DNS de CleanBrowsing: IP del filtro Familia y pruebas

¿Qué es CleanBrowsing DNS?

CleanBrowsing DNS es un servicio DNS de filtrado gratuito: apunta tu router o dispositivo a 185.228.168.168 y 185.228.169.168, y su filtro Familia bloquea el contenido para adultos, obliga a usar Safe Search e impide que los niños lleguen a sitios de VPN y proxi. No necesita cuenta ni app. Hay tres filtros gratuitos, Familia, Adultos y Seguridad, cada uno con sus propias direcciones, además de planes de pago con categorías personalizadas.

El filtrado ocurre en la consulta. Para un nombre bloqueado, CleanBrowsing responde NXDOMAIN («no existe ese dominio»), así que la página nunca carga: Chrome muestra DNS_PROBE_FINISHED_NXDOMAIN y otros navegadores un error parecido de «no se encuentra el servidor».

El servicio gratuito tiene límites que CleanBrowsing indica en su página de filtros: está limitado en velocidad, no tiene soporte y no se puede personalizar. Los planes de pago empiezan en 75 $ al año (gratis frente a de pago) y añaden más de 26 categorías, listas de permitidos y bloqueados e informes. Según CleanBrowsing, sus filtros gratuitos atienden más de 355 000 millones de consultas al mes en más de 70 centros de datos.

Direcciones de los servidores DNS de CleanBrowsing (IPv4, IPv6, DoH, DoT)

Estas son las direcciones de los filtros gratuitos según la página de filtros de CleanBrowsing, comprobadas el 26 de octubre de 2026. Usa las dos direcciones del mismo filtro, y también el par IPv6 si tu red tiene IPv6.

El filtro Adultos tiene dos secundarias publicadas. La página de filtros indica 185.228.169.11; la guía de configuración de CleanBrowsing da 185.228.169.10. Las dos funcionaron como filtro Adultos en nuestra prueba, pero .10 responde NXDOMAIN a un nombre bloqueado como la principal, mientras que .11 devuelve 185.228.168.254, un servidor que muestra una página «Website Blocked» de CleanBrowsing.

Las seis direcciones IPv6 respondieron desde nuestra conexión y filtraron exactamente igual que sus equivalentes IPv4.

Familia, Adultos y Seguridad: qué bloquea cada filtro

Familia bloquea sitios para adultos, de contenido mixto, VPN y proxis, además de malware y phishing, con Safe Search forzado. Adultos bloquea sitios para adultos y amenazas, pero deja en paz Reddit, las VPN y YouTube. Seguridad solo bloquea amenazas.

Preguntamos a cada filtro por los mismos nombres el 26 de octubre de 2026, desde la India. Una marca significa que bloqueó el nombre (NXDOMAIN) o lo redirigió a la versión segura del buscador.

Tres resultados van más allá de las descripciones de CleanBrowsing:

• El filtro Adultos sí obliga a usar Safe Search. La página «Free vs Paid» de CleanBrowsing dice que no; su página de filtros dice que sí. Redirigió Google, Bing y DuckDuckGo a sus versiones seguras, igual que Familia.
• El ajuste de YouTube de Familia es Moderado, no Estricto (mira la sección siguiente).
• Las apps sociales siguen abiertas en todos los filtros gratuitos. TikTok, Instagram y Discord se resolvieron con normalidad; para bloquear redes sociales o juegos hace falta un plan de pago o un control en el dispositivo.

Safe Search y YouTube: lo que hace realmente el filtro Familia

CleanBrowsing obliga a usar Safe Search mediante DNS: al consultar un buscador, recibe la dirección de su versión con el modo seguro bloqueado. En Google es forcesafesearch.google.com (216.239.38.120), que sirve resultados con Safe Search activado sea cual sea la configuración del navegador.

Los filtros Familia y Adultos respondieron 216.239.38.120 para www.google.com y sitios de otros países como www.google.co.in, y enviaron Bing a strict.bing.com y DuckDuckGo a safe.duckduckgo.com. El filtro Seguridad los dejó como estaban.

En YouTube lo que se afirma y lo que se mide no coinciden. La guía de Safe Search de CleanBrowsing dice que el filtro Familia gratuito usa el modo Restringido Estricto. El método DNS de Google tiene dos destinos: restrict.youtube.com para Estricto (216.239.38.120) y restrictmoderate.youtube.com para Moderado (216.239.38.119). El filtro Familia respondió 216.239.38.119, es decir, Moderado, para los cinco nombres de host de YouTube que lista Google, incluido youtubei.googleapis.com de la app. El filtro Adultos no restringe YouTube.

# Family filter: Google SafeSearch, Bing and YouTube (DNS Robot, 26 Oct 2026)
dig @185.228.168.168 www.google.com +short
# 216.239.38.120   <- forcesafesearch.google.com

dig @185.228.168.168 www.bing.com +short | head -1
# strict.bing.com.

dig @185.228.168.168 www.youtube.com +short
# 216.239.38.119   <- restrictmoderate.youtube.com (Moderate)

Prueba de velocidad de CleanBrowsing: nuestros resultados desde la India

Medimos cada dirección el 26 de octubre de 2026 desde una conexión doméstica de Jio en la India: la mediana de cinco consultas de un nombre popular (en caché) y de cinco nombres nuevos (sin caché), más 20 consultas para contar las veces que un servidor no respondió en 2 segundos. Los filtros familiares de Cloudflare y OpenDNS se midieron a la vez.

Las dos direcciones de un filtro no son iguales. CleanBrowsing indica el nombre del servidor que responde (dig @185.228.168.168 id.server CH TXT): desde nuestra conexión, todas las direcciones 185.228.168.x respondieron desde Singapur y todas las 185.228.169.x desde Londres, lo que casi duplicó los tiempos en caché (63–79 ms frente a 152–166 ms) y perdió más consultas. Las direcciones IPv6 alternaban entre las dos ciudades de una consulta a otra.

Cloudflare y OpenDNS respondieron aproximadamente el doble de rápido en los nombres en caché, porque los dos respondían desde la India; con nombres nuevos la diferencia fue pequeña (52–68 ms frente a 66–75 ms). En Europa o Norteamérica el orden puede cambiar, así que mide desde tu propia conexión.

CleanBrowsing con DNS sobre HTTPS y DNS sobre TLS

Los tres filtros gratuitos responden con DNS cifrado. Así tu operador o el dueño de un Wi-Fi no puede leer ni reescribir las consultas, y en los móviles el filtro sigue activo con datos móviles.

• DNS sobre TLS (DoT): el nombre de host del filtro en el puerto 853, como family-filter-dns.cleanbrowsing.org; el DNS privado de Android lo usa. Los tres nombres de host completaron un handshake TLS 1.3 con un certificado *.cleanbrowsing.org válido y filtraron como el DNS normal; con una conexión abierta, la mediana de Familia fue de 78 a 89 ms en tres pruebas.
• DNS sobre HTTPS (DoH): https://doh.cleanbrowsing.org/doh/family-filter/ (o adult-filter, security-filter). Respondió consultas estándar RFC 8484, con una mediana de 83 ms para Familia. Úsalo en Windows 11, en navegadores y en perfiles de Apple.
• Los planes de pago tienen sus propios nombres de host DoT y rutas DoH con un código de cuenta, que aparece en el panel de CleanBrowsing.

# curl can resolve through a DoH server: allowed sites load, blocked ones don't resolve
curl -sI --doh-url https://doh.cleanbrowsing.org/doh/family-filter/ https://example.com | head -1
# HTTP/2 200

curl -sSI --doh-url https://doh.cleanbrowsing.org/doh/family-filter/ https://www.reddit.com
# curl: (6) Couldn't resolve host name

¿Es seguro CleanBrowsing? Privacidad, registros y DNSSEC

En los filtros gratuitos, la política de privacidad de CleanBrowsing dice que no registra ni almacena información personal identificable como tu dirección IP, y que no vende, alquila ni comparte datos personales. Sí conserva datos de consultas anonimizados (los dominios solicitados), puede guardarlos indefinidamente y los comparte anonimizados con sus marcas hermanas NOC, DNSArchive y Trunc.

Tampoco transmite tu red a otros servidores DNS: la prueba o-o.myaddr.l.google.com de Google solo vio los servidores de CleanBrowsing y ningún EDNS Client Subnet, igual que con Cloudflare. OpenDNS FamilyShield transmitió nuestra subred /24 en uno de dos intentos.

DNSSEC es el punto débil. Un resolvedor que valida debe rechazar un dominio con firmas rotas (los dominios de prueba como dnssec-failed.org deberían dar SERVFAIL). La respuesta de CleanBrowsing dependía del servidor: los nodos con la versión de software v1.6a devolvieron una dirección para un dominio roto en 27 de 27 consultas, mientras que los nodos v1.7a, incluidas todas las respuestas de Londres, lo rechazaron. Cloudflare 1.1.1.3 y OpenDNS FamilyShield rechazaron las 20 consultas. Mientras no se actualicen los nodos antiguos, CleanBrowsing no te protege de forma fiable frente a respuestas falsificadas.

Cómo configurar CleanBrowsing DNS

Para el control parental, empieza por el router: todos los dispositivos de tu Wi-Fi quedan filtrados, también consolas y televisores inteligentes, y no hay nada en el dispositivo del niño que pueda desactivar. Después configúralo en cada móvil u ordenador portátil que salga de casa, porque el ajuste del router no se aplica con datos móviles ni en otro Wi-Fi.

En el router (lo mejor para el control parental)

• Abre la página de administración del router, normalmente en 192.168.1.1 o 192.168.0.1. Nuestra guía de acceso al router indica la dirección y la contraseña por defecto de cada marca y operador.
• Busca los campos DNS en Internet, WAN o DHCP. CleanBrowsing indica que se configure en los ajustes WAN, para que cubra toda tu red.
• Sustituye los servidores existentes por 185.228.168.168 y 185.228.169.168. En la sección IPv6 introduce 2a0d:2a00:1:: y 2a0d:2a00:2::, o desactiva el DNS IPv6 si el router no admite servidores IPv6 personalizados.
• Guarda, reinicia el router y vuelve a conectar tus dispositivos para que apliquen el cambio.

Android: DNS privado (Wi-Fi y datos móviles)

Android 9 y posteriores pueden enviar todas las consultas a CleanBrowsing por DoT con el DNS privado, en cualquier red:

• Abre Ajustes → Redes e Internet → DNS privado (dentro de Avanzado en algunos teléfonos; en Samsung, Conexiones → Más ajustes de conexión → DNS privado).
• Elige Nombre de host del proveedor de DNS privado e introduce family-filter-dns.cleanbrowsing.org (o adult-filter-dns.cleanbrowsing.org / security-filter-dns.cleanbrowsing.org).
• Toca Guardar. Si aparece «No se ha podido establecer la conexión», revisa la ortografía; algunas redes de colegios y oficinas bloquean el puerto 853.

iPhone y iPad

• Lo mejor: un perfil de DNS cifrado. En el iPhone, abre la página de perfiles de Apple de CleanBrowsing, elige el filtro Familia y descarga el perfil (iOS 14 o posterior). Luego abre Ajustes → Perfil descargado → Instalar. Usa DoH en cualquier red, Wi-Fi y móvil.
• Solo una red Wi-Fi: ve a Ajustes → Wi-Fi, toca la (i) junto a la red y luego Configurar DNS → Manual. Elimina los servidores existentes y añade 185.228.168.168 y 185.228.169.168.
• Un perfil se puede quitar en Ajustes, y una app de VPN esquiva cualquier filtro DNS. Usa Tiempo de uso → Restricciones para bloquear la instalación de apps nuevas, con un código de Tiempo de uso que solo conozcas tú.

En Windows 11 y 10

• Abre Configuración → Red e Internet y elige Wi-Fi (después Propiedades de hardware) o Ethernet.
• Junto a Asignación de servidor DNS, haz clic en Editar, elige Manual y activa IPv4.
• Introduce 185.228.168.168 como preferido y 185.228.169.168 como alternativo. En Windows 11, pon DNS sobre HTTPS en Activado (plantilla manual) e introduce https://doh.cleanbrowsing.org/doh/family-filter/ en ambos.
• Activa IPv6, añade 2a0d:2a00:1:: y 2a0d:2a00:2:: y haz clic en Guardar. En Windows 10, usa Panel de control → Centro de redes y recursos compartidos → Cambiar configuración del adaptador, o la línea de PowerShell de abajo.

# PowerShell as administrator (use "Ethernet" for a wired connection)
Set-DnsClientServerAddress -InterfaceAlias "Wi-Fi" -ServerAddresses 185.228.168.168,185.228.169.168,2a0d:2a00:1::,2a0d:2a00:2::
ipconfig /flushdns

En macOS

• Abre Ajustes del Sistema → Red, selecciona Wi-Fi (o Ethernet) y haz clic en Detalles.
• En la pestaña DNS, elimina los servidores antiguos, haz clic en + y añade 185.228.168.168, 185.228.169.168, 2a0d:2a00:1:: y 2a0d:2a00:2::; después haz clic en Aceptar.
• Para un DNS cifrado que acompañe a un MacBook en otras redes, instala en su lugar el mismo perfil de Apple (macOS 11 Big Sur o posterior).

# Terminal alternative, then clear the DNS cache
networksetup -setdnsservers Wi-Fi 185.228.168.168 185.228.169.168 2a0d:2a00:1:: 2a0d:2a00:2::
sudo dscacheutil -flushcache; sudo killall -HUP mDNSResponder

Cómo esquivan los niños los filtros DNS (y cómo evitarlo)

Un filtro DNS solo funciona mientras el dispositivo lo consulta. Estas son las formas habituales de saltarse CleanBrowsing y lo que frena cada una:

• Escribir otro servidor DNS, como 8.8.8.8. Solución: en el router, permite el puerto 53 solo hacia el rango de CleanBrowsing, 185.228.168.0/23, y redirige o bloquea todo lo demás (reglas abajo).
• DNS sobre HTTPS en el navegador. Familia respondió NXDOMAIN para dns.google, cloudflare-dns.com, mozilla.cloudflare-dns.com, dns.quad9.net, dns.nextdns.io y otros nombres de host DoH, y para use-application-dns.net, el dominio canario que impide que Firefox active DoH por sí solo. Un servidor DoH introducido por dirección IP sí pasa, porque el navegador no necesita una consulta para llegar a él; por eso, en los ordenadores que administras, desactiva el DNS seguro mediante directiva.
• DNS privado de Android puesto en dns.google: Familia no resuelve ese nombre de host en tu Wi-Fi, pero con datos móviles funciona. Bloquea el puerto TCP 853 saliente salvo hacia CleanBrowsing y pon el DNS privado del propio teléfono en CleanBrowsing.
• Apps de VPN y proxis web. Familia bloqueó todos los sitios de VPN y proxi que probamos, lo que frena los proxis web. Una app de VPN de una tienda de apps aún puede conectarse, y entonces el DNS va dentro del túnel, donde ningún filtro DNS lo ve, así que controla la instalación de apps con Google Family Link o Tiempo de uso.
• IPv6 y otras redes. El DNS IPv6 del operador, el Wi-Fi de un vecino o los datos móviles se saltan el ajuste del router: configura los servidores IPv6 y pon el DNS privado o el perfil de Apple en el teléfono del niño.

# Linux/OpenWrt router (iptables; br-lan = your LAN interface)
# Redirect every plain DNS query from the LAN to CleanBrowsing Family
iptables -t nat -A PREROUTING -i br-lan -p udp --dport 53 ! -d 185.228.168.0/23 -j DNAT --to-destination 185.228.168.168:53
iptables -t nat -A PREROUTING -i br-lan -p tcp --dport 53 ! -d 185.228.168.0/23 -j DNAT --to-destination 185.228.168.168:53

# Block DNS over TLS to anyone but CleanBrowsing
iptables -A FORWARD -i br-lan -p tcp --dport 853 ! -d 185.228.168.0/23 -j REJECT

Después comprueba cada dispositivo con el DNS Leak Test de DNS Robot: todos los resolvedores que lista deben pertenecer a CleanBrowsing. Si aparecen Google, Cloudflare o tu operador, algo en ese dispositivo se salta el filtro. Cuando el DNS cifrado está bloqueado, algunos iPhone avisan de que la red bloquea el DNS cifrado; esto es lo que significa.

CleanBrowsing frente a Cloudflare 1.1.1.3 y OpenDNS FamilyShield

Cloudflare 1.1.1.3 y OpenDNS FamilyShield son los otros grandes filtros familiares gratuitos. Hicimos las mismas pruebas con cada uno el 26 de octubre de 2026; las direcciones vienen de la documentación de Cloudflare y de la página de FamilyShield de OpenDNS.

Elige CleanBrowsing Familia para niños pequeños: es el único de los tres que bloquea contenido mixto tipo Reddit y restringe YouTube, y bloquea los sitios de VPN y los servidores DoH que los niños usan para esquivar filtros. Elige Cloudflare 1.1.1.3 para bloquear sitios para adultos y malware con Safe Search y respuestas rápidas cuando Reddit y YouTube pueden quedar abiertos; consulta nuestra guía del DNS de Cloudflare. OpenDNS FamilyShield bloquea sitios para adultos, VPN y proxis, pero no obliga a usar Safe Search y deja pasar el sitio de prueba de malware.

Cómo comprobar que CleanBrowsing funciona

El dominio de prueba de CleanBrowsing, badexample.com, lo bloquean los tres filtros pero se resuelve con normalidad en otros resolvedores. Consúltalo con tu DNS habitual, sin indicar ningún servidor: NXDOMAIN significa que tus consultas llegan a CleanBrowsing.

# Through your device's normal DNS (Windows, macOS, Linux)
nslookup badexample.com
# ** server can't find badexample.com: NXDOMAIN

# Which CleanBrowsing server answered? Ask one directly
dig @185.228.168.168 id.server CH TXT +short
# "CleanBrowsing v1.6a - dns-edge-asia-singapore10"

Si badexample.com devuelve una dirección, tu dispositivo no usa CleanBrowsing: busca una VPN, el ajuste de DNS seguro del navegador o un segundo servidor DNS. Para ver a qué apunta realmente un dominio bloqueado, consúltalo con el DNS Lookup de DNS Robot, que pregunta a resolvedores públicos sin filtro.