Fundamentos

Privacidad del DNS: qué protege y cuáles son sus límites

Por Daniel Sardá · Publicado el 22 de octubre de 2026 a las 22:08 UTC

8 min de lectura1.602 palabras

El DNS cifrado limita quién puede leer nuestras consultas en tránsito, pero no elimina la confianza en intermediarios ni oculta toda la actividad en internet.

Antes de que un sitio web aparezca en la pantalla, suele ocurrir algo menos visible: una aplicación pregunta qué dirección corresponde al nombre que queremos abrir. Esa consulta puede revelar información sobre nuestros intereses y hábitos incluso antes de que la página termine de cargar. ¿Quién puede verla y qué cambia cuando usamos un DNS cifrado?

La respuesta corta es que la privacidad del DNS reduce la exposición de esas consultas, sobre todo durante su recorrido entre el dispositivo y el resolutor. Es una mejora concreta, pero limitada: no vuelve anónima la navegación, no oculta todo el tráfico y tampoco elimina la necesidad de confiar en un intermediario.

Entender esos límites permite elegir con mayor criterio y evitar una confusión frecuente: proteger una parte de la comunicación no equivale a hacer invisible el conjunto.

Qué ocurre cuando consultamos un dominio

Las personas recordamos nombres como `ejemplo.org`; las redes necesitan otros datos para encontrar el servicio correspondiente. El Sistema de Nombres de Dominio, o DNS, hace posible esa traducción.

En una operación habitual, el dispositivo entrega la pregunta a un resolutor recursivo. Este puede responder con información guardada en caché o consultar otros servidores hasta obtener la respuesta. La caché hace que el recorrido concreto varíe, pero la función esencial se mantiene: resolver el nombre solicitado.

Aquí, “DNS privado” se refiere a la protección de las consultas de un usuario. La expresión también se emplea para describir zonas DNS internas de una empresa u organización, un asunto distinto.

El problema de privacidad no consiste en que un nombre de dominio sea secreto. Muchos registros DNS son públicos. Lo sensible es la posibilidad de asociar qué se consultó, desde qué origen y en qué momento. La RFC 9076 sobre consideraciones de privacidad del DNS explica que las consultas y sus patrones pueden vincularse con personas o dispositivos.

Idea clave: Un dominio puede ser público y, aun así, la secuencia de consultas de una persona constituir información privada.

Una consulta aislada tampoco prueba por sí sola que alguien visitó una página ni revela necesariamente su intención. Las aplicaciones realizan consultas en segundo plano, una página puede llamar a varios dominios y parte de la información puede proceder de una caché. Sin embargo, una sucesión de consultas sí puede sugerir rutinas, horarios, servicios utilizados o intereses sensibles.

Quién puede observar qué

Conviene separar a los actores porque no todos reciben la misma información ni ocupan el mismo lugar en la cadena.

En el DNS tradicional sin cifrar, alguien con capacidad de observar la red entre el dispositivo y el resolutor —por ejemplo, el operador de una red local o un proveedor de acceso— puede leer o interferir con las consultas que pasan por ese tramo. La visibilidad efectiva depende de la configuración y del recorrido real de los datos.

El resolutor se encuentra en una posición diferente. Necesita recibir la pregunta para contestarla, por lo que conserva visibilidad potencial sobre las consultas que procesa. Puede mantener registros o aplicar medidas de minimización; eso depende tanto de su diseño técnico como de las prácticas del operador.

Más adelante aparecen los servidores autoritativos, responsables de la información de los dominios. Técnicas como la minimización de QNAME, descrita en la RFC 9156, reducen la cantidad del nombre que se revela a determinados servidores durante la resolución. No ocultan la consulta al resolutor al que se la entregamos.

La distinción importa: una medida puede proteger frente a observadores del trayecto sin proteger frente al destinatario de la consulta.

Qué cambian DoT y DoH

Las dos formas más conocidas de DNS cifrado son DNS sobre TLS (DoT) y DNS sobre HTTPS (DoH). Ambas crean un canal cifrado entre el cliente y un resolutor compatible, aunque utilizan transportes diferentes.

DoT envía mensajes DNS dentro de una conexión TLS. La RFC 7858 especifica este mecanismo y asigna por defecto el puerto 853. DoH, definido en la RFC 8484, intercambia consultas y respuestas DNS mediante HTTPS con un punto de conexión configurado.

En ambos casos, el cifrado dificulta que un observador pasivo situado entre el dispositivo y el resolutor lea el contenido de la consulta. También aporta protección frente a modificaciones en ese canal cuando la conexión se autentica correctamente.

No se sigue de ello que DoH sea siempre más privado que DoT, ni al revés. La privacidad real depende de la implementación, de los metadatos disponibles, del resolutor elegido y del riesgo que se quiera reducir. DoH, además, opera en el entorno de HTTP y puede compartir algunos de sus riesgos de correlación.

Distinción útil: DoT y DoH protegen un trayecto de la consulta. No cifran automáticamente todas las etapas posteriores de la resolución ni todo el tráfico de navegación.

Tampoco deben confundirse con DNSSEC. Este último ayuda a verificar la autenticidad e integridad de los datos DNS, pero no tiene como propósito ocultar las consultas. Privacidad, integridad y autenticidad resuelven problemas relacionados, pero no intercambiables.

Lo que el DNS cifrado no oculta

La mejora es real precisamente porque puede describirse sin exagerarla. El DNS cifrado tiene varios límites:

• El resolutor recibe la consulta. El canal evita que terceros la lean fácilmente durante ese tramo, pero el servicio que la resuelve necesita conocerla.
• Persisten otros metadatos. El proveedor de acceso puede seguir viendo direcciones IP, volúmenes, horarios y duración de conexiones, aunque ya no lea el contenido DNS protegido.
• El tráfico posterior es otra cuestión. Resolver un dominio y conectarse al servicio son operaciones distintas. Cifrar la primera no protege por sí solo toda la segunda.
• La correlación sigue siendo posible. Los tiempos y patrones de las conexiones pueden permitir inferencias, especialmente cuando se combinan distintas fuentes de datos.
• No se obtiene anonimato. El cifrado del DNS no separa necesariamente la consulta de la identidad, la cuenta, la dirección IP o el dispositivo que la origina.
• No garantiza evitar censura, malware o rastreo. Esos problemas exigen medidas diferentes y dependen de más capas del sistema.

Por ejemplo, una persona puede dificultar que el operador de una red local lea el dominio sensible que consulta. Aun así, el resolutor elegido recibe esa solicitud y el proveedor de acceso observa una conexión posterior hacia cierta dirección IP. Cada actor ve una parte distinta; ninguna herramienta aislada borra todas las señales.

Advertencia: “Cifrado” describe cómo se protege el canal. No responde por sí solo quién conserva datos, durante cuánto tiempo ni con quién los comparte.

Cifrar también significa elegir en quién confiar

Cuando el resolutor de la red se sustituye por otro servicio, la confianza no desaparece: se desplaza. Puede reducirse la exposición frente a la red local o el proveedor de acceso y, al mismo tiempo, concentrarse un conjunto de consultas en un nuevo operador.

Esto no significa que todo cambio sea inútil. Significa que la evaluación no puede terminar en la presencia de un candado o en el nombre del protocolo. La RFC 8932, dirigida a operadores de servicios de privacidad DNS, destaca la importancia de prácticas como la minimización de datos, la retención limitada y la transparencia.

Desde una perspectiva de libertad individual, la cuestión central es el control informado sobre datos capaces de describir nuestra conducta. Ese control requiere opciones, pero también información comprensible sobre los intermediarios. Una elección técnica es genuina cuando la persona puede conocer qué protege, qué entrega a cambio y qué riesgos permanecen.

Cómo evaluar una opción de DNS privado

No existe una respuesta universal porque cada persona enfrenta actores y riesgos distintos. Antes de elegir una configuración o un resolutor, conviene formular algunas preguntas:

1. ¿Frente a quién busco protección? No es lo mismo una red wifi compartida que un proveedor de acceso, el propio resolutor o un adversario capaz de correlacionar tráfico.
2. ¿Qué tramo se cifra? Hay que comprobar si el dispositivo o la aplicación usan realmente DoT o DoH hasta el resolutor esperado y qué ocurre cuando falla la conexión protegida.
3. ¿Qué datos conserva el operador? Importan los registros, el plazo de retención, la finalidad declarada y las condiciones para compartir información.
4. ¿Cómo se financia y gobierna el servicio? Los incentivos y la rendición de cuentas ayudan a evaluar si una política de privacidad resulta creíble.
5. ¿Dónde opera y bajo qué reglas? La jurisdicción puede condicionar obligaciones legales y posibilidades de recurso.
6. ¿Concentra más información de la necesaria? Un servicio muy extendido puede ofrecer capacidad técnica y, a la vez, reunir consultas de muchos usuarios en un solo punto.

Estas preguntas forman un pequeño modelo de amenazas: identifican qué información queremos proteger, quién podría obtenerla y qué coste o complejidad estamos dispuestos a asumir. También evitan elegir una herramienta por una promesa abstracta de “máxima privacidad”.

Una capa útil, no una capa mágica

La privacidad del DNS no consiste en esconder que los dominios existen. Consiste en limitar la exposición de las consultas y dificultar que terceros las vinculen con una persona o un dispositivo. DoT y DoH ayudan a proteger el trayecto hasta el resolutor; otras medidas atienden la integridad, el tráfico posterior o la reducción de datos en etapas diferentes.

La decisión razonable depende del riesgo real. Para alguien conectado a redes que no controla, cifrar las consultas puede reducir una exposición inmediata. Para quien teme la acumulación de historiales, la política del resolutor será tan importante como el protocolo. Y ante adversarios con capacidad de correlación, harán falta protecciones adicionales.

La privacidad digital se construye por capas. El DNS cifrado es una de ellas: valiosa cuando se entiende con precisión, insuficiente cuando se confunde con invisibilidad.