Cuando se habla de seguridad informática, la mayoría de las personas piensa en antivirus, firewalls o contraseñas. Rara vez se menciona el DNS, a pesar de que es una de las piezas más críticas —y más invisibles— de cualquier conexión a internet.
Cada vez que un computador, un celular o una aplicación accede a un sitio web, lo primero que hace es consultar un DNS. Esa consulta revela a dónde vas, qué servicios usas y, en muchos casos, cuándo lo haces. En negocios pequeños y home office, estas consultas suelen viajar sin protección, incluso cuando el resto del tráfico va cifrado.
Aquí es donde entra una barrera simple, poco invasiva y sorprendentemente efectiva: DNS over HTTPS (DoH).
El DNS tradicional funciona sin cifrado. Eso significa que proveedores de internet, redes públicas o terceros en el camino pueden ver o manipular esas consultas. No hablamos necesariamente de ataques sofisticados; muchas veces se trata de registro, filtrado o redirecciones que el usuario ni siquiera nota.
DoH cambia esa lógica. En lugar de enviar las consultas DNS en texto plano, las encapsula dentro de una conexión HTTPS cifrada. El resultado es inmediato: más privacidad, menos exposición y una superficie de ataque más pequeña, sin cambiar la forma en que trabajas.
Para un negocio pequeño, esto no es una medida extrema. Es una mejora básica, comparable a cerrar una puerta que siempre estuvo abierta.
Cloudflare ofrece uno de los servicios de DoH más accesibles y estables disponibles hoy. No requiere cuentas, pagos ni configuraciones complejas. Funciona tanto en entornos Windows como en sistemas Linux, routers compatibles o incluso navegadores web. Esa facilidad es precisamente lo que lo hace atractivo como primera capa de seguridad.
Implementar DoH no convierte una red en “impenetrable”, pero sí elimina una clase completa de problemas silenciosos. Reduce el rastreo innecesario, dificulta ataques basados en DNS y evita manipulaciones básicas del tráfico. Para muchos negocios, eso ya representa un salto importante respecto a la configuración por defecto.
Lo interesante es que esta medida suele pasar desapercibida. No rompe aplicaciones, no cambia flujos de trabajo y no requiere capacitación al equipo. Simplemente funciona en segundo plano. Ese es el tipo de seguridad que mejor se adapta a entornos reales, donde la tecnología debe acompañar y no interrumpir.
En contextos de home office, redes compartidas o PCs reciclados usados como laboratorio, el DNS seguro cobra aún más sentido. Muchas veces estos equipos quedan expuestos directamente a internet, sin capas intermedias complejas. Asegurar el DNS es una forma elegante de reducir riesgos sin añadir complejidad innecesaria.
También hay un componente de privacidad que suele subestimarse. No todos los datos sensibles están en los documentos o correos. Los patrones de navegación, el uso de servicios y los horarios también dicen mucho sobre un negocio. Proteger esa información no es paranoia; es criterio.
Como ocurre con otras medidas básicas, el problema no es que DoH sea difícil de implementar. El problema es que casi nadie lo considera hasta que algo falla. Y cuando falla, ya es tarde para medidas simples.
En Saiber Aysen solemos ver este patrón con frecuencia. Equipos bien intencionados, herramientas correctas, pero configuraciones por defecto que nunca se revisaron. Ajustar el DNS y habilitar DoH suele ser uno de esos cambios pequeños que generan una mejora desproporcionada en seguridad y tranquilidad.
No se trata de desconfiar de todo, sino de entender que la seguridad empieza por lo básico. Y el DNS, aunque invisible, es una de esas bases que conviene reforzar cuanto antes.
DNS clásico, DoH y DoT: en qué se diferencian
Hay tres formas de resolver un nombre de dominio, y conviene distinguirlas porque ofrecen distintos niveles de privacidad y cifrado.
- DNS tradicional (sin cifrar). Cuando escribes una dirección, tu equipo envía la consulta en texto plano por el puerto 53. El proveedor de internet, la red o un tercero en el camino puede ver qué dominios consultas e incluso alterar la respuesta. Es rápido, pero expuesto.
- DNS over HTTPS (DoH). La consulta viaja dentro de una conexión HTTPS cifrada por el puerto 443 (el mismo del tráfico web normal). Al usar el mismo canal que los sitios web, el cifrado hace mucho más difícil que alguien mire o manipule tus consultas. Es la opción más fácil de adoptar hoy: la soportan los navegadores modernos y muchos sistemas.
- DNS over TLS (DoT). También cifra la consulta, pero lo hace en un canal TLS dedicado al puerto 853. Da cifrado similar al DoH, pero al usar un puerto propio es algo más fácil de bloquear o detectar por una red. Se configura habitualmente a nivel de sistema o router.
La diferencia práctica para un negocio pequeño suele reducirse a esto: DoH es la vía más sencilla de habilitar (en el navegador o el sistema) y la que menos interrumpe el flujo de trabajo. DoT es una alternativa sólida cuando configuras el DNS en un router o en un servidor y quieres cifrado para toda la red.
Las IP que ofrece Cloudflare y su nivel de filtrado
Cloudflare mantiene uno de los servicios de DNS público más estables, y distingue tres niveles según cuánto quieras filtrar. Es la referencia más usada para empezar.
| Nivel de filtrado | IPv4 | IPv6 (si tu red la usa) | Para qué sirve |
|---|---|---|---|
| 1.1.1.1 (sin filtro) | 1.1.1.1 y 1.0.0.1 |
2606:4700:4700::1111 y 2606:4700:4700::1001 |
DNS rápido y privado, sin bloquear contenido |
| 1.1.1.2 (bloquea malware) | 1.1.1.2 y 1.0.0.2 |
2606:4700:4700::1112 y 2606:4700:4700::1002 |
Filtra dominios de malware y phishing |
| 1.1.1.3 (bloquea malware + adulto) | 1.1.1.3 y 1.0.0.3 |
2606:4700:4700::1113 y 2606:4700:4700::1003 |
Bloquea malware y además contenido adulto |
Cuando un dominio está bloqueado por el nivel de filtrado elegido, Cloudflare responde con la dirección 0.0.0.0, de modo que el dispositivo no logra conectarse al sitio.
Para cifrar la consulta con estos niveles (DoH) se usan estos endpoints:
- Sin filtro →
https://cloudflare-dns.com/dns-query - Bloqueo de malware →
https://security.cloudflare-dns.com/dns-query - Bloqueo de malware y adulto →
https://family.cloudflare-dns.com/dns-query
Y los equivalentes para DoT (cripto por el puerto 853) son los hostname one.one.one.one, security.cloudflare-dns.com y family.cloudflare-dns.com.
Cómo configurar las IP de Cloudflare, paso a paso
Opción 1: a nivel de sistema (Windows)
- Ve a Configuración > Red e Internet > (tu conexión) > Propiedades.
- Entra en Configuración del servidor DNS y cámbiala de Automática a Manual.
- Activa IPv4 y escribe una IP de Cloudflare según el filtrado que quieras. Para el caso sin filtro:
1.1.1.1(primario) y1.0.0.1(secundario). Para filtrar malware y adulto, usa1.1.1.3y1.0.0.3. - Alternativamente, activa DNS cifrado (DoH) y escribe el hostname de Cloudflare que elijas, por ejemplo
1dot1dot1dot1.cloudflare-dns.com(o el de Family correspondiente). - Guarda y reinicia el navegador.
Opción 2: en el router (toda la red)
- Entra al panel de configuración de tu router (por lo general en
192.168.1.1o192.168.0.1). - Busca la sección DNS (suele estar en WAN o Internet).
- Cambia los servidores DNS a
1.1.1.1y1.0.0.1, o los de Family (1.1.1.3y1.0.0.3) si quieres proteger a todos los dispositivos de la casa u oficina. - Guarda y reinicia el router.
Verificar que el filtro funcione
- Para comprobar el nivel de malware: abre
https://malware.testcategory.com. Si está bloqueado, no debería cargar. - Para comprobar el bloqueo de contenido adulto: abre
https://nudity.testcategory.com. Si usas el nivel1.1.1.3, tampoco debería cargar.
Elegir el nivel depende de tu contexto: para un negocio, empezar con el filtro de malware (1.1.1.2) suele ser el equilibrio correcto entre protección y que nada legítimo se bloquee. El nivel adulto + malware (1.1.1.3) está pensado más para redes familiares o entornos donde quieres control de contenido estricto.
