes de exactamente este error viniendo de ese camino.
Configuración corporativa o escolar. Un archivo PAC o una política empujada, generalmente apuntando a un proxy que solo responde desde dentro de la red de la oficina. Por eso el portátil funciona en la oficina y falla en casa.
Configuraciones del sistema olvidadas. La configuración LAN de Windows y los proxies de red de macOS conservan lo último que se escribió en ellos, incluso por software que eliminaste.
Malware o adware, que comúnmente funciona insertándose como proxy local.

La forma más rápida de distinguir: abre el mismo sitio en otro navegador, y con datos móviles. Si solo un navegador falla, es una extensión o la configuración de proxy propia de ese navegador. Si todos los navegadores en la máquina fallan pero el teléfono funciona, es el sistema o la red.

Dónde buscar, según plataforma

Plataforma	Dónde vive la configuración del proxy
Windows 10 y 11	Configuración, Red e Internet, Proxy. También `inetcpl.cpl`, Conexiones, Configuración de LAN
macOS	Configuración del sistema, Red, tu interfaz, Detalles, Proxies
Ubuntu y escritorios Linux	Configuración de red, más las variables de entorno `http_proxy` y `https_proxy`
WSL	No hereda nada automáticamente: tiene sus propias variables de entorno, y el proxy del host Windows es otra cosa distinta
Android	Por red Wi-Fi, en la configuración avanzada de la red

La fila de WSL confunde a gente regularmente. Una terminal dentro de WSL y un navegador en la misma máquina pueden no estar de acuerdo sobre si siquiera existe un proxy, razón por la cual uno falla mientras el otro funciona.

Si configuraste el proxy a propósito

Esta es la parte que las guías genéricas se saltan, porque su consejo es "apaga el proxy". Si el proxy es el punto, aquí están las seis formas en que produce exactamente este error.

1. Puerto equivocado, o el puerto correcto para el protocolo equivocado. Un endpoint SOCKS5 ingresado en un campo de proxy HTTP fallará el handshake CONNECT siempre. Lo mismo para un puerto HTTP ingresado como SOCKS. Verifica qué protocolo habla realmente el puerto antes de asumir que las credenciales están mal.

2. La autenticación está fallando. El error hermano es 407 Proxy Authentication Required, y estas dos consultas están en el mismo clúster por una razón: dependiendo del cliente, un login rechazado se manifiesta como uno u otro. Si ves 407 en algún lado cerca de esto, empieza por ahí, con la guía de corrección del 407.

3. El proxy no permite CONNECT a ese puerto. Muchos proxies permiten CONNECT al 443 y rechazan todo lo demás. Si la URL que falla usa un puerto no estándar, esa es tu respuesta.

4. Tu IP no está en la lista blanca. Proveedores que autentican por IP en lugar de por usuario rechazan túneles desde direcciones desconocidas sin avisar. Tu dirección doméstica cambió, o cambiaste de red, y nada más cambió.

5. El proxy está muerto, expirado o suspendido. Una dirección impaga o expirada no se anuncia educadamente; desde el lado del navegador se ve exactamente así.

6. El upstream está bloqueando el destino. Algunos proveedores bloquean puertos específicos o categorías. La solicitud de túnel está bien, el proxy simplemente no lo abrirá hacia ese host.

La forma de separar estos en un minuto es probar el proxy fuera del navegador:

curl -x http://USER:PASS@HOST:PORT -I https://example.com

Un 200 o 301 significa que el proxy y las credenciales funcionan, y el problema está en tu configuración del navegador. Un 407 significa autenticación. Una conexión rechazada significa que el endpoint o el puerto están equivocados. Esto y el resto de las verificaciones previas a la compra están en cómo probar un proxy antes de comprarlo.

Navegador por navegador

Chrome, Edge, Opera y Brave son todos Chromium, por lo que comparten este texto de error y comparten el proxy del sistema a menos que una extensión lo sobrescriba. Eso explica dos patrones comunes:

Falla en Chrome y Edge pero no en Firefox. Firefox mantiene su propia configuración de proxy e ignora la del sistema por defecto, así que está evitando silenciosamente lo que sea que esté roto. Firefox mostrará un mensaje diferente para el mismo fallo subyacente.
Falla solo en un navegador Chromium. Ese navegador tiene una extensión o un flag de línea de comandos que establece un proxy que los otros no usan.

Safari usa la configuración del sistema de macOS, por lo que se comporta como Chrome en la misma Mac.

Por qué Teams, Outlook, Gmail y YouTube aparecen en esto

Todos son solo HTTPS a través del mismo salto. No hay nada específico de ninguno de ellos: si el túnel falla, todo lo que sea HTTPS falla, y la gente busca el sitio que casualmente estaban abriendo.

Dos aplicaciones son genuinamente diferentes:

VS Code mantiene su propia configuración de proxy y puede fallar mientras el navegador funciona.
Cualquier cosa en WSL o un contenedor tiene su propio entorno completamente, según la tabla anterior.

El orden de corrección

Prueba datos móviles, u otra red. Separa "mi máquina" de "esta red" en diez segundos.
Prueba otro navegador. Separa configuración del navegador de configuración del sistema.
Revisa la configuración del proxy del sistema para tu plataforma en la tabla anterior, y desactiva cualquier cosa que no hayas configurado deliberadamente.
Deshabilita extensiones, o abre una ventana privada donde estén desactivadas por defecto, y ve si el error desaparece.
Cierra completamente el cliente VPN, en lugar de solo desconectarlo.
Si el proxy es intencional, ejecuta la prueba curl de arriba y revisa las seis causas.

Qué no arregla esto

Vale la pena nombrarlo, porque el consejo popular para este error en su mayoría está heredado de otros errores:

Limpiar el caché. El fallo ocurre antes de que se recupere cualquier contenido.
Limpiar el DNS. La resolución de nombres no es lo que falló; es el túnel. El DNS importa solo si el nombre de host del proxy mismo no resuelve.
Reiniciar toda la pila de red. A veces funciona, pero solo porque borra la configuración del proxy como efecto secundario, algo que el tercer paso hace de forma deliberada y reversible.
Cambiar a un resolver DNS público. Misma razón que con el vaciado de caché.

Si una guía empieza por la caché y el DNS para este error concreto, está tratando un fallo de proxy como un fallo de conectividad genérico.

Si estás aquí porque estás configurando un proxy

Entonces este error es un mensaje de configuración y no un fallo, y la secuencia útil es:

Confirma que el endpoint habla el protocolo que introduciste, según las diferencias entre tipos de proxy.
Confirma la autenticación por separado con curl, antes de involucrar al navegador.
Confirma que la dirección tiene permiso para alcanzar tu destino, ya que algunos destinos rechazan categorías enteras de direcciones. El caso relacionado donde quien rechaza es el destino y no el proxy está en por qué Reddit dice que has sido bloqueado por seguridad de red.

Obtener un 200 Connection Established limpio desde curl antes de tocar el navegador ahorra la mayor parte del tiempo que la gente pierde con este error.

Preguntas frecuentes

¿Qué significa ERR_TUNNEL_CONNECTION_FAILED?

Que tu navegador pidió a un servidor proxy que abriera un túnel cifrado hacia el sitio, usando el método HTTP CONNECT, y el proxy no completó ese handshake. Es específicamente un fallo de proxy, no un fallo de internet, DNS o del sitio web.

¿Cómo soluciono ERR_TUNNEL_CONNECTION_FAILED?

Encuentra el proxy. Revisa la configuración de proxy del sistema, desactiva extensiones del navegador, cierra completamente cualquier cliente VPN e intenta con otro navegador y otra red para acotarlo. Si configuraste el proxy deliberadamente, pruébalo con curl fuera del navegador para separar un problema de credenciales de un puerto incorrecto o un endpoint caído.

No uso proxy, entonces ¿por qué veo esto?

Porque algo lo configuró por ti: un cliente VPN que no limpió su configuración, una extensión del navegador, una política corporativa o escolar, ajustes residuales de software eliminado o adware. El error solo aparece cuando hay un proxy en el camino, así que encontrarlo es todo el trabajo.

¿Es ERR_TUNNEL_CONNECTION_FAILED un código de estado HTTP?

No. Es un error de red de Chromium, no una respuesta HTTP. El equivalente HTTP más cercano es lo que el proxy debería haber devuelto: 200 Connection Established en caso de éxito, o algo como 407 Proxy Authentication Required cuando tus credenciales son rechazadas.

¿Por qué pasa en Chrome pero no en Firefox?

Porque los navegadores basados en Chromium usan la configuración de proxy del sistema por defecto y Firefox mantiene la suya propia. Firefox no está arreglando nada, está evitando completamente el proxy roto, lo cual también es útil como diagnóstico.

¿Puedo saltarme ERR_TUNNEL_CONNECTION_FAILED?

Solo eliminando o arreglando el proxy en el camino. No hay ningún flag del navegador ni truco, porque el navegador está reportando que un paso obligatorio no ocurrió. Si el proxy pertenece a tu empleador o escuela, la red está haciendo lo que fue configurada para hacer.

¿Por qué lo muestran Teams, Outlook o Gmail?

No hacen nada especial. Todos son tráfico HTTPS a través del mismo salto de proxy, así que cuando el túnel falla, fallan junto con todo lo demás. VS Code es la excepción que vale la pena conocer, ya que tiene su propia configuración de proxy.

¿Ayuda limpiar la caché o vaciar el DNS?

Rara vez, y no por la razón que la gente piensa. El túnel falla antes de que se solicite ningún contenido, así que no hay nada en caché que pueda estar mal. El DNS solo importa si el hostname del propio proxy no puede resolverse.