Cómo configurar DNS privadas para una navegación más segura

Android Guías » Dispositivos Android » Cómo configurar DNS privadas para una navegación más segura

La mayoría de las veces que nos conectamos a Internet ni reparamos en qué ocurre por debajo: abrimos el navegador, escribimos una dirección y listo. Pero en cada una de esas acciones hay un elemento clave que muchas veces pasa desapercibido: las DNS que resuelven los nombres de dominio que visitamos. Y ahí es donde entra en juego configurar DNS privadas para ganar seguridad y privacidad.

Desde hace unos años, tanto en móviles como en ordenadores, se han ido incorporando tecnologías como DNS sobre TLS y DNS sobre HTTPS que permiten cifrar las consultas DNS para que nadie pueda cotillear de forma sencilla qué webs visitas o manipular tu tráfico. Si eliges bien el proveedor e inviertes un par de minutos en la configuración, puedes tener una navegación mucho más protegida sin complicarte la vida.

Qué es el DNS y por qué es tan importante para tu navegación

El Sistema de Nombres de Dominio, o DNS por sus siglas en inglés, actúa como una especie de agenda telefónica de Internet que traduce nombres a direcciones IP. Cuando escribes en el navegador algo como «ejemplo.com», tu dispositivo no sabe de primeras dónde está ese servidor; manda una consulta DNS para que un servidor especializado le devuelva la IP exacta a la que debe conectarse.

Este sistema está distribuido por todo el mundo y funciona de manera jerárquica: tu dispositivo pregunta al servidor DNS más cercano o configurado por defecto (normalmente el de tu operador), y este va consultando otros servidores hasta encontrar la respuesta correcta. Todo ocurre en milésimas de segundo, por eso casi nunca somos conscientes de ese proceso.

La relevancia del DNS es enorme porque prácticamente cualquier acción en Internet arranca con una petición DNS: abrir una web, revisar el correo, ver un vídeo en streaming o usar una app que se conecta a un servicio remoto. Si el eslabón DNS es débil, todo lo que viene después también queda expuesto.

Tradicionalmente, estas consultas se realizaban en texto plano, sin ningún tipo de cifrado. Eso implica que cualquiera que pudiera espiar tu red (desde tu propio proveedor de Internet a un atacante en una WiFi pública) tenía muy fácil ver qué dominios estabas visitando o incluso manipular esas respuestas.

Riesgos de usar DNS sin cifrar y ataques más habituales

Cuando las peticiones DNS viajan sin protección, se abren varias puertas a problemas de seguridad. El más conocido es el envenenamiento o manipulación de caché DNS: si un atacante logra introducir respuestas falsas en el servidor o en tu dispositivo, puede redirigirte a páginas fraudulentas que se hacen pasar por sitios legítimos.

Este tipo de ataque puede desembocar en casos de phishing muy convincentes. Imagínate que escribes la dirección de tu banco y, por culpa de un DNS manipulado, terminas en una copia exacta de la web real, pero gestionada por delincuentes. Introduces tus credenciales pensando que todo va bien y, en realidad, se las estás dando al atacante.

Otro frente delicado es la privacidad. Un DNS en claro permite que cualquiera con acceso a la red recopile un registro muy detallado de tus hábitos de navegación: qué sitios visitas, cuándo y con qué frecuencia. Esto, en manos de un proveedor o una empresa con fines comerciales, es oro puro para perfilarte; en manos de un atacante, es información sensible que puede explotarse.

Además de los ataques de falsificación, los DNS inseguros pueden usarse para bloquear arbitrariamente el acceso a determinados dominios. Algunos operadores filtran webs mediante el DNS para cumplir con legislaciones o políticas internas. Cambiar a servidores privados y más respetuosos con la privacidad es una forma sencilla de recuperar ese control.

Por último, si el servidor DNS es lento o está mal configurado, puede penalizar la experiencia de uso: cada web tardará más en comenzar a cargar, porque la resolución de nombres se convierte en un cuello de botella. No es raro notar mejoras de velocidad al cambiar a DNS más rápidos y optimizados.

Tecnologías para proteger las consultas: DNS sobre TLS y DNS sobre HTTPS

Para solucionar estos problemas se han estandarizado varias tecnologías que cifran las consultas DNS. Dos de las más extendidas son DNS sobre TLS (DoT) y DNS sobre HTTPS (DoH). La idea es parecida en ambos casos: envolver las peticiones DNS dentro de un canal cifrado, de forma que nadie entre tu dispositivo y el servidor pueda ver o modificar el contenido.

DNS sobre TLS usa la capa de transporte TLS, la misma que protege, por ejemplo, el tráfico HTTPS, pero aplicada directamente al protocolo DNS. Android, a partir de la versión 9, integra este sistema bajo el nombre de DNS privado, de modo que todo el tráfico de resolución de nombres del sistema se cifra automáticamente hacia el servidor elegido.

DNS sobre HTTPS, por su parte, encapsula las peticiones DNS dentro de conexiones HTTPS estándar. Muchos navegadores modernos han añadido soporte para DoH directamente en sus ajustes, de forma que la resolución de nombres se realiza en un túnel cifrado hacia proveedores compatibles como Cloudflare, Google o NextDNS, entre otros.

En ambos casos se consigue que ni el proveedor de Internet ni los posibles espías en redes WiFi públicas puedan leer en claro qué dominios estás resolviendo ni inyectar respuestas falsas con facilidad. Además, los proveedores de DNS seguros suelen combinar el cifrado con listas de dominios maliciosos para bloquear webs de malware, phishing o spam.

Eso sí, hay un matiz importante: sigues confiando en el proveedor de DNS que elijas. Aunque muchas compañías de renombre aseguran no registrar ni explotar comercialmente tus consultas, conviene revisar sus políticas de privacidad y términos de uso antes de decidirte y, si buscas alternativas complementarias, considerar también las VPNs más seguras para tu dispositivo.

Cómo funcionan las DNS privadas en Android: DNS sobre TLS

Google incorporó en Android 9 Pie una función llamada DNS privado, que implementa DNS sobre TLS a nivel de sistema. Esto significa que todas las apps del móvil, sin excepción, utilizan el mismo canal DNS cifrado que configures, sin que tengas que tocar cada aplicación por separado.

La pega es que esta característica depende de que tu proveedor de Internet o el servidor DNS que uses ofrezca soporte para DNS sobre TLS. Si tu compañía no lo soporta, verás que el modo automático no aporta cifrado real y te tocará introducir manualmente un servidor compatible, como los de Google Public DNS o Cloudflare, mediante su nombre de host.

Existen herramientas en la web, como las pruebas de páginas especializadas en seguridad, que permiten comprobar si tu conexión está realmente usando TLS para las consultas DNS. Si los test indican que no, puedes optar por uno de los proveedores alternativos más conocidos que sí soportan este protocolo.

Los pasos generales para activar o cambiar el DNS privado en Android suelen ser parecidos, aunque cada fabricante reorganiza los menús a su manera. Normalmente tendrás que entrar en los ajustes del teléfono, ir a Conexiones o Redes e Internet y localizar el apartado DNS privado. Una vez dentro, podrás elegir entre dejarlo en modo automático, desactivarlo o indicar un nombre de host concreto.

En móviles con capas de personalización algo enrevesadas, como algunos modelos de Xiaomi, puede que el ajuste no esté a la vista. En esos casos, ayuda usar el buscador integrado de la pantalla de ajustes escribiendo «DNS privado» o recurrir a utilidades que exponen ajustes ocultos, como las conocidas apps de acceso a menús avanzados de MIUI.

Guía práctica: configurar DNS privadas en Android paso a paso

En la mayoría de dispositivos con Android 9 o superior, el proceso para habilitar DNS privadas con cifrado TLS es bastante directo y apenas te llevará un momento. De forma general, el recorrido sería algo como esto: abrir Ajustes, entrar en el apartado de Conexiones o Redes, y buscar la opción «DNS privado».

Cuando entres en ese menú verás que, por defecto, la opción suele estar en «Automático». Eso indica que el móvil usará lo que ofrezca tu red o tu operador. Si quieres sacarle partido de verdad, cambia el modo a una opción similar a «Nombre de host del proveedor de DNS privado» o texto equivalente (según la traducción de tu fabricante).

En el cuadro que aparezca tendrás que introducir el host del servicio que quieras usar. Por ejemplo, para usar los DNS cifrados de Google, deberías escribir dns.google. Si prefieres Cloudflare, uno de los valores habituales para DNS sobre TLS es 1dot1dot1dot1.cloudflare-dns.com. Introduce el que corresponda al proveedor elegido y guarda los cambios.

Una vez aceptada la nueva configuración, se recomienda reiniciar el teléfono para asegurarte de que todas las conexiones se rehacen usando el nuevo DNS privado. A partir de ese momento, las consultas DNS de todo el sistema pasarán por el túnel cifrado hacia el proveedor configurado, tanto en el navegador como en cualquier app instalada.

Este método tiene la ventaja de que no necesitas instalar aplicaciones de terceros ni configurar nada en las redes WiFi una por una. Siempre que el proveedor que indiques soporte DNS sobre TLS, disfrutarás de un nivel añadido de privacidad y de protección frente a manipulaciones de respuestas, sin perder compatibilidad con tu operador móvil o tu conexión de fibra.

Configurar DNS privadas en móviles Android e iOS sin modo «DNS privado»

En dispositivos que no cuentan con el modo de DNS privado a nivel de sistema, o en versiones anteriores de Android, también puedes cambiar las DNS que utilizas en cada red WiFi de forma manual. Es menos elegante, pero igualmente útil para saltarte bloqueos o ganar rendimiento.

En Android, el camino típico es abrir los ajustes de WiFi, mantener pulsado sobre la red a la que estás conectado y elegir la opción de modificar o editar red. A continuación, activas las opciones avanzadas y cambias la configuración de IP de automática (DHCP) a estática o manual. Esto te permitirá introducir direcciones para DNS 1 y DNS 2.

En iOS el proceso es parecido, pero con su propia terminología. Debes ir a los ajustes de WiFi, pulsar en el icono «i» que aparece junto a tu red y entrar en la sección de configuración DNS. Desde ahí puedes cambiar el modo a manual y añadir tantas direcciones de servidores DNS como quieras, borrando si lo deseas las que vinieran de tu operador.

El inconveniente de este enfoque es que solo afecta a esa red en concreto. Si cambias de WiFi o si usas datos móviles, volverás a utilizar las DNS predeterminadas del operador salvo que repitas la operación allí donde sea posible. Aun así, para la conexión de casa u oficinas que usas a diario, es un método muy efectivo. Si buscas privacidad extra, también puedes usar Tor en Android.

Conviene recordar que, cuando cambias las DNS de esta manera, las consultas no van cifradas por sí mismas, a menos que el sistema operativo o el navegador implementen tecnologías tipo DoH. Lo que sí consigues es elegir un proveedor más rápido, más privado o con funciones de filtrado que el que te impone tu router por defecto.

Activar DNS sobre HTTPS (DoH) en navegadores de escritorio

En ordenadores con Windows, macOS o Linux, además de cambiar las DNS a nivel de sistema, tienes otra opción muy interesante: activar DNS sobre HTTPS directamente en tu navegador. Esto hace que, incluso si el sistema utiliza DNS normales, el navegador cifre sus propias consultas hacia un proveedor fiable.

En navegadores basados en Chromium, como Microsoft Edge, el soporte para DoH se ha ido integrando y, en muchas versiones, puede habilitarse desde los menús de configuración avanzada. En determinadas builds, también existe la posibilidad de usar el menú de funciones experimentales (flags) escribiendo en la barra de direcciones algo como «edge://flags» y buscando la opción de resoluciones seguras, como «Secure DNS lookups».

Para Google Chrome el procedimiento es muy similar: se puede acceder a chrome://flags y buscar igualmente «Secure DNS lookups» para activarla si aún no aparece en los ajustes estándar, algo que ha sido habitual en versiones previas o canales como Canary. Tras habilitarla, el navegador se reinicia y pasa a usar DoH con determinados proveedores compatibles.

Firefox tiene su propia aproximación, algo diferente. En lugar de esconderlo en flags experimentales, permite activar DNS sobre HTTPS desde el propio menú de preferencias. Dentro de la sección General, encontrarás un bloque dedicado a Configuración de red, donde se puede marcar la casilla para habilitar DNS vía HTTPS y elegir proveedor predeterminado, normalmente Cloudflare o NextDNS.

Aunque DoH en el navegador no protege las consultas de otras aplicaciones del sistema, sí supone una mejora sustancial para la navegación web, que es donde pasamos la mayor parte del tiempo. Además, al ir cifradas, se dificulta que el proveedor o un atacante intermedio capture fácilmente el historial de webs visitadas.

Principales proveedores de DNS públicos seguros y rápidos

Hay un buen número de servicios DNS públicos que se han hecho populares por ofrecer mayor velocidad, funciones de filtrado o políticas de privacidad más claras que las de muchos operadores tradicionales. Entre los más conocidos destacan Cloudflare, Google Public DNS, OpenDNS, Quad9, AdGuard DNS, DNS.Watch o Dyn, entre otros.

Cloudflare, con su famoso 1.1.1.1, es uno de los referentes en rendimiento y privacidad. Ofrece implementación de DNS sobre HTTPS y DNS sobre TLS, asegura borrar los registros de consultas en un plazo corto y se ha posicionado con fuerza como opción por defecto en muchos navegadores y sistemas.

Google Public DNS, accesible a través de IPs como 8.8.8.8 y 8.8.4.4, es otro veterano ampliamente utilizado. Aporta una infraestructura global muy robusta y tiempos de respuesta generalmente muy bajos. Además, también ha adoptado tanto DoH como DoT, lo que permite usarlo en entornos donde se requiere cifrado.

OpenDNS, ahora en manos de Cisco, combina la resolución de nombres con funciones avanzadas de seguridad, filtrado de contenido y control parental. Ofrece opciones gratuitas y planes de pago para entornos domésticos o empresariales, y emplea tecnologías como DNSCrypt para cifrar las consultas.

Quad9 es otra alternativa interesante porque pone el foco en bloquear dominios asociados a malware, phishing y otro tipo de amenazas, apoyándose en feeds de inteligencia de amenazas y servicios de seguridad de terceros. Como muchos de los anteriores, también soporta DoH para quienes quieren cifrado extremo a extremo.

Además de estos, existen opciones especializadas como AdGuard DNS, que se centra en eliminar anuncios y rastreadores a nivel de DNS, o DNS.Watch, que apuesta por una política de no registro y transparencia. La elección dependerá de si priorizas velocidad pura, privacidad estricta, filtrado de contenidos o un equilibrio entre todo.

Ventajas y riesgos de usar DNS privadas frente a las del operador

Configurar DNS privadas en lugar de mantener las que vienen por defecto con el router trae consigo un buen puñado de beneficios. Para empezar, puedes aumentar notablemente tu privacidad escondiendo buena parte de tus consultas DNS a tu operador, que deja de tener el control total sobre qué dominios resuelves.

En segundo lugar, muchos de estos servicios están pensados para ser especialmente rápidos a la hora de resolver direcciones IP. Esto se traduce en que la primera conexión a las webs suele ser más ágil, lo que da como resultado una navegación que se siente más fluida, sobre todo en páginas con muchos recursos externos.

A ello se suman las opciones de filtrado. Determinados proveedores ofrecen listas predefinidas para bloquear webs maliciosas, dominios de phishing o incluso anuncios y rastreadores. Sin instalar extensiones ni tocar nada en el navegador, parte de ese tráfico indeseado queda bloqueado directamente a nivel de DNS.

Sin embargo, no todo son ventajas. Cuando usas un DNS privado, esa empresa pasa a tener una visión bastante detallada de lo que haces en la red, aunque las consultas vayan cifradas entre tú y ellos. Por eso es crucial elegir operadores de confianza, revisar sus políticas de datos y, en la medida de lo posible, preferir aquellos que se comprometen a limitar o eliminar los registros de actividad.

Otro punto a vigilar es la dependencia: si el proveedor elegido sufre una caída o problemas de conectividad, tu acceso a Internet puede verse afectado aunque tu conexión física esté perfecta. Por eso se recomienda configurar siempre un DNS secundario o tener a mano alternativas para cambiarlos rápidamente en caso de fallo.

Cambiar las DNS en Windows, macOS y otros dispositivos

Además de en móviles y navegadores, puedes configurar DNS privadas directamente en tu ordenador para que todas las aplicaciones del sistema utilicen esos servidores, desde el navegador hasta clientes de correo, juegos en línea o herramientas de escritorio.

En Windows, el procedimiento habitual comienza en el Panel de control, dentro del apartado de Red e Internet. Desde ahí se accede al Centro de redes y recursos compartidos y, posteriormente, a la opción de cambiar la configuración del adaptador. Una vez localizas la conexión activa (Ethernet o WiFi), abres sus propiedades.

Dentro de las propiedades, hay que seleccionar el elemento «Protocolo de Internet versión 4 (TCP/IPv4)» y pulsar en «Propiedades». En la ventana que aparece, puedes marcar la casilla de usar direcciones de servidor DNS específicas e introducir las IP de los proveedores deseados, tanto primaria como secundaria, guardando los cambios al terminar.

En macOS, el camino pasa por las Preferencias del sistema. Dentro de la sección «Red», eliges la conexión que usas (por ejemplo, Wi‑Fi) y haces clic en «Avanzado». En la pestaña DNS hay botones para añadir nuevas direcciones de servidores, que se irán utilizando en el orden indicado. Una vez introducidas, basta con aceptar y aplicar la nueva configuración.

Otros dispositivos, como televisores inteligentes, consolas o sistemas IoT, también permiten definir las DNS manualmente dentro de sus menús de red. Aunque no todos soportan cifrado, cambiar estos parámetros puede ayudarte a mejorar la velocidad de carga de contenido en streaming o reducir la exposición a webs maliciosas cuando incluyen navegador integrado.

Si prefieres no ir aparato por aparato, otra opción es cambiar las DNS directamente en el router. De esta forma, todos los dispositivos conectados a la red heredarán esos servidores. Eso sí, en este caso sigues sin tener cifrado a nivel de consulta, salvo que los equipos usen DoH o DoT por separado.

DNS, velocidad de navegación y protección frente a ataques

La calidad del servidor DNS que uses tiene un impacto real en cómo de ágil se siente tu conexión. Un buen proveedor mantiene grandes bases de datos en caché, distribuidas por todo el mundo, para responder con rapidez a las peticiones más habituales sin necesidad de preguntarlas una y otra vez a otros servidores.

Además, algunos servicios aplican técnicas de optimización inteligentes que permiten dirigirte a servidores de contenido más cercanos o menos saturados, reduciendo la latencia global. Todo esto se nota especialmente en páginas muy pesadas o en servicios que realizan muchas conexiones a diferentes dominios.

En el plano de la seguridad, los DNS seguros añaden una capa adicional de defensa. Suelen apoyarse en bases de datos de dominios maliciosos, de phishing, de distribución de malware o de spam para bloquear al vuelo las peticiones hacia esos destinos. No sustituyen a un buen antivirus o a la prudencia del usuario, pero sí ayudan a cortar muchos ataques antes de que arranquen.

Además, el uso de cifrado mediante DNS sobre TLS o HTTPS dificulta que actores intermedios puedan modificar las respuestas o interceptar el tráfico para redirigirte a webs falsas. Un atacante ya no puede limitarse a inyectar paquetes falsos en texto plano; necesita romper o sortear el canal seguro, algo mucho más complejo.

De cara al futuro, se están explorando también enfoques como DNS basado en blockchain, donde la información de resolución se almacena y valida en cadenas de bloques. Aunque aún es una tecnología emergente y no exenta de desafíos, su objetivo es evitar la manipulación centralizada de registros y aumentar la transparencia y resistencia a ataques.

Elegir y configurar correctamente DNS privadas se ha convertido en un gesto sencillo pero muy potente para cualquier usuario que se preocupe mínimamente por su seguridad y su privacidad digital: con unos pocos ajustes y recurriendo a proveedores serios, es posible disfrutar de conexiones más rápidas, reducir la exposición a ataques de envenenamiento o phishing y esconder gran parte de la huella de navegación de miradas indiscretas, sin necesidad de ser un experto en redes ni montar soluciones complejas.

Related article:

Navegación segura en tiempo real en Chrome: así cambia la protección frente al phishing