Esta red está bloqueando el tráfico DNS encriptado: qué significa

¿Qué significa "Esta Red Está Bloqueando el Tráfico DNS Encriptado"?

"Esta red está bloqueando el tráfico DNS encriptado" significa que tu iPhone, iPad o Mac intentó consultar los nombres de los sitios web a través de un servidor DNS encriptado, y la red Wi-Fi lo impidió. Apple lo muestra como Advertencia de privacidad debajo de la red en Ajustes > Wi-Fi, con la línea: "Es posible que otros dispositivos de esta red monitoricen y registren los nombres de los sitios web y otros servidores a los que accede tu dispositivo en esta red." En el español de Latinoamérica, iOS dice "Esta red bloquea el tráfico DNS encriptado" y "Otros dispositivos conectados a esta red podrían monitorear y grabar los nombres de los sitios web…".

Apple lo explicó cuando añadió el DNS cifrado en iOS 14 y macOS Big Sur (WWDC 2020): algunas redes bloquean por política los servidores DNS cifrados porque filtran el tráfico mirando las consultas DNS, y cuando eso ocurre la red Wi-Fi se marca con una advertencia de privacidad.

Tu dispositivo solo intenta usar DNS encriptado cuando algo lo activó: una app de DNS (como 1.1.1.1 de Cloudflare, NextDNS o AdGuard), un perfil de DNS, la gestión de dispositivos de tu empresa o, desde iOS 16, un servidor DNS que ofrece cifrado por sí mismo. Relay privado de iCloud también puede provocarlo: los ajustes de Wi-Fi de Apple indican que envía por sí mismo las solicitudes de DNS. Encuentra ese origen y habrás encontrado la solución.

¿Qué es el tráfico DNS cifrado?

Cada vez que visitas un sitio web, tu dispositivo envía una consulta DNS para traducir el nombre de dominio (como dnsrobot.net) en una dirección IP. El DNS tradicional envía estas consultas en texto plano por el puerto 53 — completamente sin cifrar. Esto significa que tu ISP, el administrador de red o cualquier persona en la misma Wi-Fi puede ver todos los dominios que consultas.

El DNS cifrado envuelve estas consultas en cifrado, igual que HTTPS protege el tráfico web. En lugar de enviar dns-query: dnsrobot.net como texto plano, tu dispositivo cifra la consulta para que solo el servidor DNS pueda leerla.

Hay dos protocolos principales de DNS cifrado que los dispositivos Apple admiten:

• DNS-over-HTTPS (DoH) — Envía consultas DNS por HTTPS en el puerto 443, así que se mezclan con el tráfico web normal
• DNS-over-TLS (DoT) — Envía consultas DNS por una conexión TLS en el puerto dedicado 853, proporcionando cifrado con un límite de protocolo claro

Los dispositivos Apple admiten ambos desde iOS 14 y macOS Big Sur, pero no los usan por defecto. Desde iOS 16 y macOS Ventura también pasan solos a DNS encriptado cuando el servidor DNS de la red lo anuncia mediante Discovery of Designated Resolvers (DDR). Nuestra guía de DNS privado explica los mismos protocolos en Android.

DoH vs DoT: en qué se diferencian

Ambos protocolos cifran tus consultas DNS, pero funcionan de manera diferente internamente. Entender la diferencia te ayuda a elegir la solución correcta al solucionar el problema de bloqueo.

Cuando una red bloquea el DNS cifrado, el blanco fácil es DoT en el puerto 853. DoH comparte el puerto 443 con todos los sitios HTTPS, así que las redes lo bloquean bloqueando las direcciones y los nombres de servidores DoH conocidos, o respondiendo a esos nombres con un error.

¿Por qué las redes bloquean el DNS cifrado?

No todo el bloqueo de DNS cifrado es malicioso. Existen varias razones legítimas por las que una red podría bloquear o interferir con el tráfico DNS cifrado:

• Redes corporativas/empresariales — Los departamentos de TI bloquean DNS cifrado para aplicar políticas de seguridad, filtrado de contenido y detección de amenazas. Necesitan visibilidad en las consultas DNS para bloquear dominios de malware y prevenir la exfiltración de datos
• Routers con control parental — Los routers con controles parentales integrados (como Netgear Smart Parental Controls o ASUS AiProtection) interceptan consultas DNS para filtrar categorías de contenido. El DNS cifrado elude estos filtros
• Filtrado de contenido del ISP — Algunos ISPs usan filtrado basado en DNS para cumplir regulaciones gubernamentales o bloquear sitios maliciosos conocidos. El DNS cifrado impide que este filtrado funcione
• Portales cautivos de Wi-Fi público — Hoteles, aeropuertos y cafeterías usan interceptación DNS para redirigirte a su página de inicio de sesión. El DNS cifrado rompe este mecanismo de redirección
• Pi-hole y AdGuard Home — Los bloqueadores de anuncios basados en DNS necesitan ver tus consultas. Pi-hole, por ejemplo, responde por defecto a los nombres que usan los dispositivos para descubrir el DNS cifrado (DDR) y Relay privado de iCloud para que sigan usándolo, y algunas configuraciones añaden listas de bloqueo de servidores DoH

En una red doméstica, busca primero una función que filtre el DNS: control parental, un bloqueador de anuncios como Pi-hole o AdGuard Home, una suite de seguridad del router o una regla de firewall en el puerto 853.

Cómo solucionarlo en iPhone y iPad (iOS/iPadOS)

Empieza por la Solución 1: encuentra el ajuste que está intentando usar DNS encriptado. Las soluciones 2 a 6 arreglan una conexión atascada.

Solución 1: encuentra qué activó el DNS encriptado

Revisa esto en orden. Cada punto puede hacer que tu dispositivo intente usar DNS encriptado en cualquier red:

• Relay privado de iCloud (en Latinoamérica: Retransmisión privada) — envía y cifra tus consultas DNS por sí mismo; en iOS en español de España, los ajustes de Wi-Fi de Apple dicen: «Las solicitudes de DNS para esta red Wi-Fi se envían a través del relay privado de iCloud». Para detenerlo solo en esta red, ve a Ajustes > Wi-Fi, toca (i) junto a la red y desactiva Limitar rastreo de dirección IP (la forma que indica Apple de desactivar Relay privado en una red). Una red que bloquea el propio Relay privado muestra otro mensaje, que indica que la red no es compatible con Relay privado
• Una app o un perfil de DNS — abre Ajustes > General > VPN y gestión de dispositivos (en Latinoamérica: Admón. de dispositivos y VPN) y busca una entrada de VPN o DNS de una app (la app 1.1.1.1 de Cloudflare instala un perfil VPN; NextDNS y AdGuard usan ajustes de DNS) o un perfil. Desactiva la app en esta red o elimina un perfil que no necesites
• Servidores DNS manuales — en Ajustes > Wi-Fi > (i) > Configurar DNS, servidores como 1.1.1.1, 8.8.8.8 y 9.9.9.9 le indican a iOS 16 y posteriores que ofrecen DNS encriptado, así que tu iPhone se pasa a él automáticamente. Vuelve a poner Configurar DNS en Automático para comprobarlo
• Un perfil de trabajo — si tu empresa gestiona el dispositivo, sus ajustes de DNS son una política: pregunta a TI en lugar de cambiarlos

Solución 2: reinicia tu dispositivo y router

Un reinicio borra el estado de red en caché tanto en tu dispositivo como en el router.

• iPhone/iPad: Mantén presionado el botón lateral + botón de volumen > desliza para apagar > espera 30 segundos > enciende
• Router: Desconecta el cable de alimentación > espera 30 segundos > vuelve a conectar > espera 2 minutos para el arranque completo

Después de que ambos dispositivos se reinicien, ve a Ajustes > Wi-Fi y toca el nombre de tu red. Comprueba si la "Advertencia de privacidad" sigue apareciendo.

Solución 3: olvidar y reconectar a la red Wi-Fi

Olvidar la red elimina sus ajustes guardados, incluido cualquier DNS personalizado para ella, y obliga a una conexión nueva: Ajustes > Wi-Fi > (i) > Omitir esta red (en Latinoamérica: Configuración > Wi-Fi > (i) > Olvidar esta red). Necesitarás la contraseña de la Wi-Fi para volver a conectarte, así que compruébala antes (suele estar en una etiqueta del router).

# iOS path:
Settings > Wi-Fi > tap (i) next to network name > Forget This Network > Confirm

# Then reconnect:
Settings > Wi-Fi > select your network > enter password

Solución 4: actualiza iOS o iPadOS

Ve a Ajustes > General > Actualización de software e instala cualquier actualización. Se han reportado advertencias inesperadas en iOS 14 y 15 en los foros para desarrolladores de Apple, así que actualiza antes de cambiar cualquier otra cosa.

Solución 5: revisa tus servidores DNS manuales

Configurar DNS > Manual por sí solo no cifra nada: solo cambia el servidor al que pregunta tu iPhone. Pero desde iOS 16, un servidor compatible con Discovery of Designated Resolvers hace que tu iPhone pase automáticamente a DNS encriptado. Lo comprobamos el 26 de octubre de 2026: 1.1.1.1, 8.8.8.8 y 9.9.9.9 anuncian DoH y DoT de esta forma (Quad9 también DNS over QUIC).

# iOS DNS configuration path:
Settings > Wi-Fi > tap (i) next to network > Configure DNS

# To clear the warning on this network:
Automatic

# Manual servers that iOS 16+ upgrades to encrypted DNS (DDR):
1.1.1.1   1.0.0.1           # Cloudflare
8.8.8.8   8.8.4.4           # Google
9.9.9.9   149.112.112.112   # Quad9

Así que un servidor DNS público puesto a mano puede causar la advertencia en una red que bloquea el DNS encriptado: para quitarla, vuelve a poner Configurar DNS en Automático (Ajustes > Wi-Fi > (i) > Configurar DNS; en Latinoamérica la opción se llama Automática). Añade servidores públicos a mano solo en redes que permiten el DNS encriptado. El ajuste es por red.

Solución 6: restablecer configuración de red

Si ninguna de las soluciones anteriores funciona, restablecer la configuración de red borra todas las redes Wi-Fi guardadas, configuraciones VPN y ajustes de celular, dando a tu dispositivo un estado de red completamente limpio.

# iOS 15 and later:
Settings > General > Transfer or Reset iPhone > Reset > Reset Network Settings

# iOS 14:
Settings > General > Reset > Reset Network Settings

Después del restablecimiento, tu dispositivo se reinicia. Necesitarás reconectarte a todas las redes Wi-Fi y volver a ingresar las contraseñas. Los perfiles VPN también necesitarán reconfigurarse.

Cómo solucionarlo en Mac (macOS)

La misma advertencia puede aparecer en los ajustes de Wi-Fi de tu Mac, y los mismos orígenes activan allí el DNS encriptado.

Revisa Relay privado, perfiles y DNS en Mac

En macOS Ventura y posterior, ve a Ajustes del Sistema > Red > Wi-Fi y haz clic en Detalles junto a la red: desactiva Limitar rastreo de dirección IP para detener Relay privado en esa red, y revisa la pestaña DNS por si hay servidores manuales (elimínalos para quitar la advertencia, ya que 1.1.1.1, 8.8.8.8 y 9.9.9.9 pasan a DNS encriptado mediante DDR). Las apps y los perfiles de DNS aparecen en Ajustes del Sistema → General → Gestión de dispositivos (en Latinoamérica: Configuración del Sistema → General → Administración de dispositivos). Para configurar servidores DNS desde Terminal:

# Remove manual DNS servers (back to the network's own):
sudo networksetup -setdnsservers Wi-Fi Empty

# Or set servers for Wi-Fi:
sudo networksetup -setdnsservers Wi-Fi 1.1.1.1 1.0.0.1

# Check what's set:
networksetup -getdnsservers Wi-Fi

Limpiar caché DNS en Mac

Después de cambiar los ajustes de DNS, limpia la caché DNS local para que tu Mac los use de inmediato. Nuestra guía sobre cómo limpiar la caché DNS cubre también Windows, Linux y los navegadores.

# macOS Ventura / Sonoma / Sequoia and later:
sudo dscacheutil -flushcache; sudo killall -HUP mDNSResponder

# Check that DNS resolution works:
nslookup example.com 1.1.1.1

Cómo solucionarlo en tu router

Si la red es tuya, arreglar el router ayuda a todos los dispositivos a la vez. Empieza por lo que filtra el DNS.

Revisa los filtros del router y luego actualiza el firmware

El control parental, el bloqueo de anuncios y las funciones de seguridad de los routers y de los routers de los proveedores suelen funcionar interceptando el DNS, y algunos bloquean el DNS cifrado para que los dispositivos no se salten el filtro. Desactiva la función en el panel de administración del router (o permite DoH y DoT en ella) y comprueba si la advertencia desaparece. Después instala cualquier actualización de firmware (los nombres de los menús varían según el modelo):

• ASUS: Panel de administración del router (192.168.1.1) > Administración > Actualización de Firmware > Buscar actualización
• TP-Link: tplinkwifi.net > Herramientas del Sistema > Actualización de Firmware (o usa la app Tether)
• Netgear: routerlogin.net > Administración > Actualización de Firmware > Verificar en línea
• Linksys: 192.168.1.1 > Conectividad > Actualización de Firmware del Router

Cambiar servidores DNS en tu router

Si el filtro es el DNS de tu proveedor, apuntar el router a un resolvedor público lo detiene. El propio router sigue preguntando a ese resolvedor con DNS sin cifrar, salvo que admita DoT o DoH.

# Typical router DNS configuration:
# 1. Open router admin panel: http://192.168.1.1 or http://192.168.0.1
# 2. Navigate to: WAN Settings > DNS Configuration
# 3. Change from "Get from ISP" to "Manual"
# 4. Enter DNS servers:

Primary DNS:   1.1.1.1     (Cloudflare)
Secondary DNS: 8.8.8.8     (Google)

# Alternative: Quad9 with malware blocking
Primary DNS:   9.9.9.9
Secondary DNS: 149.112.112.112

# 5. Save and reboot router

Los dispositivos reciben el nuevo servidor DNS cuando se vuelven a conectar. Si el router entrega directamente la dirección del servidor público (como 1.1.1.1) en lugar de la suya (192.168.x.x), iOS 16 y macOS Ventura y posteriores pasan automáticamente a DNS encriptado mediante DDR.

Mejores servidores DNS con soporte de cifrado

Estos resolvedores públicos admiten DoH y DoT, así que una app o un perfil de DNS de cualquiera de ellos te da DNS encriptado cuando la red lo permite.

Cloudflare, Google y Quad9 también anuncian sus servidores cifrados mediante DDR, que iOS 16 y macOS Ventura y posteriores usan automáticamente cuando uno de ellos es tu servidor DNS. ¿No sabes cuál es más rápido desde tu conexión? El DNS Speed Test los mide en tu navegador. Pasos completos: nuestras guías de servidores DNS de Cloudflare y servidores DNS de Google.

Cómo verificar que el DNS cifrado está funcionando

Después de aplicar las soluciones, verifica que tus consultas DNS realmente estén siendo cifradas. Aquí tienes métodos para cada plataforma.

Verificar en iPhone/iPad

Compruébalo desde el propio dispositivo:

• Ejecuta el DNS Leak Test de DNS Robot en Safari: con el DNS encriptado funcionando verás los servidores del proveedor que elegiste, no los de tu proveedor de internet
• Si usas Cloudflare, visita 1.1.1.1/help: muestra si tus consultas usan DoH, DoT o DNS sin cifrar
• Ve a Ajustes > Wi-Fi y toca (i) junto a la red: la Advertencia de privacidad desaparece cuando el DNS encriptado funciona en esa red, o cuando nada en el dispositivo lo intenta

Verificar en Mac

En macOS, puedes usar Terminal para verificar la resolución DNS y comprobar si el cifrado está activo.

# Check which DNS servers are active:
scutil --dns | grep nameserver

# Test DNS resolution through Cloudflare DoH:
curl -s -H 'accept: application/dns-json' 'https://1.1.1.1/dns-query?name=dnsrobot.net&type=A' | python3 -m json.tool

# Check if DoH is working via Cloudflare's test page:
open https://1.1.1.1/help

Cuándo este aviso es normal (y seguro de ignorar)

El aviso de DNS cifrado no siempre es un problema que necesita solución. En algunas situaciones, la red está bloqueando intencionalmente el DNS cifrado por razones de seguridad válidas.

• Redes corporativas/de oficina — El equipo de TI de tu empresa bloquea el DNS cifrado para vigilar el malware y aplicar políticas de seguridad. Es una práctica estándar, y tu tráfico HTTPS sigue cifrado
• Redes escolares — En EE. UU., los colegios K-12 y las bibliotecas que reciben descuentos E-rate deben filtrar según CIPA (Children's Internet Protection Act), y muchos filtran por DNS; las universidades filtran según su propia política
• Usuarios de Pi-hole o AdGuard Home — un bloqueador de anuncios local basado en DNS puede impedir que los dispositivos pasen a DNS cifrado para seguir filtrando. Es así por diseño
• Wi-Fi de hoteles, aeropuertos y cafeterías — las redes públicas suelen filtrar el DNS. Aquí es donde más importa la advertencia: quien gestiona la red puede ver tus consultas, así que usa una VPN en redes Wi-Fi en las que no confíes

En redes gestionadas puedes seguir sin problema: el dueño de la red ve tus consultas, pero tus páginas HTTPS siguen cifradas. El riesgo real del DNS sin cifrar está en las redes públicas no confiables, donde alguien podría espiar o manipular tus consultas.

Preguntas frecuentes