Cuando te conectas a Internet y ves el candado verde o cerrado en tu navegador junto a las siglas HTTPS, es natural asumir que tu conexión es completamente privada. Se asume con frecuencia que nadie intermedio —ni el vecino en una red Wi-Fi comunitaria, ni tu proveedor de acceso a Internet (ISP o compañía de telecomunicaciones)— puede saber lo que estás haciendo en la pantalla.

Sin embargo, esa privacidad cuenta con una grieta estructural histórica: el DNS tradicional sin cifrar.

A través de esta brecha técnica, las operadoras de telecomunicaciones saben con precisión de milisegundos qué servicios utilizas, qué aplicaciones abres, qué sitios consultas y a qué horas te despiertas o te vas a dormir. No necesitan romper ningún algoritmo criptográfico avanzado ni vulnerar tu dispositivo; simplemente escuchan las peticiones que tu ordenador o smartphone envía a viva voz antes de cargar cualquier página web.

01. El rol del DNS: la guía de teléfonos de la red

Los ordenadores, routers y servidores de todo el mundo no se comunican mediante nombres amigables como google.es o banco.com, sino a través de secuencias numéricas denominadas direcciones IP (por ejemplo, 142.250.200.67 en formato IPv4 o 2a00:1450:4003:808::2003 en el estándar IPv6).

Como memorizar cadenas de números para cada servicio resultaría inviable para el cerebro humano, en 1983 se ideó el DNS (Domain Name System o Sistema de Nombres de Dominio). Su función equivale con exactitud a la libreta de contactos de tu teléfono móvil:

• Tú sabes que quieres llamar a un amigo o entrar en wikipedia.org.
• Tu sistema operativo consulta al servidor DNS asignado: «¿A qué dirección IP corresponde este nombre?».
• El servidor DNS responde de inmediato: «Corresponde a la dirección IP 208.80.154.224».
• Solo entonces tu navegador abre la conexión directa con el servidor de destino.

El problema de raíz radica en que el protocolo DNS se concibió en una época en la que la red de redes era un entorno académico reducido basado en la confianza mutua. Se diseñó sin contemplar mecanismos de cifrado, confidencialidad ni autenticación.

       [ Tu Ordenador / Móvil ]
                 │
                 │ 1. ¿Cuál es la IP de bancoprivado.com? (Texto en claro)
                 ▼
     [ Servidor DNS de tu Operadora ]
                 │
                 │ 2. La IP es 203.0.113.45 (Sin cifrar)
                 ▼
       [ Tu Ordenador / Móvil ]
                 │
                 │ 3. Conexión cifrada HTTPS a 203.0.113.45
                 ▼
       [ Servidor de la Web ]

02. La analogía: cartas selladas dentro de postales transparentes

Para que cualquier persona sin formación técnica entienda la enorme diferencia entre navegar por una web segura (HTTPS) y resolver su nombre de dominio (DNS), basta recurrir a una sencilla analogía postal:

Cualquiera que manipule o transporte esa postal —empezando de forma obligada por la empresa con la que tienes contratada la fibra o los datos móviles— lee con total nitidez el remitente (tu dirección IP residencial, ligada a tu nombre, DNI y cuenta bancaria) y el destinatario exacto que estás buscando.

03. ¿Qué ocurre técnicamente cuando el DNS no está cifrado?

Por configuración de fábrica en la inmensa mayoría de routers domésticos y líneas telefónicas, los sistemas operativos transmiten las consultas DNS utilizando el protocolo UDP en el puerto 53:

• Texto en claro (Plaintext): La consulta no dispone de envoltura criptográfica alguna. Los paquetes de información viajan en crudo a través de los cables de fibra óptica o las ondas de radiofrecuencia móvil.
• Punto de paso obligado: Absolutamente todo el tráfico generado en tu hogar o smartphone atraviesa de manera mandatoria los concentradores, enrutadores troncales y pasarelas de enlace de tu operador de telecomunicaciones.
• Captura trivial: No se requiere tecnología de grado militar ni software sofisticado de inteligencia para registrar tus hábitos. Una regla común en un cortafuegos o un analizador de paquetes estándar registra en bases de datos cada petición originada desde tu IP.

04. Radiografía de lo que la operadora puede (y no puede) ver

Para evitar mitos y alarmismos infundados, es fundamental trazar una línea técnica estricta entre la información que queda expuesta al utilizar DNS en claro y aquella que se mantiene bajo resguardo gracias al cifrado de la web:

05. Infografía: El camino de tus datos con DNS sin cifrar frente a DNS cifrado

Comprueba de manera interactiva cómo viaja la información según el método de resolución de nombres configurado en tu dispositivo:

06. ¿Cómo y para qué explotan las operadoras esta información?

Tener visibilidad absoluta sobre el flujo de peticiones de millones de hogares sitúa a los proveedores de conectividad en una posición privilegiada de control y monetización:

A. Creación de perfiles comerciales (Metadatos de comportamiento)

Aunque el proveedor no pueda leer el interior de tus correos o mensajes, el inventario completo y cronológico de nombres de dominio responde prácticamente a cualquier pregunta sobre tu intimidad:

• Consultas recurrentes a portales de búsqueda de empleo revelan inestabilidad o descontento laboral.
• Frecuentar plataformas especializadas en tratamientos médicos, fertilidad o salud mental destapa situaciones delicadas de salud.
• Conexiones continuas a servidores de apuestas en línea, videojuegos o plataformas de citas delimitan tus patrones de ocio e intereses para la venta de publicidad hipersegmentada a través de empresas intermediarias de datos (data brokers).

B. Censura y bloqueo administrativo de sitios web

Cuando una orden judicial o gubernamental exige restringir el acceso a un sitio web, el mecanismo más rápido y económico implementado por las teleoperadoras consiste en el secuestro o envenenamiento de DNS (DNS Hijacking / Spoofing):

Al solicitar la dirección IP de la web bloqueada, el resolvedor de la operadora retiene la petición y, en lugar de facilitar la IP auténtica, responde con una dirección controlada que muestra una pantalla de advertencia legal o simula un falso fallo de red.

C. Inserción de publicidad y monetización de errores (NXDOMAIN Redirection)

Si un usuario comete un error tipográfico al teclear una web (por ejemplo, googglee.es), el estándar de red dicta que el servidor debe devolver una respuesta de error llamada NXDOMAIN (dominio no existente).

Históricamente, diversas compañías han interceptado estas peticiones erróneas para dirigir de forma forzosa el navegador del usuario hacia buscadores propios cargados de enlaces patrocinados y banners comerciales.

07. Los escudos protectores: cómo se cifra el DNS

Para taponar de forma definitiva esta fuga de privacidad, la comunidad de ingenieros de Internet estandarizó protocolos modernos que envuelven el tráfico de resolución de nombres dentro de túneles criptográficos:

1. DNS over HTTPS (DoH)

Encapsula las consultas DNS directamente dentro del tráfico estándar de la web segura: HTTPS a través del puerto 443.

• Ventaja operativa: El tráfico de nombres resulta completamente indistinguible del resto del tráfico web convencional. Para la operadora, una consulta DNS hacia un resolvedor seguro parece un paquete HTTPS estándar idéntico al de cualquier lectura de prensa o streaming.

2. DNS over TLS (DoT)

Crea un túnel seguro dedicado exclusivamente a la resolución de nombres, operando a través de un puerto propio: el puerto 853.

• Ventaja operativa: Separa de forma estricta la gestión de nombres del protocolo de navegación web. Es el estándar predilecto para la configuración nativa a nivel de sistema operativo en dispositivos móviles (la opción DNS Privado presente en Android).

3. DNS over QUIC (DoQ)

Representa la evolución técnica más moderna: combina las ventajas de velocidad del protocolo QUIC (basado en UDP) con la robustez criptográfica de TLS 1.3, rebajando al mínimo la latencia de respuesta sin perder un ápice de privacidad.

08. Consideraciones operativas: el papel del resolvedor

Cifrar el DNS implica trasladar la confianza y la visibilidad de tu tráfico de un intermediario a otro.

Al habilitar DoH o DoT apuntando a un proveedor externo (como proyectos independientes, Quad9, Cloudflare, Mullvad o servidores recursivos propios y desacoplados), ciegas la capacidad de monitorización de tu compañía telefónica local, pero ese nuevo resolvedor pasa a recibir las consultas que antes atendía tu ISP.

Por esta razón, una política integral de privacidad y defensa en red no se limita únicamente a activar el cifrado técnico del protocolo, sino a seleccionar con criterio entidades que certifiquen contractualmente la ausencia de registros (no-logs policy), descarten cualquier monetización comercial de los datos y operen bajo marcos jurídicos con sólidas garantías de protección ciudadana.

En la primera parte de esta serie analizamos cómo el DNS tradicional sin cifrar actúa como una postal abierta que tu proveedor de Internet (ISP) puede leer, registrar e interceptar a conveniencia. Cifrar la consulta mediante DNS over HTTPS (DoH) o DNS over TLS (DoT) cierra esa brecha frente a la compañía telefónica, pero traslada una confianza absoluta hacia el servidor que resuelve la petición.

Si sustituyes el DNS de tu operadora por el de gigantes publicitarios o tecnológicos de EE. UU., resuelves la visibilidad del operador local, pero alimentas la infraestructura de datos de corporaciones sujetas a normativas como la CLOUD Act estadounidense.

Aquí es donde destaca Quad9 (9.9.9.9): una infraestructura global concebida desde el primer día con un doble mandato técnico: **privacidad certificada mediante blindaje legal suizo** y **bloqueo proactivo de amenazas informáticas en tiempo real**.

01. ¿Qué es Quad9 y en qué se diferencia del resto?

Quad9 es un sistema de resolución DNS recursivo de ámbito mundial operado por la Fundación Quad9, una entidad sin ánimo de lucro con sede oficial en Zúrich (Suiza). Se diferencia de alternativas comerciales por tres factores estructurales:

• Sede y amparo bajo la ley suiza: Suiza cuenta con una de las leyes de privacidad y protección de datos más exigentes del mundo (FADP), compatible con el RGPD europeo pero sin pertenecer a la Unión Europea ni estar sujeta a mandatos de retención masiva de telecomunicaciones internacionales de la alianza de los *Fourteen Eyes*.
• Política estricta sin registros (No-Logs comprobable): Quad9 no recopila, no comercializa y no almacena en disco la dirección IP de los usuarios que emiten las consultas. No existe correlación técnica entre una petición DNS y la persona o contrato que la realiza.
• Inteligencia de amenazas colaborativa (Threat Intelligence): Integra fuentes de telemetría de más de una treintena de firmas líderes de ciberseguridad a nivel global. Si un dominio está catalogado como origen de malware, ransomware, troyanos o estafas de phishing, el resolvedor bloquea la petición antes de que tu equipo cargue un solo byte.

02. El mecanismo de defensa: cómo neutraliza el malware

Cuando un usuario hace clic sin saberlo en un enlace de correo fraudulento o un script malicioso intenta descargar una carga dañina (*payload*) desde un servidor externo, el dispositivo debe resolver primero la IP de ese dominio hostil.

En ese instante exacto se activa la ventaja de Quad9:

1. Tu dispositivo envía la consulta cifrada por HTTPS a dns.quad9.net.
2. Quad9 contrasta el dominio consultado contra su base de firmas de amenazas actualizada al milisegundo.
3. Si el dominio es seguro, devuelve la IP legítima inmediatamente.
4. Si el dominio pertenece a una campaña activa de phishing o distribución de virus, Quad9 responde con un código NXDOMAIN (o código de error de resolución), impidiendo de raíz que tu navegador abra la web peligrosa o descargue el archivo infectado.

03. Infografía interactiva: Quad9 en acción

Selecciona el tipo de tráfico para comprobar cómo reacciona la infraestructura de Quad9 frente a una navegación normal frente a un intento de ciberataque:

04. Las direcciones oficiales de Quad9

Dependiendo de si vas a configurar el servicio en tu router doméstico, en tu sistema operativo o directamente en tu navegador habitual, debes utilizar los siguientes parámetros oficiales:

05. Cómo configurar Quad9 DoH en cualquier navegador

La forma más rápida y eficaz de proteger tu navegación sin tocar el router de tu operadora es activar DNS over HTTPS (DoH) directamente en tu navegador web. Elige tu navegador para ver la ruta exacta de configuración:

06. Cómo verificar que estás protegido

Una vez configurado en tu navegador o en tu sistema operativo, es crucial contrastar que tu tráfico ya no sale en texto en claro hacia el servidor de tu compañía de telecomunicaciones.

Quad9 dispone de una herramienta de comprobación directa:

1. Abre tu navegador y accede a la web oficial de diagnóstico: https://on.quad9.net.
2. Si la configuración es correcta, la página mostrará un mensaje destacado en color verde: «YES! You are using Quad9».
3. Si aparece una advertencia en color rojo («NO»), tu equipo continúa enviando las consultas al DNS tradicional de tu router o proveedor local.

# Consulta directa contra el clúster Anycast de Quad9
nslookup wikipedia.org 9.9.9.9

# Respuesta esperada:
Server:  dns.quad9.net
Address: 9.9.9.9