Cuando se habla de seguridad de red empresarial con robots Unitree, el punto de partida es la arquitectura documentada por el fabricante, no el departamento en el que caminará el robot. Un G1 o un Go2 no es un electrodoméstico aislado: tiene un sistema operativo, una cuenta, un canal de actualización y, en el G1 EDU, un acceso SSH para el desarrollo. El trabajo del responsable de TI es decidir cuáles de esos canales mantener abiertos, en qué segmento y con qué credenciales.
Información general, no asesoramiento legal ni de ciberseguridad. Las configuraciones deben adaptarse a la red, al contrato y a la versión del robot; para un caso concreto hacen falta el proveedor y, cuando sea necesario, un consultor.
Seguridad de red empresarial: los tres niveles que hay que separar
El primer nivel es la red: quién puede comunicarse con el robot y hacia qué destinos. El segundo es el endpoint: credenciales, servicios expuestos, Bluetooth, puertos USB y cuentas. El tercero son los datos: vídeo, audio, mapas, telemetría y copias de seguridad. Si se actúa solo sobre uno de los tres, los otros dos quedan sin cubrir.
La pregunta útil es qué canales hacen falta de verdad. Un Go2 usado con mando a distancia no requiere teleoperación remota; un G1 EDU para ROS 2 requiere acceso a la red del robot y SSH, no necesariamente la app por Internet.
Qué apps y servicios en la nube usa un robot Unitree
La documentación para desarrolladores describe una arquitectura común a Go2 y G1. El robot se conecta a los servicios en la nube solo tras la autorización del usuario. La nube sirve para tres cosas: telemetría y diagnóstico, actualizaciones del sistema y teleoperación mediante WebRTC. Los canales declarados son MQTT para la comunicación IoT y las actualizaciones, HTTP para la cuenta y el binding, TURN/STUN para encaminar el vídeo cuando la conexión directa no funciona. Bluetooth LE sirve para configurar la red y verificar la seguridad; dentro del robot, la comunicación entre módulos pasa por DDS.
| Canal | Para qué sirve | Indicación para TI |
|---|---|---|
| Ethernet y DDS | Control y desarrollo local, topics de ROS 2 | Red del robot separada, sin routing hacia los usuarios |
| Wi-Fi en modo infraestructura | App, telemetría y servicios en la nube | SSID dedicado y VLAN del robot |
| Wi-Fi en modo AP | Configuración inicial: el robot crea un punto de acceso | Solo en la puesta en marcha, en una zona controlada |
| Bluetooth LE | Configuración de red y verificación de seguridad | Acceso físico limitado, puesta en marcha registrada |
| MQTT y HTTP hacia la nube | OTA, diagnóstico, cuenta y binding | Salida permitida solo si hace falta, con registros |
| WebRTC, TURN y STUN | Vídeo y comandos remotos | Bloquear si no se usa la teleoperación |
La red local: Ethernet, DDS y 192.168.123.x
Dos detalles cambian el diseño. El primero: la red interna del robot usa la subred 192.168.123.x; el ordenador de desarrollo del G1 responde en 192.168.123.164, y el de a bordo del Go2 en 192.168.123.161. No debe exponerse a la red empresarial. El segundo: en las versiones Go2 Air y Pro las interfaces Ethernet y SBUS no están disponibles; están reservadas a la EDU. Si el proyecto requiere un cable, la versión debe elegirse antes del pedido, no después.
Configurar una VLAN aislada, paso a paso
No existe una configuración válida para todos los sitios, pero el orden de los pasos siempre es el mismo. Ejemplo con cifras hipotéticas: VLAN 210 para los robots, subred 192.168.210.0/24, puerta de enlace 192.168.210.1, direcciones reservadas de .10 a .30; VLAN 200 para la administración, con un jump host.
- Separa el tráfico. Crea una VLAN y un SSID dedicados. No reutilices la VLAN de los PC ni la de gestión.
- Bloquea el routing lateral. La VLAN de los robots no debe alcanzar la red de usuarios. El único acceso administrativo pasa por un jump host en la VLAN 200, con reglas nominativas y registros.
- Asigna direcciones estables. Reservas DHCP o IP estáticas para cada robot, con la MAC y el número de serie en el inventario.
- Parte de default deny en salida. Abre solo los destinos necesarios para OTA, app y teleoperación, y solo en las ventanas en que hagan falta.
- Mantén DDS dentro de la VLAN. La comunicación local entre el PC de desarrollo y el robot usa DDS; el multicast de descubrimiento no debe atravesar routers o firewalls sin una configuración dedicada. Para las primeras pruebas, sigue la guía ROS 2 en robots Unitree.
- No expongas la subred 192.168.123.x. Si un proveedor pide acceso remoto, prevé una sesión temporal y registrada.
- Mide antes de cerrar. Deja pasar el tráfico durante unos días, registra destinos y volúmenes, y después construye la regla. Sin una línea base, la lista de permitidos se convierte en una lista de excepciones.
Qué desactivar o limitar si no hace falta
| Elemento | Cuándo hace falta | Qué hacer si no hace falta |
|---|---|---|
| Punto de acceso Wi-Fi del robot | Configuración inicial o entornos sin Wi-Fi | Usa Ethernet o Wi-Fi de infraestructura; evita el AP en producción |
| App y cuenta en la nube | Binding, OTA, teleoperación | Bloquea la salida; quedan el control local y DDS |
| Módulo 4G con eSIM (SIM integrada) | Uso fuera de la sede o movilidad | Elige una versión sin módulo o limita la conectividad con el operador |
| Bluetooth LE | Configuración y verificación inicial | No es un canal de operación: concentra la puesta en marcha en una zona controlada |
| SSH en las versiones EDU | Desarrollo y mantenimiento | Contraseña cambiada, claves, acceso solo desde el jump host |
| WebRTC y TURN | Teleoperación remota | Bloquea en salida si el robot trabaja solo en la sede |
| Puertos USB y estaciones de acoplamiento | Actualizaciones y desarrollo | Acceso físico controlado y registro de las intervenciones |
La documentación para desarrolladores indica para el G1 EDU el usuario unitree y una contraseña inicial conocida; lo mismo vale para la estación de acoplamiento del Go2. Son credenciales de laboratorio: deben cambiarse antes de conectar el robot a la red, junto con las credenciales del punto de acceso. Con una cuenta compartida no se atribuye un acceso a una persona.
La app usa Bluetooth para configurar la red y verificar la seguridad de la conexión. La medida útil es física: configuración en una zona reservada, teléfono de empresa y operación registrada. Después, el acceso a la zona y a los puertos sigue limitado.
Actualizaciones: cómo gestionarlas sin abrirlo todo
Unitree declara el OTA por la nube para el G1 y para el Go2; la página del Go2 precisa que el robot se conecta solo con autorización del usuario y la arquitectura indica MQTT para las actualizaciones. Una VLAN sin Internet no recibe el OTA: hay que incluirlo en el proyecto antes de la instalación.
Un procedimiento sostenible en una empresa tiene seis pasos:
- Inventario de versiones. Anota el firmware del robot, la versión de la app y, si existe, la versión de la estación de acoplamiento o del módulo de cálculo.
- Ventana de actualización. Abre la salida hacia los servicios del fabricante solo en la ventana acordada, con un robot cada vez.
- Prueba en una unidad. Actualiza primero un robot de laboratorio y verifica el movimiento, los sensores, la red y vuestra aplicación.
- Verificación después de la actualización. Comprueba la versión instalada y repite la prueba de red. Si la actualización cambia el comportamiento, detente y abre un ticket.
- Registro. Conserva la versión, la fecha, el resultado y el operador.
- Plan B para el aislamiento total. Si la red no tiene salida, pide al proveedor el procedimiento offline y los paquetes oficiales. Nada de firmware de terceros.
Para el G1, el procedimiento en la app, las comprobaciones antes de empezar y los errores que hay que evitar están en la guía para actualizar el firmware del G1. En general: batería cargada, red estable, ninguna interrupción y un procedimiento de rollback acordado con el proveedor.
Datos: vídeo, audio y telemetría
Un G1 tiene cámara de profundidad, LiDAR, cuatro micrófonos y altavoz; un Go2 tiene cámara, LiDAR y, en algunas versiones, voz e intercomunicador. Son sensores útiles para la aplicación, pero también recogen lo que hay alrededor del robot. Si el robot graba o registra a personas identificables, el tratamiento entra en el ámbito del RGPD y de las indicaciones de las autoridades de protección de datos sobre videovigilancia: finalidad, minimización, información, plazos de conservación y, cuando concurran los supuestos, evaluación de impacto.
Unitree declara que los datos operativos recogidos por la nube no afectan a la privacidad y que el servidor no recoge ni analiza el tráfico WebRTC. Son declaraciones útiles para el contrato, pero no sustituyen la evaluación del responsable del tratamiento. Antes de la teleoperación, decide dónde acaban las grabaciones y quién puede verlas.
En el robot, pregunta si el disco está cifrado y cómo se borran los datos antes de una permuta o una reparación. Si no está documentado, trátalo como un portátil.
Cyber Resilience Act: los hechos que hay que conocer
El Reglamento (UE) 2024/2847, el Cyber Resilience Act, está en vigor desde el 10 de diciembre de 2024. Las obligaciones de notificación se aplican desde el 11 de septiembre de 2026; las obligaciones principales, desde el 11 de diciembre de 2027. Afecta a los productos con elementos digitales introducidos en el mercado de la UE, por lo tanto también a un robot conectado.
Según la ficha de la Comisión Europea, el fabricante debe garantizar la seguridad por defecto, gestionar las vulnerabilidades durante el periodo de soporte, declarar su fin, facilitar instrucciones de uso y colocar el marcado CE. No es una obligación automática para quien compra.
Para quien compra, el CRA es una lista de preguntas antes del pedido: fin del soporte, canal para las vulnerabilidades, actualizaciones e instrucciones para una instalación segura. Son datos que el fabricante facilita y que conviene comprobar antes de la compra. Quien comercializa el producto con su propia marca puede asumir obligaciones de fabricante.
El CRA no sustituye el Reglamento de máquinas (UE) 2023/1230: la seguridad de las máquinas sigue regulada por ese reglamento. La guía del Reglamento de máquinas 2027 explica la parte de máquinas.
Lista de comprobación antes de llevar el robot a la planta
- VLAN y SSID dedicados, sin routing hacia la red de usuarios.
- Direcciones estables e inventario con MAC, número de serie y versión de firmware.
- Contraseñas del robot, del punto de acceso y de las cuentas cambiadas; ninguna cuenta personal.
- Salida a Internet cerrada por defecto, abierta solo para OTA y teleoperación.
- Procedimiento de actualización escrito, con prueba en una unidad y registro.
- Evaluación de privacidad si el robot graba o registra a personas.
- Contrato con periodo de soporte y canal de notificación de vulnerabilidades.
- Plan de retirada: borrado de datos, revocación de cuentas y eliminación de la VLAN.
Preguntas frecuentes
¿Un robot Unitree puede estar en la misma VLAN que los PC de la empresa?
No. Debe ir en una VLAN dedicada, sin routing hacia la red de usuarios; el acceso administrativo pasa por un jump host. Así, un problema en el robot no expone el resto de la red.
¿Qué puertos hay que abrir para un Unitree?
No abras puertos de entrada. El robot inicia conexiones de salida hacia los servicios en la nube para OTA, app y teleoperación; permite solo esos destinos y solo cuando hagan falta. Para el uso local basta la red del robot.
¿Puedo usar un Unitree sin conectarlo a la nube?
Sí, para el control local por Ethernet y DDS, en las versiones EDU. Pierdes el OTA y la teleoperación desde la app; el procedimiento de actualización offline debe pedirse al proveedor.
¿Cómo actualizo el firmware en una red aislada?
Con una VLAN de actualización que tenga acceso de salida solo durante la ventana, un robot cada vez y un registro de versiones. Si el aislamiento es total, hace falta un procedimiento del proveedor.
¿El Cyber Resilience Act afecta también a la empresa que usa el robot?
Las obligaciones principales son del fabricante. Quien compra debe pedir el periodo de soporte, un canal para las vulnerabilidades y las actualizaciones. Quien comercializa con su propia marca puede asumir obligaciones de fabricante.
Fuentes
- Unitree, arquitectura del sistema Go2 (nube tras autorización, MQTT, HTTP, WebRTC, BLE): support.unitree.com
- Unitree, arquitectura del sistema G1 (nube tras autorización, MQTT, HTTP, TURN/STUN, BLE, DDS): support.unitree.com
- Unitree, página oficial del Go2 (Wi-Fi 6, Bluetooth, módulo 4G, OTA por la nube con autorización): unitree.com/go2
- Unitree, página oficial del G1 (Wi-Fi 6, Bluetooth 5.2, OTA): unitree.com/g1
- Unitree, interfaces eléctricas y versiones del Go2 (Ethernet y SBUS solo en la EDU): support.unitree.com
- Unitree, FAQ para desarrolladores del G1 (usuario y contraseña iniciales, IP del PC1 y del PC2): support.unitree.com
- Unitree, guía rápida del Go2 (red 192.168.123.x e IP del ordenador de a bordo): support.unitree.com
- Unitree, estación de acoplamiento del Go2 (usuario y contraseña iniciales): support.unitree.com
- Comisión Europea, resumen del Cyber Resilience Act: digital-strategy.ec.europa.eu
- Comisión Europea, obligaciones de los fabricantes según el CRA: digital-strategy.ec.europa.eu
- Reglamento (UE) 2024/2847 (Cyber Resilience Act), texto oficial: EUR-Lex
- Garante per la protezione dei dati personali (autoridad italiana de protección de datos), FAQ sobre videovigilancia: garanteprivacy.it