Por qué elegir CYV

3x-ui, Amnezia, Remnawave y CreateYourVPN ayudan a poner en marcha una VPN en tu propio servidor. Ahí termina casi todo el parecido: los productos están pensados para objetivos distintos y para una cantidad distinta de trabajo manual por parte del propietario.

3x-ui y Remnawave son paneles autoalojados. Los instalas en tu propia infraestructura, obtienes un abanico amplio de ajustes y te encargas tú de los dominios, las actualizaciones, la protección, la supervisión y las reparaciones. Amnezia Self-hosted es una aplicación pensada sobre todo para una VPN personal sencilla: instala una VPN en un solo VPS sin usar la terminal y permite compartir el acceso. CreateYourVPN, o CYV, es una plataforma gestionada: los servidores siguen siendo tuyos y el servicio se encarga de la operación diaria.

Por eso la pregunta de fondo no es «qué panel tiene más interruptores», sino cuánto trabajo manual queda después del primer arranque. Si quieres aprender Xray, Docker y Linux, un panel autoalojado te da mucho margen. Si lo que quieres es una VPN que funcione para ti, para tu familia o para tus clientes sin convertirte además en administrador de sistemas, CYV cubre mucho más de fábrica.

Lo que sigue compara capacidades integradas. Un script extra, un bot externo o un desarrollo propio pueden añadir casi cualquier cosa a cualquier panel, pero eso ya es otro sistema que hay que elegir, conectar, actualizar y mantener.

En resumen: la diferencia principal

CYV empieza a trabajar antes que un panel de VPN habitual. No se limita a instalar el componente de VPN: prepara el propio VPS, crea un usuario dedicado, pasa SSH a claves, cierra los puertos innecesarios y activa el cortafuegos, fail2ban y las actualizaciones de seguridad. Después de la instalación, la plataforma sigue vigilando el servidor en lugar de entregárselo al propietario junto con un manual.

Si un servicio o un inbound deja de funcionar, CYV no se queda en un indicador rojo. Unos procesos automáticos intentan restaurar el nodo, el historial de incidencias muestra qué ocurrió y un punto de entrada inaccesible deja de repartirse a los usuarios mientras la ruta tenga una alternativa sana.

Para redes con bloqueos hay una capa aparte: el escáner de sitios de enmascaramiento, las comprobaciones de Reality desde el propio nodo, las comprobaciones mutuas entre servidores, un cuórum para detectar bloqueos y el protocolo de emergencia experimental OLCRTC para redes con listas blancas.

Por último, CYV no es solo infraestructura. Un mismo sistema ya incluye el panel personal del usuario, planes, pagos, un escaparate de marca blanca, correos, una Partner API y la integración MCP con asistentes de IA. Lo que alrededor de un panel autoalojado suele montarse como proyectos separados, aquí funciona como un único producto.

1. Puesta en marcha y operación diaria

La seguridad empieza antes de instalar la VPN

En un VPS recién creado suele estar abierto el SSH estándar, se permite el acceso con contraseña y las reglas de red dependen de la imagen del proveedor. El instalador de un panel puede añadir el panel en sí, pero eso no significa que todo el sistema operativo haya quedado protegido.

Al conectar un servidor, CYV ejecuta una etapa de preparación independiente:

• crea un administrador de servicio y activa el acceso por clave SSH;
• desactiva el acceso con contraseña y el acceso directo como root;
• traslada SSH a un puerto no estándar;
• activa UFW con la regla «denegar todo salvo lo necesario»;
• restringe los puertos de servicio a las direcciones del plano de control;
• activa fail2ban y la instalación automática de actualizaciones de seguridad;
• configura la rotación y una retención corta de los registros del sistema.

La contraseña de root que se indica al añadir el servidor se usa solo para la primera conexión y no se guarda. Tras la preparación, CYV trabaja con una clave propia. Todo el proceso se explica en la lección sobre servidores y en la guía del primer arranque.

El panel no es otro servidor que mantener

3x-ui y Remnawave hay que instalarlos, publicarlos en internet mediante una dirección segura, configurarles TLS, actualizarlos y respaldarlos. En Remnawave se despliegan además el panel, los nodos, un dominio y un proxy inverso. Es un modelo normal para un producto autoalojado, pero junto al control el propietario obtiene otro servicio en producción.

CYV ya está alojado y se actualiza como una plataforma única. El propietario conecta sus VPS, mientras que las versiones de los componentes de servidor y de los agentes de servicio se despliegan de forma centralizada. No hace falta entrar en cada servidor y repetir la actualización a mano.

La supervisión debe responder a «¿y ahora qué hago?»

La carga de la CPU y un proceso en verde son útiles, pero por sí solos no explican por qué un usuario concreto no puede conectarse. En CYV el diagnóstico relaciona el estado del servidor, el inbound, la ruta y la suscripción, y formula el problema en lenguaje normal.

Si el fallo ya terminó, queda el historial de los últimos siete días: cuándo empezó el problema, cuánto duró, si se había repetido antes, si se lanzó una reparación, si se reinició el panel y si salió una notificación. Así se distingue un pico de red puntual de un problema sistemático del proveedor.

Más detalles: supervisión y malla de comprobaciones, métricas del servidor y rutas.

El soporte forma parte del producto

Una solicitud de soporte a CYV se puede enviar desde el propio panel en cualquier momento. Esto importa sobre todo para quien empieza: no hay que averiguar primero qué componente se rompió ni a qué repositorio de GitHub acudir. Los proyectos de código abierto tienen documentación, comunidades y chats, pero la ayuda de la comunidad no equivale a un canal de soporte integrado en el servicio.

2. Resistencia al bloqueo, enrutamiento y red

CYV evita que tengas que adivinar el sitio de enmascaramiento

VLESS + Reality hace que la conexión VPN se parezca a una visita HTTPS normal a un sitio real. La calidad del disfraz depende del sitio elegido: debe admitir TLS 1.3 y HTTP/2, estar accesible desde el país del servidor y responder con rapidez.

En CYV el servidor escanea automáticamente su entorno de red y busca sitios vecinos que cumplan esos requisitos. Un sitio cercano suele dar una latencia mínima y un patrón de tráfico natural para un centro de datos. Las opciones encontradas aparecen en el panel como sugerencias listas para usar, y la dirección elegida se comprueba desde el propio nodo, no desde el navegador del propietario en otro país.

El escaneo se lanza durante la instalación y puede repetirse manualmente en cualquier momento. Cómo funciona y por qué comprueba precisamente TLS 1.3 + HTTP/2 se explica en la lección sobre el escáner de enmascaramiento.

Los servidores se miran unos a otros desde fuera

La autocomprobación ve que Xray está en marcha y que el puerto escucha. Lo que no ve es que la dirección IP esté bloqueada en el proveedor del usuario: el servidor se considera sano, pero desde fuera nadie llega hasta él.

Por eso los servidores de CYV forman una malla. Cada nodo comprueba los demás servidores y sus inbounds, y la decisión no se toma por un tiempo de espera aislado, sino por una serie sostenida de fallos y los votos de varios verificadores independientes. Un servidor situado en el país de tus clientes puede marcarse como verificador de confianza: su punto de vista se acerca más a la red real del usuario.

Si el bloqueo se confirma, el propietario recibe un correo y el inbound afectado deja de repartirse mientras la misma ruta conserve un punto de entrada sano. En la siguiente actualización de la suscripción el usuario pasa a un servidor que funciona sin recibir un enlace nuevo. El sistema no promete ver todas las redes del mundo: la comprobación muestra el punto de vista de tus servidores, y por eso un verificador en el país adecuado resulta especialmente útil.

Una ruta es una línea estable, no un servidor concreto

En la aplicación del usuario, una ruta aparece como una sola ubicación. Dentro puede haber varios inbounds en servidores distintos.

CYV reparte a los usuarios entre los servidores. El panel determina qué servidor está menos cargado en ese momento y envía allí al siguiente usuario: la carga se mide como ancho de banda libre por usuario conectado, así que una máquina débil y saturada no recibirá gente nueva. También existe un reparto sencillo por turnos con coeficientes, para cuando los servidores tienen potencias distintas y quieres fijar la proporción a mano.

Si un servidor se cae, la ruta se mantiene. Si no queda ningún inbound sano, la línea vacía desaparece temporalmente de la suscripción y vuelve tras la recuperación. Gracias a esto, sustituir o reparar un VPS no se convierte en enviar configuraciones nuevas a toda la audiencia.

Para topologías más complejas está el multisalto: el usuario entra por un servidor de un país y sale a internet por otro. La cadena se monta en el panel sin editar a mano la configuración de Xray.

El split tunneling llega a las aplicaciones y a los routers

En CYV puedes definir qué dominios, categorías de sitios y países pasan por la VPN y cuáles van directos. Los valores geosite y geoip se validan contra un catálogo antes de guardar: una errata no llega a la configuración ni impide que arranque la aplicación del usuario.

Se pueden importar reglas ya hechas desde Clash, sing-box, Xray o una lista simple. La fuente se actualiza una vez al mes, y una ampliación potencialmente peligrosa de las reglas, que enviaría demasiado tráfico fuera de la VPN, exige una nueva revisión del propietario.

Esas mismas reglas las reciben las aplicaciones compatibles y los routers domésticos con OpenWrt y Nikki. Aparte, en el servidor se puede activar el bloqueo de torrents y de publicidad: el usuario no lo esquivará editando su configuración local. Un buen punto de partida son las lecciones sobre inbounds y conexión de OpenWrt.

OLCRTC, la vía de reserva para las listas blancas

Cuando una red solo permite una lista corta de servicios, los protocolos VPN habituales pueden no llegar a establecer la conexión. Para ese caso CYV cuenta con el protocolo de emergencia experimental OLCRTC.

El usuario crea una videollamada nueva en un servicio compatible, envía el enlace desde su panel o por correo y recibe una conexión temporal. Para la red restrictiva, el tráfico parece la participación en una videoconferencia permitida. OLCRTC es más lento que una VPN normal y depende de que el servicio de vídeo esté disponible, así que se usa como salvavidas y no como transporte principal. Conviene prepararlo con antelación siguiendo las instrucciones de acceso de emergencia.

3. Usuarios, escaparate y dinero

No solo un enlace, sino un panel para el usuario

El enlace de suscripción y el código QR existen en varios productos, y la tabla lo reconoce con honestidad. Lo que distingue a CYV es que alrededor de ese enlace ya está construido todo el recorrido del usuario.

El cliente entra con un código de un solo uso recibido por correo y ve:

• su suscripción y el código QR;
• botones de instalación de aplicaciones e instrucciones;
• el plazo, el tráfico y el estado del acceso;
• los planes y el botón de pago;
• los contactos de soporte de tu servicio;
• el enlace y las instrucciones para OpenWrt con Nikki;
• el acceso de emergencia, si está activado.

El escaparate se puede instalar en la pantalla de inicio del teléfono como PWA, con tu nombre y tu icono. Cuando cambia un servidor, una ruta o una regla, el usuario no recibe un archivo nuevo: la aplicación toma la actualización por la misma suscripción. Se muestra con más detalle en las lecciones sobre usuarios y personalización del escaparate.

Un límite de dispositivos que se puede explicar y atender

El límite de «una conexión» suele convertirse en un rechazo misterioso, sin información sobre qué dispositivo ocupó la plaza. En CYV el usuario tiene plazas de dispositivo y el propietario ve las plazas ocupadas, la hora de la última petición y un contador de rechazos de las últimas 24 horas. Una plaza inactiva se libera a los 14 días; si hace falta, el propietario las restablece manualmente.

Si el enlace se filtra, el propio usuario puede volver a emitirlo desde su panel, con un límite de frecuencia. El secreto y las claves antiguas dejan de funcionar y el evento queda en el registro de seguridad. El propietario no tiene que buscar al cliente ni hacerlo por él.

Remnawave también admite restricciones por HWID, por eso tiene ✅ en la fila de control de dispositivos. Es un ejemplo de una función parecida que cada producto resuelve a su manera.

El escaparate se convierte en un servicio con tu marca

En el nivel básico CYV ya ofrece el panel del usuario. El plan Max añade una landing pública, dominios propios y todo el flujo de ventas. El logotipo se usa automáticamente como favicon, icono de la PWA e imagen para redes sociales; los colores, el nombre y los contactos de soporte los define el propietario.

El escaparate tiene tres direcciones separadas: landing, panel del usuario y suscripciones. Pueden vivir en dominios distintos, así que bloquear la página pública no tiene por qué llevarse por delante el acceso de los usuarios ni la actualización de sus configuraciones. El cliente ve la marca del propietario, no CreateYourVPN, incluida la interfaz del panel y los correos.

El pago se convierte en acceso de inmediato

En CYV un plan es un plazo, un volumen de tráfico, un límite de dispositivos, un precio y unas reglas de registro. Se puede entregar a mano o vender a través de un proveedor de pagos conectado. Tras un webhook verificado, el sistema encuentra al usuario, activa o prorroga el acceso y se protege frente a entregar dos veces el mismo pago.

El dinero va directo a la cuenta del propietario en el proveedor; CYV no actúa como vendedor ni retiene comisión sobre los ingresos. El registro de pagos muestra los eventos procesados, los errores y los pagos «sin vincular». Estos últimos se pueden asociar manualmente a un usuario y un plan, y a partir de ahí el siguiente pago se reconoce solo.

Todo el recorrido se describe en tres lecciones: planes, monetización y pago de la plataforma.

4. Automatización, integraciones y conservación de los datos

MCP permite gestionar la infraestructura conversando

3x-ui, Remnawave y CYV tienen API, así que los tres pueden enlazarse con tu automatización. En CYV, sobre la Partner API ya funciona un servidor MCP remoto: un asistente de IA compatible no recibe una API HTTP en bruto, sino herramientas claras para servidores, inbounds, rutas, usuarios, diagnóstico y documentación.

La conexión se hace por OAuth. El propietario elige el nivel: solo lectura, lectura y configuración, o acceso completo. Los permisos se comprueban en cada llamada, los borrados peligrosos están protegidos además con un código enviado por correo y la conexión se puede revocar desde el panel. El registro de acciones muestra qué herramienta se invocó y cómo terminó la operación; los secretos y los correos completos no entran en él.

Se pueden conectar ChatGPT, Claude, DeepSeek y otros clientes MCP. La arquitectura y los límites del acceso se explican en la lección sobre MCP, y hay un ejemplo práctico en la guía de DeepSeek. Para integraciones normales está el resumen de la Partner API.

La copia de seguridad sale ya cifrada al almacenamiento del propietario

La copia guarda los usuarios, sus plazos, límites, tokens de suscripción y claves de conexión. CYV cifra el archivo antes de subirlo y lo deja en el Google Drive o el almacenamiento compatible con S3 del propietario: AWS S3, Cloudflare R2, Backblaze B2, Wasabi y otros.

La copia se puede restaurar en un clúster de CYV o en un panel compatible limpio. Este punto es de principio: la copia sigue siendo útil incluso fuera de la plataforma, y las aplicaciones ya configuradas de los usuarios pueden seguir funcionando tras la restauración. La frecuencia y el tiempo de conservación los define el propietario; los detalles están en la lección sobre copias de seguridad y en las instrucciones de respaldo.

En el plan Pro también está disponible el cambio de maestro del clúster. El rol de control pasa a otro nodo sin sustituir los enlaces de suscripción de los usuarios. En lugar de una migración manual de emergencia, se obtiene una operación controlada con comprobaciones previas y reversión; más detalles en la lección sobre clústeres.

5. Seguridad y privacidad verificables

No «confía en nosotros», sino afirmaciones que se pueden refutar

CYV publica un informe de seguridad. No consiste en promesas generales, sino en afirmaciones numeradas: qué ocurre con la primera contraseña del VPS, qué datos llegan a los registros, cómo están separadas las cuentas y qué se instala en el servidor.

Junto a ellas se publican las limitaciones conocidas. Un investigador no solo puede encontrar una vulnerabilidad clásica, sino también demostrar que una de las afirmaciones del informe es falsa. Para eso existe un programa propio de bug bounty. Los hallazgos confirmados y sus correcciones se publican en un registro público, y sus autores en el Hall of Fame.

Este formato es importante en una plataforma gestionada: parte del trabajo se hace de forma automática, así que la confianza debe apoyarse en promesas técnicas verificables y en un historial de reacción ante los errores.

Registros mínimos

En los servidores VPN, el registro de acceso de Xray se desactiva a la fuerza cada vez que se aplica la configuración: las direcciones que visitan los usuarios no se guardan. Los registros del sistema del VPS se conservan una hora, el historial de carga 24 horas, y las incidencias de infraestructura anonimizadas y los resultados de diagnóstico hasta siete días.

Una visión general de estos principios está en el centro de seguridad de CYV.

Cuánto cuesta en realidad

3x-ui, Amnezia Self-hosted y Remnawave se pueden usar gratis: esa es una de sus ventajas importantes. Pero un precio de licencia cero no hace que la operación sea gratuita. En la cuenta siguen entrando el VPS del panel, los dominios, las copias de seguridad, la supervisión y, sobre todo, el tiempo de la persona que actualiza el sistema y reacciona a los fallos.

CYV no cobra una cuota por número de servidores. El primer usuario es gratis; a partir de ahí puedes elegir 0,10 € al mes por usuario en la base o 0,20 € solo por el usuario que se haya conectado en las últimas 24 horas. Pro cuesta 0,99 € al mes y añade copias de seguridad, OLCRTC y cambio de maestro. Max cuesta 4,99 € al mes, incluye Pro y desbloquea la landing, los dominios propios, los planes y las ventas.

Por eso no conviene comparar «0 € frente a 0,10 €», sino dos formas de pagar: con tu tiempo por la operación manual o con una cantidad pequeña y previsible por la automatización. El esquema vigente de cobros, el periodo de prueba y el comportamiento del saldo se describen con detalle en la lección sobre el pago.

Qué seguirá siendo tuyo

CYV no vende una VPN compartida ya hecha ni se queda con la infraestructura. Los VPS se alquilan a los proveedores que elijas, los dominios son tuyos, los pagos de los clientes van directos a tu proveedor y las copias de seguridad están en tu Google Drive o S3.

La base de usuarios se puede guardar con regularidad en tu propio almacenamiento y restaurar desde una copia fuera de CYV. No es solo una función de emergencia, sino también la respuesta a la pregunta sobre la dependencia de la plataforma: el servicio aporta la automatización, mientras que los activos principales siguen siendo del propietario.

A quién le conviene cada opción

3x-ui encaja con quien quiere un panel gratuito y versátil, con muchos protocolos, y prefiere controlar cada ajuste por su cuenta. Tiene suscripciones, API REST, multi-nodo, copias de seguridad y bots para administradores.

Amnezia Self-hosted es una opción sólida para una VPN personal en un único VPS. La instalación se hace sin terminal, hay varios protocolos y el acceso se comparte con la familia mediante clave, archivo o código QR.

Remnawave está pensado para el administrador experimentado que necesita un panel autoalojado moderno, varios nodos, perfiles flexibles de Xray, API, métricas y una página de suscripción personalizable.

CYV conviene cuando lo importante no es la cantidad máxima de ajustes manuales, sino el resultado terminado: conectar servidores de forma segura, mantenerlos funcionando automáticamente, detectar bloqueos, dar a la gente un panel cómodo y, si se quiere, convertir todo eso en un servicio con marca propia.

Preguntas frecuentes

¿Sirve CYV para una sola VPN personal?

Sí. Puedes quedarte en el modo simplificado de un solo servidor y no activar las funciones de negocio. El primer usuario es gratis, así que en un escenario personal solo pagas el alquiler de tu VPS. Si más adelante aparecen familiares o clientes, no habrá que rehacer el sistema desde cero.

¿Hay que saber administrar Linux?

No. Para el primer arranque basta con alquilar un VPS compatible e introducir sus datos de conexión en el asistente. CYV prepara el sistema operativo e instala los componentes necesarios. La terminal sigue disponible para el propietario, pero no es la forma habitual de gestionar el servicio.

¿CYV sustituye al proveedor de hosting?

No. El VPS lo alquilas directamente a cualquier proveedor adecuado, y CYV lo conecta y lo opera como servidor VPN. La factura del VPS se paga aparte al hoster.

¿Qué pasa si bloquean un servidor?

Tus otros servidores detectarán la inaccesibilidad sostenida, y un verificador de confianza ayudará a determinar la dirección del bloqueo. CYV avisa al propietario y deja de repartir el inbound confirmado como bloqueado si la ruta tiene una alternativa sana. Para redes con listas blancas está el escenario de emergencia OLCRTC.

¿Hay que desarrollar una aplicación VPN propia?

No. Los usuarios se conectan con aplicaciones estándar: Happ, Streisand, v2rayN, v2rayNG, Hiddify y otras. El panel del usuario muestra la aplicación adecuada y entrega el enlace o el código QR. Se puede empezar por la guía de Happ.

¿CYV registra los sitios que visitan los usuarios?

No. El registro de acceso de Xray en los servidores conectados está desactivado a la fuerza. La plataforma conserva solo telemetría técnica limitada, necesaria para la salud de los servidores, el diagnóstico y la seguridad; los plazos de conservación están publicados en el informe.

¿Puedo conectar mi propio bot o CRM a CYV?

Sí. Para integraciones normales están la Partner API y la colección pública de Postman. Para asistentes de IA está MCP, con OAuth y permisos a elegir. Ambas vías permiten automatizar el trabajo sin entregar la contraseña del panel.

¿Qué pasará con mis usuarios si decido irme?

Los servidores y los dominios siguen siendo tuyos. En Pro puedes exportar con regularidad la base de usuarios cifrada a tu propio almacenamiento y después restaurar la copia en un panel compatible limpio.

Cómo hemos comparado

No hemos comparado todas las funciones de Xray ni el número de campos de los formularios. El criterio del artículo es lo que recibe el propietario como proceso de trabajo terminado: instalación, seguridad del VPS, detección y reparación de fallos, reacción ante bloqueos, entrega del acceso al usuario, ventas y automatización.

Para los demás productos se han usado los materiales oficiales disponibles en la fecha de actualización del artículo:

• documentación de 3x-ui y sus apartados sobre instalación y suscripciones;
• documentación de Amnezia sobre la configuración de la VPN Self-hosted y el reparto de acceso;
• documentación de Remnawave sobre la configuración inicial, las variables de entorno y la plantilla oficial de la página de suscripción.

Los productos evolucionan, así que las tablas reflejan el estado en la fecha indicada. Si en la versión oficial de un competidor aparece una función integrada comparable, conviene actualizar la comparación.