DNS sobre HTTPS y TLS: Configuración en todos los navegadores y sistemas operativos

Antes de que tu navegador pueda cargar un sitio, solicita a un resolvedor DNS que convierta un dominio como example.com en una dirección IP. Tradicionalmente, esa búsqueda viaja en texto plano, por lo que tu ISP, operador de red o cualquier persona que intercepte la conexión puede leer cada dominio que visitas, incluso cuando la página en sí es HTTPS. DNS es una de las mayores filtraciones de privacidad que quedan en la navegación ordinaria.

DNS sobre HTTPS (DoH) y DNS sobre TLS (DoT) solucionan esto al cifrar la consulta entre tú y el resolvedor. La diferencia práctica: DoH envía DNS dentro de HTTPS normal en el puerto 443, por lo que se mezcla con el tráfico web y es difícil de bloquear o distinguir; DoT utiliza un puerto dedicado (853), que es más limpio arquitectónicamente pero más fácil de detectar y bloquear para una red. Los navegadores prefieren DoH; los sistemas operativos admiten ambos. Puedes probar lo que ve tu resolvedor en la herramienta DNS.

DNS encriptado oculta qué dominios buscas de tu ISP y de los observadores en el camino, y detiene la manipulación basada en DNS. Eso es una verdadera victoria para la privacidad y la integridad. Pero sé claro sobre sus límites: tu resolutor elegido aún ve tus consultas, así que estás trasladando la confianza de tu ISP a ese proveedor — elige uno con una política de privacidad sólida. También no oculta la IP de destino a la que te conectas, y TLS SNI aún puede revelar el nombre del host a menos que Encrypted Client Hello esté en juego.

Cómo se relaciona esto con una VPN: una VPN correctamente configurada ya enruta tu DNS a través de su propio resolutor dentro del túnel encriptado, por lo que tu ISP no ve ni tu DNS ni tu tráfico. Por eso es importante verificar si hay una filtración de DNS — si las búsquedas escapan del túnel al resolutor de tu ISP, la encriptación del resto de tu tráfico se ve socavada. DoH/DoT y una VPN son complementarios: el DNS encriptado protege las búsquedas en cualquier red; una VPN protege toda la conexión y su DNS juntos.