Cómo activar DNS over HTTPS en Windows 11

Qué cambia DNS over HTTPS — y qué no

Cada vez que abres una web, Windows le pide a un servidor DNS que convierta el nombre en una dirección IP — y el DNS clásico viaja en texto plano, por el puerto UDP 53. Cualquiera que esté entre tu PC y el resolver — el Wi-Fi del hotel, el router de la oficina, el proveedor — puede anotar cada dominio que preguntas, y eso es un retrato sorprendentemente completo de tu día. DoH envuelve la misma pregunta en una conexión HTTPS, de modo que la consulta se vuelve ilegible por el camino.

Lo que DoH no hace es anonimizar. El resolver que elijas — Cloudflare, Google, Quad9 — pasa a ver tus consultas en lugar de tu proveedor: trasladas la confianza, no la eliminas. Las webs siguen viendo tu dirección IP, y una VPN sigue cifrando muchísimo más de lo que el DNS podría. Piensa en DoH como en tapiar un buzón concreto que estaba escandalosamente abierto, no como en un disfraz.

Activar DoH con un resolver conocido

Abre Configuración → Red e Internet, haz clic en tu conexión activa (Wi-Fi o Ethernet) para abrir sus propiedades, busca «Asignación de servidor DNS» y pulsa Editar. En el diálogo cambia el modo de Automático (DHCP) a Manual, enciende IPv4, escribe el resolver en «DNS preferido», despliega «Cifrado DNS» y elige «Solo cifrado». Guarda, y la página de propiedades debería mostrar el servidor con la marca Cifrado. Si tu red usa IPv6, repite lo mismo con el interruptor IPv6 y la dirección v6 del resolver.

Windows 11 incluye las plantillas de los grandes resolvers públicos, así que elegir uno de ellos es la vía sin esfuerzo. Las diferencias prácticas son pequeñas: en una línea sana la velocidad es casi idéntica; lo que varía es la política de registros y los extras. Quad9, por ejemplo, filtra dominios maliciosos conocidos además de resolver, y Cloudflare promete borrar sus registros en 24 horas.

• Cloudflare — 1.1.1.1 y 1.0.0.1, IPv6 2606:4700:4700::1111 — registros borrados en 24 horas
• Google Public DNS — 8.8.8.8 y 8.8.4.4, IPv6 2001:4860:4860::8888
• Quad9 — 9.9.9.9 y 149.112.112.112 — de regalo bloquea dominios maliciosos
• Los servidores de tu proveedor — normalmente sin plantilla DoH, y las opciones de cifrado quedan en gris

Resolvers propios, comprobaciones y peros honestos

Si quieres un resolver que Windows no conoce — el servidor de la empresa o un servicio de filtrado —, el desplegable de cifrado se quedará en «Solo sin cifrar» hasta que le enseñes la plantilla al sistema. Abre un terminal como administrador y añádela: netsh dns add encryption server=1.2.3.4 dohtemplate=https://dns.example.com/dns-query autoupgrade=yes udpfallback=no — tras eso, las opciones cifradas aparecen también para esa dirección. Para comprobar qué está activo, Get-DnsClientDohServerAddress en PowerShell lista cada servidor con su plantilla y su estado, y la página de comprobación de Cloudflare, one.one.one.one/help, dice sin rodeos «Using DNS over HTTPS: Yes» cuando funciona.

Dos peros honestos antes de celebrarlo. En redes corporativas y por VPN, mejor no tocar el DNS: el túnel o la directiva del dominio suelen suministrar sus propios resolvers, y saltárselos puede romper los nombres internos. Y algunos antivirus interceptan el DNS localmente para filtrar el tráfico, lo que puede chocar con DoH; si internet muere justo después del cambio, vuelve al diálogo Editar del adaptador y devuelve el modo a Automático (DHCP). No se pierde nada: estás a un interruptor del comportamiento antiguo.

Preguntas y respuestas

Sigue leyendo

Todos los artículos · FAQ