Cómo solucionar ERR_TUNNEL_CONNECTION_FAILED con un proxy

Dos casos reproducidos

Ambos casos se probaron en un proxy de prueba, representado aquí con la dirección de ejemplo 203.0.113.10:8080 y user123:pass456. En una ventana normal de Chrome, el error 407 no se convierte en un fallo de túnel; en su lugar, Chrome abre un cuadro de diálogo para introducir el usuario y la contraseña del proxy. Por tanto, los errores de túnel causados por un 407 aparecen sobre todo en herramientas de automatización y en aplicaciones que no pueden solicitar credenciales.

Causas principales (de mayor a menor probabilidad)

• Un script de automatización no envía credenciales. El parámetro --proxy-server de Chrome solo admite host y puerto, no user:pass. Puppeteer o Selenium en modo headless reciben un 407 y reportan un fallo de túnel.
• Una aplicación móvil tras un proxy Wi-Fi protegido por contraseña. La aplicación no muestra un cuadro de diálogo de inicio de sesión, por lo que HTTPS falla mientras que el navegador sigue funcionando.
• El proxy no puede conectarse al destino. Devuelve un 502 a CONNECT; la página de 502 Bad Gateway trata esto a fondo.
• Solo fallan algunos sitios. El destino está caído o bloqueando la conexión, mientras que otros sitios funcionan con el mismo proxy.

Identifica el código real con un comando curl

Ejecuta curl -v -x http://user123:[email protected]:8080 https://example.com con tus propios valores. Revisa la línea justo después de > CONNECT example.com:443 HTTP/1.1: un 407 significa que debes consultar la guía de 407; un 502 apunta a un problema en el destino o en la ruta detrás del proxy. Si prefieres no usar la terminal, pega la línea en el verificador de proxies, que reporta auth failed (407) o HTTP 502 en las mismas situaciones.

Soluciones según el entorno

• Puppeteer: mantén --proxy-server=http://host:port al iniciar y llama a page.authenticate({ username, password }) antes de navegar. Tienes el ejemplo completo en la guía de proxy para Puppeteer.
• Playwright: pasa proxy: { server, username, password } al iniciar el navegador y Playwright gestionará el 407 automáticamente; consulta Playwright.
• Selenium: Chrome no admite user:pass en la línea de comandos; la guía de Selenium muestra las alternativas viables.
• Chrome en Windows: si la ventana de inicio de sesión no aparece nunca, comprueba si alguna extensión de proxy la está bloqueando y vuelve a intentarlo en una ventana sin extensiones.
• Móviles: para aplicaciones que necesitan un proxy autenticado, utiliza una app de proxy compatible con user:pass, tal como se explica en la guía de configuración para Android.

Paso a paso

1. 1

   Identifica la respuesta a CONNECT

   Ejecuta curl -v -x con los datos de tu proxy o pégalos en el verificador para saber si el proxy devuelve 407 o 502.

2. 2

   Para 407: envía las credenciales correctamente

   En tus scripts, utiliza el método de autenticación de la librería en lugar de incluir user:pass en --proxy-server.

3. 3

   Para 502: prueba con otro sitio

   Carga un sitio conocido como example.com a través del mismo proxy. Si funciona, el problema está en el destino original.

4. 4

   Vuelve a ejecutar y confirma la IP de salida

   Una vez abierto el túnel, visita mi IP en ese mismo navegador para confirmar que el tráfico pasa por el proxy.

Preguntas frecuentes