Configurar NextDNS: límite gratis y todos los dispositivos

¿Qué es NextDNS?

NextDNS es un resolvedor DNS que funciona como un cortafuegos que configuras tú mismo. Creas una configuración en my.nextdns.io, eliges qué bloquea (anuncios y rastreadores, malware y phishing, sitios para adultos, aplicaciones como TikTok o Fortnite) y apuntas cada dispositivo a ella con tu ID de configuración. Es gratis hasta 300 000 consultas al mes; el plan Pro, sin límite, cuesta 1,99 $ al mes en EE. UU.

Como actúa a nivel de DNS, el bloqueo cubre todas las aplicaciones, no solo el navegador, y se ejecuta en los servidores de NextDNS en lugar de en tu dispositivo: un nombre bloqueado recibe 0.0.0.0 (o, opcionalmente, una página de bloqueo) en vez de su dirección real. NextDNS Inc. se fundó en mayo de 2019 en Delaware por Romain Cointepas y Olivier Poitrey y opera su propia red anycast, con servidores de dos proveedores distintos en cada ubicación.

¿NextDNS es gratis? El límite de 300 000 consultas y los precios

Sí, con un tope mensual. El plan gratuito incluye 300 000 consultas al mes, dispositivos ilimitados, configuraciones ilimitadas y todas las funciones. NextDNS te envía un correo al llegar a 250 000 consultas y otra vez a las 300 000. Al pasar el tope no te corta: con sus propias palabras, "se convierte en un resolvedor DNS estándar, sin filtrado ni registro" hasta el mes siguiente.

Son unas 10 000 consultas al día. Si basta o no depende de cuántos dispositivos comparten la cuenta, así que vigila el contador en la pestaña "Analytics" durante una semana antes de pagar.

Cómo funciona el ID de configuración de NextDNS

Cada configuración tiene un ID corto, que aparece en la pestaña "Setup" de my.nextdns.io (la API, la CLI y la aplicación de Mac de NextDNS lo llaman ID de perfil). NextDNS necesita ese ID en cada consulta para saber qué ajustes aplicar, y cada protocolo lo transporta de forma distinta:

La IP enlazada es el punto débil. El DNS sin cifrar sobre IPv4 no tiene sitio para un ID, así que NextDNS asocia las consultas a tu IP pública, y eso se rompe cuando esa IP cambia, algo habitual en líneas domésticas dinámicas y tras un CGNAT. Un nombre de host DDNS o una URL de actualización ayuda; el DNS cifrado evita el problema.

Para dar nombre a un dispositivo en los registros, pon el nombre antes del ID en DoT, con -- en lugar de un espacio (John--Router-abc123.dns.nextdns.io), o después en DoH (https://dns.nextdns.io/abc123/Office%20PC).

Cómo configurar NextDNS en cada dispositivo

Regístrate en my.nextdns.io, abre la pestaña "Setup" y copia tu ID: la pestaña muestra tus endpoints exactos y detecta el dispositivo en el que estás. Estos son los métodos que lista para cada plataforma (comprobado el 26 de octubre de 2026). Sustituye abc123 por tu ID.

Android: DNS privado

Android 9 y posteriores traen DNS privado (DNS over TLS) integrado, y es el único método para Android que indica NextDNS. Cubre el Wi-Fi y los datos móviles en toda aplicación que use el DNS del sistema.

1. Abre Ajustes > Redes e InternetEn los móviles Samsung es Ajustes > Conexiones.
2. Toca DNS privadoAlgunos móviles lo ponen en Avanzado o en Más ajustes de conexión.
3. Elige Nombre de host del proveedor de DNS privado
4. Escribe abc123.dns.nextdns.io y toca GuardarUsa tu propio ID y abre un sitio web: si las páginas dejan de cargar, el nombre de host es incorrecto o la red bloquea el puerto 853.

iPhone, iPad y Mac: la aplicación o apple.nextdns.io

En iPhone y iPad, NextDNS recomienda su aplicación de la App Store. La alternativa es un perfil de configuración, que usa el DNS cifrado integrado de Apple (iOS 14 y macOS 11 o posterior) sin ninguna aplicación en ejecución:

1. Abre apple.nextdns.io en el dispositivoEscribe tu ID de configuración. Opcionalmente añade un nombre de dispositivo, las redes Wi-Fi donde NextDNS debe estar desactivado y los dominios que deben saltárselo.
2. Toca Download
3. Instala el perfiliPhone y iPad: Ajustes > Perfil descargado > Instalar. Mac: abre el archivo .mobileconfig, luego Ajustes del Sistema > General > Gestión de dispositivos, haz doble clic en el perfil de NextDNS y pulsa Instalar.

En un Mac también puedes instalar la aplicación de NextDNS desde nextdns.io/download/macos/stable, su método recomendado para Mac, y escribir tu ID de perfil cuando lo pida.

Windows 11: DNS over HTTPS o la aplicación

Windows 11 puede enviar DNS over HTTPS de forma nativa, y NextDNS lo incluye entre sus métodos recomendados:

1. Abre Configuración > Red e Internet > Wi-Fi (o Ethernet)En Wi-Fi, haz clic en Propiedades de hardware.
2. Haz clic en Editar junto a Asignación de servidor DNS y elige Manual
3. Activa IPv4 y define el servidor preferidoDNS preferido: 45.90.28.0. DNS sobre HTTPS: Activado (plantilla manual), con la plantilla https://dns.nextdns.io/abc123.
4. Define el servidor alternativo y guardaDNS alternativo: 45.90.30.0, con la misma plantilla. Haz clic en Guardar.

Windows 10 no tiene ajuste de DNS over HTTPS, así que usa la aplicación de nextdns.io/download/windows/stable: clic derecho en su icono de la bandeja, abre "Settings…", pega tu Configuration ID y elige "Enable" en el mismo menú.

Chrome, Edge, Brave y Firefox

Para cubrir un solo navegador, pon su DNS seguro en un proveedor personalizado: https://dns.nextdns.io/abc123. En Chrome es Configuración > Privacidad y seguridad > Seguridad > Usar DNS seguro > "Añadir proveedor de servicios de DNS personalizado".

En Firefox, elige Protección máxima (Max Protection) en DNS sobre HTTPS. NextDNS pide este modo estricto porque los demás modos de Firefox recurren al DNS del sistema cuando falla una consulta, lo que deja pasar dominios bloqueados.

Routers, Linux y la CLI de NextDNS

Para un router, NextDNS recomienda su CLI de código abierto: un pequeño proxy que convierte el DNS sin cifrar de cada dispositivo en DNS over HTTPS y puede enviar a tus registros el nombre y el modelo de cada dispositivo. Funciona en OpenWrt, AsusWRT-Merlin, pfSense, OPNsense, UniFi, EdgeOS, Firewalla, Synology, DD-WRT y la mayoría de distribuciones de Linux. Ten a mano tu ID de configuración y ejecuta:

sh -c 'sh -c "$(curl -sL https://nextdns.io/install)"'

# Afterwards
nextdns restart   # restart the service
nextdns log       # show its log

# Run the install command again to upgrade or uninstall

Si tu router no puede ejecutarla, escribe como servidores DNS las dos direcciones IPv6 de la pestaña "Setup", o el par IPv4 con una IP enlazada. Con dnsmasq, add-cpe-id=abc123 añade tu ID a cada consulta, sin necesidad de enlazar la IP.

Los mejores ajustes de NextDNS que conviene cambiar

La primera configuración de una cuenta nueva no está vacía. Según el código del panel (leído el 26 de octubre de 2026), vienen activados los feeds de inteligencia de amenazas, Google Safe Browsing, la protección contra cryptojacking, homógrafos IDN, typosquatting, DGA y CSAM, una lista de bloqueo de anuncios y rastreadores, el bloqueo de rastreadores camuflados, el registro y el EDNS Client Subnet anonimizado. Entre otros, quedan desactivados la protección contra DNS rebinding, que NextDNS sugiere activar salvo que uses dominios que resuelven a IP privadas, y los bloqueos de dominios recién registrados y aparcados. A partir de ahí, estos ajustes son los que más importan.

Listas de bloqueo: añade una, no cinco

El catálogo de listas de bloqueo de NextDNS, que alimenta la pestaña "Privacy", tenía 83 listas el 26 de octubre de 2026. Más no es mejor: cada lista extra añade falsos positivos, y algunas del catálogo llevan años sin actualizarse.

Un buen comienzo es la lista por defecto más una lista mantenida como HaGeZi Multi PRO u OISD. Cuando algo se rompe, cada entrada bloqueada en la pestaña "Logs" dice "Blocked by" y nombra la lista, y desde ahí puedes permitir el dominio.

Protección nativa contra el rastreo

Bloquea la telemetría que los sistemas operativos y los dispositivos envían por su cuenta. El 26 de octubre de 2026 cubría ocho fabricantes: Windows, Apple, Samsung, Xiaomi, Huawei, Alexa, Roku y Sonos. Añade solo los fabricantes de los dispositivos que tengas, uno a uno, y revisa los registros si una función de ese dispositivo deja de funcionar.

Control parental

Bloquea categorías enteras (pornografía, apuestas, citas, piratería, videojuegos, redes sociales, streaming de vídeo) o cualquiera de 43 servicios concretos, desde TikTok y Roblox hasta Discord y ChatGPT. También puedes imponer SafeSearch y el modo Restringido de YouTube, y usar Recreation Time para permitir ciertos sitios, aplicaciones o juegos solo en horas determinadas del día.

Registros, retención y dónde se guardan

Los registros están activados en una configuración nueva. En "Settings" puedes desactivarlos o conservarlos 1 hora, 6 horas, 1 día, 1 semana, 1, 3 o 6 meses, 1 año o 2 años, guardados en Estados Unidos, la Unión Europea o Suiza (la página de inicio de NextDNS también menciona el Reino Unido). Con los registros desactivados, la política de privacidad de NextDNS dice que cada consulta y su respuesta se descartan justo después de devolver la respuesta, y que nunca vende ni comparte datos de usuarios.

Velocidad y privacidad de NextDNS: la prueba de DNS Robot

Medimos los endpoints públicos de NextDNS sin cuenta desde una conexión doméstica en la India el 26 de octubre de 2026: una consulta de calentamiento y después la mediana de 5 consultas de example.com, repetido dos veces con un minuto de diferencia. test.nextdns.io nos dijo qué servidor de NextDNS respondió.

Primero, el nombre de host cifrado es el camino rápido. dns.nextdns.io usa el direccionamiento DNS "ultralow" de NextDNS para elegir un servidor cercano, mientras que las direcciones anycast van adonde las lleve el enrutamiento: desde nuestra red, el segundo par (45.90.30.0, 2a07:a8c1::) acabó en Europa, con una latencia unas cinco veces mayor. Prefiere DoH o DoT; con IP sin cifrar, prueba ambas o mídelas desde tu propio navegador con nuestro test de velocidad DNS.

Segundo, NextDNS valida DNSSEC: devolvió SERVFAIL para dnssec-failed.org. Sin ID tampoco pasó ninguna subred de cliente al nombre de prueba de Google o-o.myaddr.l.google.com, que solo vio el servidor de NextDNS en Bombay; Google Public DNS pasó nuestra subred /24 real, AdGuard otra /24 y Cloudflare ninguna. Una configuración es distinta: su ajuste "EDNS Client Subnet anonimizado", activado por defecto, envía una subred que NextDNS diseñó para mantener la velocidad de las CDN sin revelar tu propia dirección. Puedes desactivarlo en "Settings".

Cómo comprobar que NextDNS funciona (test.nextdns.io)

Abre test.nextdns.io en un navegador del dispositivo. Devuelve unas líneas de JSON sobre el resolvedor que resolvió la página. Esto es lo que mostró en nuestro Mac con el DNS del proveedor y luego con NextDNS por DoH (direcciones eliminadas):

Not using NextDNS:
{
  "status": "unconfigured",
  "resolver": "<your ISP's resolver>",
  "srcIP": "<your public IP>",
  "server": "vultr-blr-1"
}

Using NextDNS (DoH, no configuration ID):
{
  "status": "ok",
  "protocol": "DOH",
  "client": "<your public IP>",
  "srcIP": "<your public IP>",
  "anycast": false,
  "server": "ls-bom-1",
  "clientName": "unknown-doh"
}

• unconfigured: este dispositivo no usa NextDNS. resolver es quien preguntó en su lugar; el panel lo nombra (en nuestro caso, el proveedor, Reliance Jio).
• ok: NextDNS respondió. protocol indica cómo llegó la consulta (DOH, DOT, UDP y así sucesivamente) y server nombra la ubicación de NextDNS (bom es Bombay).
• mismatch: lo muestra la pestaña "Setup", que ejecuta la prueba con tu ID: NextDNS respondió sin esa configuración (una dirección IPv4 sin enlazar, un endpoint sin tu ID u otro ID).

Si un sitio no carga, compara su respuesta pública real en DNS Lookup con la que recibe tu dispositivo: 0.0.0.0 significa que NextDNS lo bloqueó, y la pestaña "Logs" dice qué lista. El test de fugas DNS muestra todos los resolvedores que tu dispositivo usa de verdad, así que detecta una VPN o un navegador que se salta NextDNS.

NextDNS vs AdGuard DNS vs Cloudflare para familias

Los tres filtran a nivel de DNS, pero sirven a personas distintas. El 26 de octubre de 2026 enviamos los mismos nombres a cada endpoint público:

Elige NextDNS si quieres decidir qué se bloquea para cada persona o dispositivo y ver los registros. Elige los servidores públicos gratuitos de AdGuard DNS (94.140.14.14) si quieres bloquear anuncios sin ninguna cuenta. Elige Cloudflare for Families si te basta con el filtrado de malware y de contenido para adultos: 1.1.1.3 es gratis, no necesita cuenta y no bloquea anuncios. Nuestra guía de DNS de Cloudflare lista todas las direcciones de Families.

¿NextDNS no funciona? Causas habituales

• Hay una VPN conectada: en iPhone y Mac, su DNS sustituye al perfil de NextDNS.
• Superaste las 300 000 consultas: las cuentas gratuitas dejan de filtrar hasta que el mes se reinicia.
• Tu IP pública cambió: las configuraciones con IP enlazada dejan de coincidir. Vuelve a enlazar, usa DDNS o cambia a DoH o DoT.
• La red bloquea el puerto 853: DoT (DNS privado de Android) lo usa y los cortafuegos lo bloquean con facilidad; DoH usa el puerto 443, como el tráfico web.
• Safari no hace nada con un enlace bloqueado: NextDNS informa de que Safari en iOS ignora en silencio los enlaces a dominios bloqueados con 0.0.0.0. Activa la Block Page.
• Los anuncios de YouTube siguen apareciendo: NextDNS dice que el DNS no puede bloquearlos. Usa un bloqueador de anuncios en el navegador.
• Firefox se lo salta: cuando su propio DNS over HTTPS está activado, ignora el DNS del sistema. Apúntalo a tu URL de NextDNS con Protección máxima.