SNI Encriptado (ESNI)

El SNI Encriptado (ESNI) aborda una fuga sutil en HTTPS. Durante el apretón de manos TLS, el cliente normalmente envía el nombre de host de destino en claro en el campo de Indicación de Nombre del Servidor para que un servidor que aloja muchos sitios sepa qué certificado presentar. Eso significa que un observador de la red puede ver qué sitio estás visitando, aunque el contenido de la página esté encriptado. ESNI, y su sucesor más completo, Encrypted Client Hello (ECH), encriptan ese campo para que el nombre de host ya no esté expuesto en la red.

Esto importa porque cierra una de las últimas señales en texto plano en una sesión de otro modo cifrada, complementando DNS cifrado: DoH oculta la búsqueda, y ESNI/ECH oculta el nombre de host en el apretón de manos, por lo que juntos eliminan las formas fáciles de ver a dónde te diriges. El soporte depende del navegador, el servidor y la CDN que tenga delante, y la adopción sigue siendo desigual, con ECH ahora como la dirección de viaje. Para la privacidad cotidiana es una capa más en lugar de una herramienta independiente — más útil combinada con un VPN y DNS cifrado en lugar de depender de ella sola.

El soporte para ESNI y ECH depende de tu navegador, el servidor y la CDN que lo precede, y la adopción sigue siendo desigual, siendo ECH la dirección a seguir. Trátalo como una capa entre varias: combínalo con DNS encriptado para ocultar la búsqueda y un VPN para ocultar tu IP, de modo que el nombre de host, la consulta y el origen estén todos cubiertos. Por sí solo, ocultar el campo SNI cierra una única fuga en lugar de ofrecer anonimato de extremo a extremo.