DNS sobre HTTPS frente a DNS sobre TLS

DNS sobre HTTPS (DoH) y DNS sobre TLS (DoT) cifran los intercambios DNS entre un cliente y el resolutor elegido. Ambos protegen esta parte del recorrido frente a la inspección y la modificación casuales en la red. Pero ninguno de los dos vuelve invisibles ni anónimas sus visitas a sitios web.

Cómo viajan las solicitudes

DoH traslada las consultas y respuestas DNS a intercambios HTTPS; el protocolo se define en el RFC 8484. DoT transporta los mensajes DNS dentro de una conexión TLS dedicada, especificada en el RFC 7858. Ambos requieren compatibilidad del cliente y del resolutor, así como la autenticación del resolutor. Una opción llamada «DNS seguro» no indica por sí sola qué proveedor está seleccionado ni si el dispositivo puede recurrir al DNS ordinario.

DoH suele estar integrado en un navegador o una aplicación y puede usar la infraestructura HTTPS ordinaria. DoT se configura habitualmente en el sistema operativo o en la red y usa una conexión DNS diferenciada. Son patrones habituales, no garantías: el comportamiento real depende del dispositivo, la aplicación y la política de la red. Ni un número de puerto ni la etiqueta de un protocolo demuestran que un servicio sea de confianza.

Qué sigue siendo visible

El operador del resolutor elegido recibe las consultas necesarias para responder. El sitio web de destino ve una conexión, mientras que otros participantes de la red pueden ver las direcciones IP de la conexión y otros metadatos. El DNS cifrado no borra el historial del navegador, las cookies, los inicios de sesión en cuentas ni la información que usted envía a un sitio. Para tomar decisiones sobre privacidad, examine el recorrido completo de la conexión y la política de datos del resolutor.

DNSSEC cumple otra función. Puede validar el origen y la integridad de los datos DNS firmados cuando la cadena de confianza está configurada; no cifra las consultas entre el cliente y el resolutor. Un resolutor DoH o DoT también puede validar DNSSEC. Considere estos mecanismos complementarios, no intercambiables. Para contrastar las respuestas, puede usar la comprobación del tiempo de respuesta DNS de 2IP.

Compruebe la configuración real

Averigüe si el navegador usa la configuración DNS del sistema o su propio resolutor cifrado. Compare la respuesta esperada con la comprobación de la configuración DNS y con una consulta a través del resolutor seleccionado. Las diferencias no siempre indican una fuga: una CDN puede adaptar las respuestas a la ubicación del resolutor y a otras condiciones. Compruebe también qué ocurre cuando el resolutor cifrado no está disponible.

En una red gestionada, el filtrado, los nombres internos y la política de seguridad pueden exigir un resolutor concreto. Un cambio arbitrario de DNS puede dejar inaccesibles los recursos internos. Antes de ajustar la configuración, identifique quién gestiona la red, qué nombres deben resolverse y si se permite una ruta DNS alternativa.

Elija con criterio

Evalúe la disponibilidad de un proveedor, su tratamiento de los datos, la validación DNSSEC y su comportamiento ante fallos, en lugar de fiarse de una sola promesa de privacidad. Pruebe sitios web habituales y los nombres internos necesarios después de hacer un cambio. Si el problema de fondo es un registro autoritativo incorrecto, cambiar el transporte DNS no puede corregirlo.