Qué es PuTTY y para qué sirve

PuTTY es un cliente de terminal gratuito y de código abierto que permite conectarse a otro equipo a través de una red y trabajar en él como si estuvieras sentado delante. Habla SSH, Telnet, conexión serie y varios protocolos más, funciona sobre Windows y Unix, y lleva desde finales de los noventa siendo la puerta de entrada clásica a los servidores para quien administra sistemas. Su licencia es la MIT, no cuesta nada y el código está disponible para quien quiera revisarlo o compilarlo.

Mi tesis en este artículo es que PuTTY no es «una ventana con letras verdes», sino una pequeña suite de herramientas que resuelve tres problemas distintos: abrir una sesión interactiva, transferir archivos y automatizar conexiones. Separar esas piezas —la consola, pscp, psftp, plink, puttygen y Pageant— es lo que convierte un programa que se usa a ciegas en una herramienta que se domina. Y entender cómo gestiona las claves y los túneles te ahorra sustos y tiempo a partes iguales.

Qué es PuTTY y de dónde viene

PuTTY es un cliente de terminal, es decir, el programa que se ejecuta en tu equipo y marca las llamadas a la máquina remota. No es un servidor ni un protocolo: es la herramienta que habla esos protocolos por ti. Lo escribió el programador británico Simon Tatham, que empezó a desarrollarlo en 1997 y sigue manteniéndolo junto a un grupo reducido de colaboradores. Está implementado en lenguaje C y se distribuye como un ejecutable monolítico: no depende de bibliotecas externas, así que basta con descargar la versión compilada adecuada —32 o 64 bits— y ejecutarla.

Su nombre no esconde ninguna gran historia. En inglés putty significa masilla o mástique, y la hipótesis más repetida es que el autor buscó un juego de palabras con getty, el programa de Unix que gestiona las terminales físicas y pide las credenciales del usuario. Detrás de TTY está TeleTYpewriter, el teletipo que antecedió al terminal moderno. Sea o no cierta la etimología, lo que importa es que PuTTY nació para hacer en Windows algo que en el mundo Unix ya era cotidiano: conectarse a otra máquina por línea de comandos.

Tanto el programa como su documentación completa se distribuyen desde el sitio oficial de PuTTY, que es la referencia primaria para cualquier duda de configuración. Su licencia es la MIT, una de las más permisivas que existen: permite usar, copiar, modificar y redistribuir el software sin coste, incluso en productos propietarios. Eso explica su popularidad en entornos corporativos, donde a menudo convive con clientes de pago sin que nadie tenga que justificar una licencia. Y también explica que su código se haya reutilizado: hay servidores SSH experimentales y proyectos derivados construidos sobre él.

El proyecto pasó por una auditoría de seguridad relevante cuando, en 2019, la Unión Europea lo incluyó en su programa EU-FOSSA 2 de auditoría de software libre y recompensas por fallos. Que un programa gratuito y veterano dedique esfuerzo a revisar su propia seguridad dice bastante de por qué ha aguantado tantos años en producción.

Para qué sirve PuTTY: los protocolos que habla

La función principal de PuTTY es abrir una sesión remota y dejarte escribir comandos en ella. Pero no se limita a SSH: soporta varios protocolos de conexión, y saber cuál elegir en cada caso es la mitad del trabajo. Estos son los que importan de verdad.

SSH: el uso mayoritario

De fábrica, PuTTY se comunica por SSH (Secure Shell) usando SSH-2, la versión moderna y estandarizada del protocolo. SSH cifra toda la sesión y autentica ambos extremos, de modo que ni las contraseñas ni los comandos viajan en claro. El diseño del protocolo está descrito en los RFC 4251 (arquitectura general) y RFC 4253 (capa de transporte), ambos del IETF, y son la fuente primaria si quieres bajar al detalle. Es el uso para el que se instala PuTTY el 90 % de las veces: administrar un servidor Linux, un equipo de red, una máquina virtual o un servicio en la nube. Si quieres el detalle de cómo funciona el protocolo por dentro —capas, intercambio de claves, verificación de identidad—, lo tienes en qué es SSH y para qué sirve.

La versión 1 de SSH (SSH-1) está obsoleta y arrastra deficiencias de diseño, así que PuTTY la usa solo si se le pide explícitamente y en ningún caso es la opción recomendada. Salvo que tengas que conectar con algún equipo antíguo que no admita otra cosa, déjala desactivada.

Telnet: útil solo en redes de confianza

PuTTY también actúa como cliente Telnet, el protocolo clásico de terminal remota. Su problema es de diseño y no tiene arreglo: no cifra nada, la contraseña incluida. Por eso hoy se reserva a labores muy concretas: depurar un servicio que habla texto plano en el puerto 23, comprobar si un puerto responde, o conectarse a hardware antiguo dentro de una red aislada. Fuera de ese contexto, la regla es sencilla: si puedes usar SSH, usa SSH.

Conexión serie: consolas de equipos de red

Menos conocido, pero muy valioso para quien trabaja con redes: PuTTY sabe conectarse a un puerto serie (COM1, COM2 y sucesivos). Muchos conmutadores y routers profesionales exponen una consola de administración por un puerto que físicamente parece un conector RJ-45 pero es serie. Con un cable adaptador adecuado —o, mejor, con el puerto serie real de la placa y un alargador— PuTTY abre esa consola y permite configurar el equipo incluso cuando no hay red ni dirección IP asignada. Es la vía de rescate cuando todo lo demás falla.

Otros modos de conexión

PuTTY incorpora además Raw TCP, que abre una conexión directa a cualquier puerto y permite ver exactamente qué responde un servicio, algo mucho más claro si se entiende antes qué es TCP/IP y cómo funciona Internet; Rlogin, el protocolo histórico de Unix; y hasta SUPDUP, un protocolo de terminal creado por Richard Stallman en 1983 que casi nadie usa hoy y que PuTTY mantiene por pura curiosidad histórica. En la práctica, te bastará con SSH para casi todo, Telnet para trastear en redes controladas y serie para las consolas de red.

La suite de PuTTY: no es solo una ventana

Una de las cosas que más confunde a quien empieza es que «PuTTY» da nombre tanto al programa con interfaz gráfica como al conjunto de utilidades que se instalan con él. Estas son las piezas, para qué sirve cada una y cuándo las vas a necesitar.

Herramienta	Qué hace	Cuándo usarla
putty	Cliente gráfico con todas las sesiones y protocolos.	El día a día: abrir una consola en un servidor.
pscp	Copia de archivos por SCP sobre SSH, desde la línea de comandos.	Copiar un fichero suelto o automatizar una copia en un script.
psftp	Cliente SFTP interactivo.	Explorar directorios y mover archivos con un servidor remoto.
plink	Cliente SSH para la línea de comandos, sin ventana.	Ejecutar comandos remotos desde scripts o tareas programadas.
puttygen	Genera, convierte y cambia el formato de claves SSH.	Crear un par de claves o convertir una clave al formato PPK.
Pageant	Agente de autenticación que guarda las claves en memoria.	Evitar escribir la passphrase en cada conexión.

El detalle que conviene interiorizar es que plink es la versión sin interfaz de PuTTY. Todo lo que haces clicando en la ventana se puede hacer desde un script con plink, y eso lo convierte en la pieza clave para la automatización. Igual que ssh en sistemas Unix, plink acepta un comando al final de la orden y devuelve su salida, lo que permite encadenar tareas sin abrir una sesión interactiva.

Claves SSH en PuTTY: PPK, Pageant y puttygen

La autenticación por contraseña funciona, pero la buena práctica es usar claves pública y privada, el método que describe el RFC 4252. El servidor guarda tu clave pública; tú conservas la privada, que nunca sale de tu equipo. Cuando te conectas, el servidor lanza un desafío, tú lo firmas con la privada y él lo verifica con la pública. Como la privada nunca viaja, no hay contraseña que interceptar.

Aquí PuTTY tiene su propia idiosincrasia: guarda las claves en un formato propio llamado PPK (PuTTY Private Key). Si ya tenías una clave generada para OpenSSH —lo habitual hoy, porque es la norma de facto— no te vale tal cual: hay que convertirla a PPK con puttygen. Y al revés, si generas una clave en PuTTY y quieres usarla con ssh de OpenSSH, toca exportarla. Es un paso extra, pero es cuestión de segundos.

puttygen permite generar claves de distintos tipos. Para claves nuevas, la recomendación actual es Ed25519: es compacta, rápida y su uso en SSH está estandarizado. RSA sigue siendo válido cuando necesitas compatibilidad con sistemas antiguos, pero con longitudes generosas. Al generar el par, conviene añadir una passphrase, que protege la clave en reposo: si alguien copia el fichero, sin la frase no puede usarla.

El inconveniente de la passphrase es que se pide en cada conexión. Para eso está Pageant, el agente de PuTTY: se ejecuta en segundo plano, guardas en él la clave una vez por sesión y no vuelves a escribirlas. Pageant mantiene la clave en memoria mientras está abierto, así que conviene cerrarlo al terminar en equipos compartidos. La idea es idéntica a la de ssh-agent en OpenSSH, solo que con nombre distinto.

Sesiones guardadas: configurar una vez, conectar siempre

Uno de los mayores ahorros de tiempo de PuTTY es guardar la configuración de cada conexión. En la pantalla principal, el campo Saved Sessions permite ponerle nombre a un perfil y almacenar ahí la dirección, el puerto, el usuario, el tipo de autenticación, la clave, los colores, la fuente y hasta el reenvío de puertos. La próxima vez, seleccionas el perfil, pulsas Load y Open, y ya estás dentro.

Hay dos detalles que muchos usuarios descubren tarde:

• Los perfiles también sirven para las herramientas de línea de comandos. Puedes ejecutar psftp mi-perfil o plink mi-perfil y la utilidad cargará la misma configuración que guardaste en la ventana gráfica. Así no repites usuario, clave ni puerto en cada script.
• Se puede editar una sesión sin abrirla. Cargas el perfil, cambias lo que necesites y vuelves a guardarlo con el mismo nombre. Es la forma limpia de corregir una dirección o añadir un túnel sin crear perfiles duplicados.

En entornos con muchos equipos, tener un perfil por servidor ordenado por nombre es una costumbre que se agradece. Y si trabajas desde Windows pero también tienes Linux al lado, llevar el equivalente de ~/.ssh/config en OpenSSH te resultará natural; WSL2 es la vía más cómoda de tener ese entorno Linux dentro de Windows.

Túneles y reenvío de puertos con PuTTY

PuTTY no solo abre una consola: también puede transportar tráfico de otros protocolos dentro de la conexión SSH. Eso es un túnel o reenvío de puertos, y resulta utilísimo para llegar a servicios internos que no están expuestos a Internet. La opción se configura en Connection → SSH → Tunnels y tiene tres modalidades que conviene no confundir.

Tipo	Qué consigue	Ejemplo de uso
Reenvío local	Abre un puerto en tu máquina y lo conecta a un destino visto desde el servidor.	Llegar a una base de datos interna que no está expuesta a Internet.
Reenvío remoto	Abre un puerto en el servidor y lo conecta a un destino visto desde tu máquina.	Publicar temporalmente un servicio local para que alguien de fuera lo alcance.
Reenvío dinámico	Levanta un proxy SOCKS en tu equipo y enruta cada conexión por el servidor.	Navegar como si estuvieras dentro de la red del servidor.

Además del reenvío de puertos, PuTTY admite el reenvío X11. Si la máquina remota ejecuta aplicaciones gráficas y tiene activado X11, PuTTY puede traer su salida a tu equipo para que la muestre un servidor X local. Es un recurso clásico para lanzar herramientas gráficas de administración o de monitorización instaladas en un servidor Linux sin tener que abrir una sesión de escritorio remoto completa.

Los túneles son potentes y también delicados. Un reenvío abre un camino que el cortafuegos no ve, y dejarlo olvidado es dejar una puerta abierta. La costumbre sana es abrirlos a propósito, para una tarea concreta, y cerrarlos al terminar. Y el reenvío del agente —permitir que la clave en memoria se use desde el servidor— conviene reservarlo para máquinas en las que confíes, porque quien controle ese servidor podría usar tus credenciales mientras la sesión esté viva.

Atajos y trucos para ganar tiempo

La ventana de PuTTY tiene una forma peculiar de manejar el ratón y el teclado que, una vez interiorizada, ahorra mucho tiempo. Estas son las prácticas que de verdad se notan:

• Seleccionar es copiar. Basta con arrastrar el ratón sobre el texto: pasa al portapapeles sin tocar Ctrl+C. Si necesitas seleccionar un bloque rectangular, mantén pulsada la tecla Alt antes de arrastrar.
• El botón secundario pega. Un clic con el botón derecho pega lo que tengas en el portapapeles; también funciona Shift+Insert. Es la forma cómoda de llevar una orden larga de una web a la terminal.
• Duplicar la sesión. Desde el menú de la barra de título puedes abrir otra ventana conectada al mismo servidor sin volver a autenticarte, o abrir una conexión totalmente nueva.
• Buffers desplazables. PuTTY guarda por defecto las últimas 200 líneas de lo que ha pasado por pantalla, y ese número se puede ampliar mucho desde la configuración. Si se pierde la conexión, reiniciarla conserva ese historial y puedes revisar lo que habías escrito.
• Comandos especiales de SSH. Según el tipo de conexión, PuTTY ofrece un menú con señales habituales como SIGKILL o SIGTERM, sin tener que recordar su sintaxis exacta.
• Personalización visual. Fuentes, colores, cursor y comportamiento al redimensionar la ventana son ajustables. Es lo que permite, por ejemplo, instalar la fuente de Powerline y darle un aspecto más legible a cada máquina.

Hay un detalle de seguridad que merece mención aparte: PuTTY dibuja un icono de candado e inserta avisos gráficos para las preguntas sensibles, de forma que un servidor malicioso no pueda imitar con texto plano una petición de contraseña. Es una defensa sencilla y eficaz, pero no está disponible cuando se usa plink desde una ventana de comandos, porque ahí no hay una interfaz gráfica de la que fiarse. Por eso plink se reserva para automatización, no para uso interactivo.

Alternativas a PuTTY: cuándo conviene cambiar

PuTTY es excelente, pero no es la única opción y no siempre es la mejor. Estas son las alternativas que merece la pena tener en cuenta según el caso.

Herramienta	Plataforma	Cuándo destaca
OpenSSH	Linux, macOS, Windows	Línea de comandos, scripts, automatización. Es el estándar de facto y ya viene en Windows moderno.
MobaXterm	Windows	Cuando quieres consolas con pestañas, explorador SFTP y servidor X en un solo programa.
Windows Terminal	Windows	Terminal moderna con pestañas que puede ejecutar el cliente SSH de OpenSSH.
KiTTY	Windows	Derivado de PuTTY con opciones extra como scripts y sesiones guardadas portables.
Termius / SecureCRT	Multiplataforma	Quien busca sincronización de sesiones entre equipos o entornos empresariales con soporte.

OpenSSH es la referencia. En Linux y macOS es el cliente por defecto, y desde hace años Windows incluye un cliente y un servidor oficiales, así que ya no hace falta un programa externo para administrar un Windows Server. Su punto fuerte es la automatización: se integra en scripts, usa ~/.ssh/config y es sobre el que se documentan las opciones del protocolo. Si trabajas a diario en una terminal, probablemente sea tu herramienta principal y PuTTY quede para casos concretos. La documentación de Microsoft sobre el OpenSSH incluido en Windows explica cómo activarlo paso a paso.

MobaXterm es la alternativa gráfica más popular en Windows. Reúne en una sola aplicación sesiones con pestañas, un explorador de archivos SFTP integrado, servidor X y herramientas de red. Para quien administra muchos servidores desde un escritorio Windows y quiere tenerlo todo a mano, es una opción muy cómoda, aunque bastante más pesada que PuTTY y con una versión gratuita limitada frente a la de pago.

Y no hay que olvidar que la elección de cliente es secundaria frente a cómo se configura. Un cliente moderno con la verificación de huellas desactivada es menos seguro que PuTTY bien usado. Lo determinante es que el programa compruebe la identidad del servidor y que la autenticación se haga con claves, no con contraseñas reutilizadas.

Buenas prácticas al usar PuTTY

PuTTY es seguro por defecto, pero su configuración prioriza la compatibilidad y hay descuidos que anulan buena parte de sus protecciones. Estas medidas son las que más aportan:

• Verifica la huella del servidor la primera vez. PuTTY te muestra la fingerprint de la clave del servidor y la guarda. Antes de aceptarla, confírmala por un canal distinto: ese paso es lo que evita que alguien se haga pasar por la máquina. No la aceptes por costumbre.
• Usa claves en lugar de contraseñas. Es la medida que más reduce el riesgo de robo de credenciales y la que corta en seco los ataques de fuerza bruta contra el servicio SSH.
• Protege las claves privadas con passphrase. Sirve de poco tener una clave si cualquiera que copie el fichero puede usarla. La passphrase, gestionada con Pageant, es la última línea de defensa.
• Nunca copies la clave privada entre equipos. Cada equipo genera la suya; si hace falta centralizar, se usan certificados SSH o un gestor de secretos, no ficheros compartidos.
• Evita el acceso directo de root. Entra con un usuario normal y escala con permisos. Así el atacante necesita dos pasos y queda rastro de quién hizo qué. Es el modelo que describe el control de acceso basado en roles aplicado al día a día.
• Confirma el extremo remoto de verdad. El candado de PuTTY solo protege si compruebas la identidad. No te fíes de una ventana que pide credenciales sin que hayas iniciado tú la conexión.
• Cierra los túneles y Pageant al terminar. Un reenvío olvidado sigue siendo una vía de acceso; un agente abierto en un equipo compartido deja tus claves disponibles.
• Mantén PuTTY actualizado. Las versiones nuevas corrigen fallos y retiran algoritmos antiguos. Un cliente desactualizado puede aceptar cifrados que hacía años que no deberían usarse.

Un poco de contexto ayuda a calibrar el riesgo: los incidentes reales rara vez empiezan rompiendo la criptografía de SSH. Empiezan con una clave mal guardada, una contraseña débil o un servidor sin parchear. La matemática aguanta; los descuidos, no. Para profundizar en esa cara humana de la seguridad, qué es un hacker y qué tipos existen es una buena lectura complementaria.

Preguntas frecuentes

¿PuTTY es gratis?

Sí. PuTTY se distribuye con licencia MIT, que permite usarlo, copiarlo y modificarlo sin coste, también en entornos comerciales. No hay versión de pago ni funciones bloqueadas.

¿PuTTY sirve en Linux y macOS?

Su origen y su uso mayoritario están en Windows, pero hay versiones para Unix y macOS. Aun así, en Linux y macOS lo habitual es usar directamente OpenSSH, que es la implementación de referencia y ya viene instalada.

¿Qué diferencia hay entre PuTTY y OpenSSH?

PuTTY es un cliente gráfico con su propia suite de utilidades; OpenSSH es la implementación más extendida del protocolo, pensada para la línea de comandos. Ambos hablan el mismo SSH, así que un servidor OpenSSH y un cliente PuTTY se entienden sin problema. La diferencia está en el entorno y en la comodidad, no en la compatibilidad.

¿Puedo usar mis claves de OpenSSH en PuTTY?

Sí, pero hay que convertirlas. PuTTY usa el formato PPK, así que una clave generada para OpenSSH debe importarse y convertirse con puttygen. La operación es reversible: también puedes exportar una clave PPK al formato de OpenSSH.

¿Para qué sirve pscp y en qué se diferencia de psftp?

Ambos copian archivos por SSH. pscp está pensado para copias directas y para usarse en scripts, con una sintaxis parecida a la del clásico scp. psftp es interactivo: abres una sesión y navegas por directorios remotos como en un cliente FTP, pero con la transferencia cifrada.

¿PuTTY puede conectarse a un switch por el puerto de consola?

Sí. PuTTY admite conexiones serie y permite abrir la consola de un conmutador o router a través de su puerto de consola, que suele tener aspecto de RJ-45 pero es serie. Es la vía de acceso cuando el equipo no tiene red configurada.

Conclusión

PuTTY lleva más de dos décadas resolviendo un problema que sigue intacto: entrar en otra máquina y trabajar en ella sin regalar las credenciales por el camino. Detrás de una ventana aparentemente humilde hay una suite completa —cliente gráfico, herramientas de transferencia, ejecución por línea de comandos, generación de claves y agente de autenticación— que cubre SSH, Telnet, serie y túneles. Dominar esas piezas, y no solo la ventana principal, es lo que marca la diferencia entre usarlo y aprovecharlo.

Las ideas que merece la pena llevarse caben en pocas líneas: autentica con claves y protégelas con passphrase, verifica siempre la huella del servidor, guarda tus sesiones para no repetir configuración y abre túneles solo cuando aportan, cerrándolos después. PuTTY no necesita que confíes en él a ciegas; necesita que lo configures con criterio. El resto lo hace el protocolo, que lleva desde 1995 demostrando que se puede ganar comodidad sin renunciar a la seguridad.