¿Qué es el formato de archivo PCAPNG?
Un archivo .pcapng contiene paquetes de datos capturados a través de una red, guardados en el formato PCAP Next Generation (PCAPNG). Los paquetes de datos almacenados en un archivo .pcapng son utilizados por aplicaciones de análisis de protocolos de red, como Wireshark, para monitorear y administrar el tráfico de red. PCAPNG reemplaza al antiguo formato .pcap y se convirtió en el formato de guardado predeterminado de Wireshark en la versión 1.8 (2012).
El formato organiza los datos en varios bloques tipados en una estructura organizada. Los tipos de bloques clave incluyen:
- Section Header Block (SHB) - abre una sección de captura; incluye el Byte-Order Magic (
1A 2B 3C 4D) para la detección automática de endianness. - Interface Description Block (IDB) - registra el tipo de capa de enlace y los metadatos de la interfaz para cada fuente de captura.
- Enhanced Packet Block (EPB) - almacena tramas individuales con marcas de tiempo precisas y etiquetas opcionales por paquete.
- Name Resolution Block (NRB) - mapea direcciones IP a nombres de host.
- Interface Statistics Block (ISB) - contiene estadísticas de captura por interfaz.
La información guardada en estos bloques puede utilizarse para reconstruir los datos capturados. El archivo se identifica por los magic bytes 0A 0D 0D 0A en el desplazamiento 0; el tipo MIME registrado es application/x-pcapng.
Seguridad y protección
RIESGO: MEDIUMUn archivo pcapng contiene datos pasivos y no puede ejecutarse por sí solo, pero es sensible: una captura puede contener contraseñas en texto plano, cookies/tokens de sesión, IPs internas y nombres de host, así como cargas completas de tráfico no cifrado. Trate las capturas como confidenciales: NO suba capturas sensibles a analizadores públicos en línea y realice un saneamiento antes de compartirlas. Capturar tráfico en redes que no son de su propiedad o que no administra puede ser ilegal. Existe un riesgo técnico secundario: históricamente, los errores de análisis en las herramientas (incluidos los dissectores de Wireshark) han sido explotados mediante archivos de captura malintencionados, por lo que debe mantener Wireshark actualizado y ser cauteloso al abrir capturas de fuentes no confiables.
Detalles del formato
en pocas palabrasNOMBRE COMPLETOPCAP Next Generation Capture File
DESARROLLADORWireshark / IETF OPSAWG (community standard)desde circa 2010 (Wireshark 1.8 made it the default save format in 2012)
CATEGORÍAArchivos de datos
TIPO MIMEapplication/x-pcapng
TIPOCaptura binaria de paquetes de red (estructurada en bloques)
ESTÁNDARAbierto · libre de regalías
MAGIC BYTES · FIRMA DE ARCHIVO
OFFSET
00010203
HEX
0A0D0D0A
ASCII
····
Un archivo pcapng comienza con un Section Header Block: los primeros 4 bytes son el tipo de bloque 0A 0D 0D 0A, seguidos de la longitud total del bloque, y un valor Byte-Order Magic 1A 2B 3C 4D aparece en el desplazamiento 8 (con los bytes intercambiados si el archivo es big-endian). Esto distingue a pcapng del formato pcap clásico MÁS ANTIGUO, cuyo magic es D4 C3 B2 A1 (little-endian) / A1 B2 C3 D4 (big-endian) en el desplazamiento 0. Wireshark detecta ambos automáticamente.
Programas que abren archivos PCAPNG
Windows3 apps
Wireshark
Código abierto Archivo > Abrir el .pcapng; Wireshark decodifica cada capa de protocolo y le permite filtrar, seguir flujos e inspeccionar paquetes. 
CapLoader
Pago Cargador rápido para capturas muy grandes; abre .pcapng para clasificar flujos y luego entregar flujos individuales a Wireshark. 
NetworkMiner
Freemium Abra el .pcapng para extraer archivos, imágenes, credenciales e información de host para análisis forense/seguridad (versión gratuita disponible). 
macOS1 app
Wireshark
Código abierto Archivo > Abrir el .pcapng; Wireshark decodifica cada capa de protocolo y le permite filtrar, seguir flujos e inspeccionar paquetes. 
Linux2 apps
Wireshark
Código abierto Archivo > Abrir el .pcapng; Wireshark decodifica cada capa de protocolo y le permite filtrar, seguir flujos e inspeccionar paquetes. 
tcpdump
Código abierto «tcpdump -r archivo.pcapng» imprime los paquetes en la terminal (el libpcap moderno lee pcapng).
Web1 app
A-Packets
Gratis Suba un .pcapng para analizar flujos en el navegador; úselo solo con capturas no sensibles (el archivo sale de su equipo). Detalles técnicos
especificación profunda| Magic bytes | 0A 0D 0D 0A en el desplazamiento de byte 0 (identificador de tipo Section Header Block); el Byte-Order Magic 1A 2B 3C 4D en el desplazamiento 8 dentro del SHB determina el endianness del archivo |
| Tipo MIME | application/x-pcapng |
| Soporte de endianness | Tanto los archivos little-endian como big-endian son válidos; los lectores detectan el orden de los bytes mediante el campo Byte-Order Magic en el Section Header Block |
| Arquitectura de bloques | Todos los datos se almacenan en bloques tipados con prefijo de longitud; cada bloque comienza con un campo de tipo de 32 bits y un campo de longitud total de 32 bits, lo que hace que el formato sea autodescriptivo y extensible hacia el futuro |
| Captura de múltiples interfaces | Un solo archivo puede contener paquetes de múltiples interfaces de red simultáneamente, cada una descrita por su propio Interface Description Block (IDB) |
| Resolución de marca de tiempo | Configurable por interfaz a través de las opciones del IDB; el valor predeterminado es precisión de microsegundos (10⁻⁶ s); también se admite la precisión de nanosegundos (10⁻⁹ s) |
| Tipos de bloques principales | Section Header (SHB), Interface Description (IDB), Enhanced Packet (EPB), Simple Packet (SPB), Name Resolution (NRB), Interface Statistics (ISB), Decryption Secrets (DSB) |
| Opciones de bloque / Metadatos TLV | Cada tipo de bloque admite campos opcionales codificados en TLV para comentarios, nombres de interfaz, descripciones de SO y extensiones personalizadas de proveedores |
| Codificación del tipo de capa de enlace | Se almacena en cada IDB utilizando códigos LINKTYPE de libpcap (p. ej., LINKTYPE_ETHERNET = 1, LINKTYPE_RAW = 101); diferentes interfaces en el mismo archivo pueden tener diferentes tipos de enlace |
| Decryption Secrets Block (DSB) | Introducido alrededor de 2019; incrusta claves de sesión TLS o WireGuard (compatibles con SSLKEYLOGFILE) directamente en la captura, permitiendo el descifrado dentro del archivo en Wireshark |
| Concatenación de secciones | Pueden aparecer múltiples Section Header Blocks secuencialmente en un archivo, lo que permite añadir sesiones de captura separadas sin volver a codificar |
| Longitud de instantánea (snaplen) | El máximo de bytes capturados por paquete se define por interfaz en el IDB; comúnmente 65535 bytes o 262144 bytes en herramientas de captura modernas |
| Compresión nativa | No está integrada en el formato; los archivos suelen comprimirse externamente con gzip y se referencian con una extensión .pcapng.gz para reducir el tamaño de almacenamiento |
| Lanzado | circa 2010 (Wireshark 1.8 made it the default save format in 2012) |
| Estándar abierto | Sí · libre de regalías |
| Especificación | www.ietf.org |
Conversiones de PCAPNG
Posible
.PCAPNG .PCAPGUÍA
Sí, PCAPNG se convierte a PCAP - la forma más rápida es un comando: editcap -F pcap entrada.pcapng…
Cómo convertir
.PCAPNG .CSVGUÍA
Sí - Wireshark exporta datos de paquetes a CSV en unos pocos clics, y tshark hace lo mismo desde la línea de…
Cómo convertir
.PCAPNG .JSONGUÍA
Sí - ejecute tshark -r archivo.pcapng -T json y obtendrá la salida JSON inmediatamente desde la línea de…
Cómo convertir
.PCAPNG .TXTGUÍA
Sí, puedes exportar un archivo PCAPNG a texto plano; la forma más rápida es un comando de tshark en una…
Cómo convertir
Preguntas y respuestas de la comunidad
preguntado por usuariosAún no hay preguntas; sea el primero en preguntar sobre los archivos PCAPNG.
Preguntas frecuentes
¿Cómo abro un archivo PCAPNG?
Use Wireshark (gratuito para Windows, macOS y Linux): Archivo > Abrir el .pcapng y decodificará cada capa del protocolo. En Linux/macOS también puede leerlo con «tshark -r archivo.pcapng» o «tcpdump -r archivo.pcapng».
¿Cuál es la diferencia entre PCAPNG y PCAP?
PCAP es el antiguo formato clásico de libpcap; PCAPNG (nueva generación) es el formato más nuevo y predeterminado de Wireshark que añade múltiples interfaces por archivo, marcas de tiempo en nanosegundos y comentarios/metadatos por paquete. Wireshark abre ambos.
¿Cómo convierto PCAPNG a PCAP?
En Wireshark elija Archivo > Guardar como y seleccione el formato «pcap», o ejecute «editcap -F pcap entrada.pcapng salida.pcap». Es un proceso con pérdida: las funciones exclusivas de pcapng (interfaces adicionales, tiempos en nanosegundos, comentarios) se descartan.
¿Por qué mi herramienta pide .pcap cuando tengo un .pcapng?
Las herramientas más antiguas o simples fueron escritas para el pcap clásico. Muchas en realidad leen pcapng correctamente a pesar de la etiqueta; si una realmente no lo hace, conviértalo con editcap o con «Guardar como» en Wireshark. Los datos de captura son los mismos paquetes en ambos casos.
¿Puede un archivo PCAPNG contener contraseñas o datos privados?
Sí, almacena el tráfico sin procesar, por lo que cualquier credencial en texto plano, cookies o contenido no cifrado es visible en los paquetes. Trate las capturas como confidenciales y evite subir capturas sensibles a herramientas públicas en línea.
¿Cómo leo un PCAPNG sin instalar software?
Subiéndolo a un analizador basado en navegador como A-Packets, pero solo para capturas que no sean sensibles, ya que el archivo sale de su equipo. Para cualquier cosa confidencial, instale Wireshark localmente en su lugar.
Referencias
1IETF OPSAWG - PCAP Next Generation (PCAPNG) Capture File Formatwww.ietf.org
2Wireshark Wiki - Development/PcapNgwiki.wireshark.org
