DNS cifrado: qué cambia con DoH y DoT
Cifrar la consulta oculta el nombre buscado a quien comparte la red. No lo oculta del servidor que responde, ni de quien controla el dispositivo.
Qué oculta el cifrado del DNS
En una red abierta como la de una cafetería o un hotel, quien observe el tráfico ve los nombres que buscan los dispositivos: los sitios visitados, los servicios que usan las aplicaciones, las actualizaciones que se descargan. Con DNS sobre TLS o sobre HTTPS, la consulta viaja cifrada hasta el resolutor y la red solo ve una conexión con ese servidor.
El efecto es mayor en redes compartidas y en dispositivos móviles, donde el propio operador de la red tiene motivo para catalogar lo que busca cada persona. No es un escudo absoluto: el resolutor sigue viéndolo todo y la primera conexión todavía puede ser interceptada por quien controla la red.
Quién sigue viendo
Si el resolutor es el de tu proveedor, cifrar el trayecto no le cambia nada: es el destinatario de la consulta. En cuanto existe un resolutor propio, la pregunta relevante deja de ser quién ve la consulta por el camino y pasa a ser quién responde al final.
Ahí aparece la otra preocupación. Concentrar las consultas en un solo servidor aumenta la dependencia de él: si el servicio cae, la navegación se detiene; si está comprometido, todo el tráfico de nombres pasa por un único lugar. Un resolutor bien configurado lo compensa con registros de consulta por dispositivo, una política de retención corta y la posibilidad de revisar el historial.
Cuando el navegador decide por su cuenta
Navegadores como Chrome y Firefox ofrecen una opción de DNS seguro que usa el servidor del propio navegador en lugar del configurado en la red. Eso evita la interceptación local, pero también significa que el servidor elegido es el del navegador, no el suyo.
En entornos gestionados por una empresa, la elección suele ser impuesta por la política del dispositivo y el usuario ni se entera. También hay aplicaciones que vienen con DNS cifrado ya activado e ignoran lo configurado en el equipo. Por eso, saber qué servidor respondió es información que vale la pena tener.