DNS de Quad9: 9.9.9.9, IPv6 y configuración

¿Qué es el DNS de Quad9?

Quad9 DNS es un resolvedor DNS público y gratuito en 9.9.9.9 (secundario 149.112.112.112) que se niega a resolver dominios conocidos por difundir malware o phishing. Configuras tu router, ordenador o móvil para usarlo en lugar del servidor DNS de tu ISP, y cada consulta se compara con las listas de amenazas de más de 20 socios de inteligencia de amenazas antes de recibir respuesta. No hay cuenta, ni app que instalar, ni cuota.

Lo gestiona la Quad9 Foundation, una fundación sin ánimo de lucro de Zúrich (Suiza), fundada por la Global Cyber Alliance, IBM y Packet Clearing House (PCH). IBM cedió al proyecto la dirección 9.9.9.9. Quad9 funciona en producción desde agosto de 2016, y su página «Acerca de» (consultada el 26 de octubre de 2026) indica más de 230 clústeres de resolvedores en más de 110 países y una media de más de 670 millones de consultas bloqueadas al día.

Direcciones de los servidores DNS de Quad9 (IPv4 e IPv6)

Estas son las direcciones del servicio recomendado de Quad9, el que quiere la mayoría: bloqueo de malware más validación DNSSEC. Introduce todas las que admita tu dispositivo.

Las cuatro llegan al mismo servicio mediante anycast: tu consulta aterriza en el sitio de Quad9 más cercano. Todas las direcciones de Quad9 que preguntamos las respondió res700.bom2, un resolvedor de Bombay (BOM es el código de aeropuerto de Bombay). Quad9 pide añadir el par IPv6 aunque no tengas IPv6, porque la mayoría de los sistemas ignoran las direcciones que no pueden usar. La documentación de Windows de Microsoft indica la segunda como 2620:fe::fe:9; ambas respondieron en nuestra prueba.

# Ask Quad9 directly (macOS, Linux, or Windows with BIND tools)
dig @9.9.9.9 example.com +short

# Which Quad9 site answered?
dig @9.9.9.9 id.server CH TXT +short
# "res700.bom2"

# Windows built-in equivalent
nslookup example.com 9.9.9.9

Todos los servicios de Quad9: 9.9.9.9 vs 9.9.9.10 vs 9.9.9.11

Quad9 ejecuta el mismo resolvedor bajo cuatro conjuntos de direcciones. Se diferencian en dos interruptores: si se bloquean los dominios maliciosos y si se pasa parte de tu dirección IP (EDNS Client Subnet, o ECS) a los servidores DNS de los sitios web.

9.9.9.12 solo aparece en el sitio de documentación de Quad9; las cuatro respondieron en nuestra prueba. La URL DoH es el nombre de host más /dns-query.

El ECS cambia privacidad por velocidad. Las CDN usan tu subred para elegir un servidor cercano. Quad9 lo considera una fuga de privacidad, así que 9.9.9.9 nunca lo envía; su documentación sugiere 9.9.9.11 si no llegas a un sitio de Quad9 cercano o un sitio te sirve contenido de la región equivocada. El nombre de eco de Google muestra la diferencia:

# DNS Robot's test, 26 October 2026 (our real prefix replaced with a documentation one)
dig @9.9.9.9 o-o.myaddr.l.google.com TXT +short
"2620:171:bf:f003:9999::178"           # only Quad9's own server address

dig @9.9.9.11 o-o.myaddr.l.google.com TXT +short
"edns0-client-subnet 203.0.113.0/24"   # our /24 was passed on
"2620:171:bf:f003:9999::178"

Por IPv6, 9.9.9.11 pasó un /48. 9.9.9.9, 9.9.9.10 y el 1.1.1.1 de Cloudflare no enviaron ninguna subred; el 8.8.8.8 de Google también envió un /24.

Cómo bloquea Quad9 el malware (y qué no bloquea)

Quad9 no caza amenazas por sí mismo. Toma listas de dominios maliciosos (malware, phishing, ransomware, spyware, kits de exploits) de sus socios de inteligencia de amenazas y las actualiza varias veces al día o casi en tiempo real. Si consultas un dominio de la lista, Quad9 responde como si no existiera, y tu dispositivo nunca recibe la dirección del servidor.

No bloquea anuncios, rastreadores ni contenido para adultos, no tiene planes de filtrar contenido y no cuenta el spam como una amenaza. Para un filtro para adultos, usa algo como el 1.1.1.3 de Cloudflare.

Quad9 documenta un dominio de prueba, isitblocked.org, que sus servicios con bloqueo rechazan. En la prueba de DNS Robot del 26 de octubre de 2026:

Un bloqueo y un dominio que de verdad no existe devuelven ambos NXDOMAIN. El número de AUTHORITY los distingue: un bloqueo tiene AUTHORITY: 0 y un dominio inexistente AUTHORITY: 1 (el registro SOA de la zona), como mostró un nombre .com inventado en nuestra prueba.

dig @9.9.9.9 isitblocked.org | grep -E "status|AUTHORITY"
;; ->>HEADER<<- opcode: QUERY, status: NXDOMAIN, id: 4916
;; flags: qr rd ad; QUERY: 1, ANSWER: 0, AUTHORITY: 0, ADDITIONAL: 1

# The same name through the unfiltered service
dig @9.9.9.10 isitblocked.org +short
74.208.236.124

Quad9 DNS sobre HTTPS, TLS y QUIC

El DNS sin cifrar en el puerto 53 lo puede leer cualquiera en el camino, incluido tu ISP. Todos los servicios de Quad9 responden también por protocolos cifrados:

• DNS sobre TLS (DoT): dns.quad9.net en el puerto 853 (dns10, dns11 o dns12.quad9.net para los otros servicios). Es el nombre de host que necesita el ajuste DNS privado de Android.
• DNS sobre HTTPS (DoH): https://dns.quad9.net/dns-query. Quad9 empezó a desactivar HTTP/1.1 para DoH el 15 de diciembre de 2025, así que necesita HTTP/2 o superior; Quad9 cita MikroTik RouterOS como cliente que no lo tiene.
• DNS sobre QUIC (DoQ) y DoH sobre HTTP/3: en todos los servicios de Quad9 desde el 31 de marzo de 2026. DoQ usa los mismos nombres de host en el puerto 853; clientes como Chrome pasan solos a HTTP/3. Quad9 también admite DNSCrypt.

# Which protocol did Quad9 receive your query on? (do53-udp, do53-tcp, dot, doh…)
dig +short txt proto.on.quad9.net

# Windows PowerShell
Resolve-DnsName -Type txt proto.on.quad9.net

En la prueba de DNS Robot, DoT se conectó por TLS 1.3 en el puerto 853 a los cuatro servicios y por IPv6, con un certificado para dns.quad9.net, y proto.on.quad9.net respondió dot por TLS y doh por HTTPS. DoH sobre HTTP/1.1 recibió HTTP 505 («requires HTTP/2»), y el formato JSON ?name= que ofrecen Cloudflare y Google devolvió HTTP 400: Quad9 solo habla el formato binario de la RFC 8484.

El cifrado cuesta sobre todo tiempo en la primera consulta. Una conexión DoH nueva a Quad9 tardó una mediana de 260 ms en total (Cloudflare 87 ms, Google 150 ms); con una conexión DoT abierta, las consultas a 9.9.9.9 tardaron una mediana de 48 ms, cerca del DNS sin cifrar.

Velocidad y DNSSEC de Quad9: la prueba de DNS Robot

Medimos cada dirección de Quad9 desde una conexión doméstica Jio en India el 26 de octubre de 2026, junto a Cloudflare y Google: cinco rondas intercaladas por servidor, cada una con un nombre en caché (example.com) y un nombre totalmente nuevo en nuestra propia zona de pruebas. La tabla muestra la mediana de cinco.

Cloudflare fue el más rápido en ambos casos, con todas sus consultas en caché entre 26 y 31 ms. Las medianas de Quad9 fueron buenas, pero su dispersión fue amplia: consultas sueltas en caché a 9.9.9.9 y 149.112.112.112 tardaron 316 ms y 563 ms, y una consulta IPv6 agotó el tiempo. Google fue el más lento con nombres nuevos. Tus cifras serán distintas, así que ejecuta el DNS Speed Test desde tu propio dispositivo antes de cambiar.

DNSSEC: todas las direcciones de Quad9 validan. Todas, incluidas el 9.9.9.10 sin filtro y el 9.9.9.12, devolvieron SERVFAIL para los dominios deliberadamente rotos dnssec-failed.org y brokendnssec.net, y activaron la marca ad en un dominio bien firmado. Eso coincide con la página de servicio de Quad9; sus FAQ («dos de tres» servicios) y sus perfiles de Apple («No DNSSEC» para 9.9.9.10) no coinciden con lo que medimos.

Quién gestiona Quad9 y si es privado

Quad9 lo gestiona la Quad9 Foundation, una fundación de utilidad pública sin ánimo de lucro de Zúrich, financiada con patrocinios y donaciones. Su política de privacidad dice:

• Las direcciones IP cuentan como datos personales según la más estricta de las definiciones suiza (LPD), estadounidense y de la UE (RGPD), para todos los usuarios, vivan donde vivan.
• Tu dirección IP nunca se almacena. Permanece en memoria solo los microsegundos o milisegundos necesarios para responder, y nunca se vincula a los nombres que consultas.
• Lo que conserva son contadores: sitio, prefijo de red (no más fino que un /24 en IPv4 o un /56 en IPv6), número de AS, región, tipo de consulta, protocolo y recuentos por nombre de dominio. Pueden archivarse, pero la política dice que ninguno contiene información personal.
• No se vende ni se comparte nada con anunciantes. Los socios de inteligencia de amenazas reciben recuentos de los dominios que aportaron, nunca IP de origen.
• Jurisdicción suiza: Quad9 solo cumple solicitudes aprobadas por las autoridades suizas, y el servicio suizo de vigilancia ha confirmado que su ley de vigilancia (SPTA) no se aplica al resolvedor, así que no hay obligación de conservar metadatos de los usuarios.

Aun así, ningún resolvedor es anónimo: Quad9 sigue viendo cada consulta, y el DNS sin cifrar sigue siendo legible en el camino salvo que uses DoT o DoH.

Quad9 vs Cloudflare vs Google DNS

Los tres son gratuitos y validan DNSSEC. Las diferencias reales son el bloqueo, la privacidad y la ley a la que responde cada operador:

Elige Quad9 para protección contra malware en todos los dispositivos y los términos de privacidad más estrictos. Elige Cloudflare si lo que más importa es la velocidad (fue el más rápido desde nuestra línea) o necesitas un filtro para adultos. Elige Google para respuestas precisas con las CDN, ya que envía ECS. Nuestras guías de DNS de Cloudflare y DNS de Google cubren ambos con el mismo detalle.

Cómo configurar el DNS de Quad9

Configura Quad9 en el router para cubrir a la vez todos los dispositivos de tu Wi-Fi, o en el propio dispositivo para los móviles y portátiles que salen de casa.

En Android (DNS privado)

• Abre Ajustes y busca DNS privado (en un Pixel está en Redes e Internet; en Samsung, en Conexiones → Más ajustes de conexión).
• Elige Nombre de host del proveedor de DNS privado.
• Introduce dns.quad9.net (o dns10.quad9.net / dns11.quad9.net para los otros servicios) y toca Guardar.
• Abre on.quad9.net en el navegador para confirmar que funcionó.

El DNS privado cifra cada consulta con DoT, también con datos móviles; nuestra guía de DNS privado explica qué oculta.

En iPhone y iPad

• Rápido, una sola red Wi-Fi (sin cifrar): ve a Ajustes → Wi-Fi, toca (i) junto a tu red y luego Configurar DNS → Manual. Elimina los servidores antiguos, añade 9.9.9.9, 149.112.112.112, 2620:fe::fe y 2620:fe::9, y toca Guardar.
• Cifrado, en todas las redes: abre la guía de configuración de iOS de Quad9 en Safari (otros navegadores no funcionan) y descarga un perfil (Quad9 recomienda HTTPS). Luego ve a Ajustes, toca Perfil descargado, después Instalar e introduce tu código.
• Comprueba el resultado en on.quad9.net.

En Windows 11 y 10

• Windows 11: abre Configuración → Red e Internet, elige Wi-Fi o Ethernet, haz clic en Editar junto a Asignación de servidor DNS y elige Manual.
• Activa IPv4: preferido 9.9.9.9, alternativo 149.112.112.112, cada uno con DNS sobre HTTPS en Activado (plantilla automática); Windows ya conoce la dirección DoH de Quad9.
• Activa IPv6 si lo tienes (2620:fe::fe y 2620:fe::9, DoH activado) y haz clic en Guardar. La lista DoH integrada de Windows tiene 2620:fe::fe:9 en lugar de 2620:fe::9; úsala como alternativa si no se ofrece Activado (plantilla automática). Los portátiles que pasan a redes que bloquean DoH pueden necesitar la opción «reserva a texto no cifrado».
• Windows 10: pulsa Win + R, ejecuta ncpa.cpl, haz clic derecho en tu adaptador y abre Propiedades → Protocolo de Internet versión 4 (TCP/IPv4) → Propiedades → Usar las siguientes direcciones de servidor DNS. Repite para IPv6.

# PowerShell (as administrator): set Quad9 on the active adapter
$if = (Get-NetAdapter | Where-Object Status -eq 'Up' | Select-Object -First 1).Name
Set-DnsClientServerAddress -InterfaceAlias $if -ServerAddresses 9.9.9.9,149.112.112.112,2620:fe::fe,2620:fe::9
ipconfig /flushdns

# "doh" means encrypted, "do53-udp" means plain DNS
Resolve-DnsName -Type txt proto.on.quad9.net

En macOS

• Abre Ajustes del Sistema → Red, elige Wi-Fi (o Ethernet) y haz clic en Detalles.
• Abre DNS, haz clic en + y añade 9.9.9.9, 149.112.112.112, 2620:fe::fe y 2620:fe::9. Elimina las entradas antiguas con – y haz clic en Aceptar.
• Para DNS cifrado en macOS Big Sur o posterior, instala en su lugar el perfil de Quad9: descárgalo en Safari y apruébalo en Ajustes del Sistema.

# Terminal alternative (use "Ethernet" if wired)
networksetup -setdnsservers Wi-Fi 9.9.9.9 149.112.112.112 2620:fe::fe 2620:fe::9

# Flush the macOS DNS cache
sudo dscacheutil -flushcache; sudo killall -HUP mDNSResponder

En tu router

• Abre la página de administración del router (a menudo 192.168.0.1 o 192.168.1.1) e inicia sesión.
• Busca los ajustes DNS, normalmente en Internet, WAN o DHCP, y cambia de automático a manual.
• Introduce 9.9.9.9 y 149.112.112.112, además de 2620:fe::fe y 2620:fe::9 en la sección IPv6 si la hay. Guarda y vuelve a conectar tus dispositivos.
• Si tu router admite DNS ascendente cifrado (pfSense y OPNsense, por ejemplo), apúntalo a dns.quad9.net; la documentación de Quad9 tiene guías para ellos.

Cómo comprobar que usas Quad9

Abre on.quad9.net en un navegador: responde con un simple Sí o No. Dos comprobaciones en el terminal van más allá:

# 1. Did Quad9 get the query, and over which protocol?
dig +short txt proto.on.quad9.net
# "do53-udp" (plain DNS), "dot" or "doh"; no answer = not Quad9

# 2. Is your ISP intercepting queries to 9.9.9.9?
dig +short ch txt id.server @9.9.9.9
# "res700.bom2": a Quad9 resolver name. Nothing, or something else = redirected

Quad9 dice que algunos ISP, sobre todo en Asia, África y Oriente Medio, redirigen en silencio las consultas a 9.9.9.9 hacia sus propios servidores. La documentación de Quad9 muestra nombres que terminan en .rrdns.pch.net; el nuestro fue el más corto res700.bom2, y proto.on.quad9.net confirmó que respondió Quad9. Si la comprobación 2 no devuelve nada o un nombre sin relación, cambia a DoT o DoH, que no se pueden redirigir así. Después ejecuta nuestro DNS Leak Test: todos los resolvedores que encuentre deberían pertenecer a una red que usa Quad9, como PCH (WoodyNet), Equinix o i3D, y ninguno a tu ISP.

¿Quad9 no funciona? Causas habituales

• Un sitio que necesitas está bloqueado. Busca el dominio en la página de dominios bloqueados de Quad9 y notifica el falso positivo al soporte de Quad9. Mientras tanto, DNS Lookup muestra los registros reales del dominio.
• Una VPN o el navegador lo sobrescribe. Las apps de VPN usan su propio DNS, y Quad9 advierte de que Firefox usa por defecto el DoH de Cloudflare en algunas regiones. Configura Quad9 en el ajuste DNS de la propia VPN o del navegador.
• Tu cliente DoH es demasiado antiguo. El DoH de Quad9 ahora necesita HTTP/2. Usa DoT, o un reenviador como dnscrypt-proxy, AdGuard Home o Unbound.
• Tu ISP bloquea un puerto. Quad9 también responde DNS sin cifrar en el puerto 9953, que funcionó desde nuestra línea. Si el puerto 853 de DoT también está bloqueado, usa DoH, que va por el puerto 443.
• Los vídeos o descargas llegan desde un servidor lejano. Puede ser la falta de ECS: prueba 9.9.9.11, o 9.9.9.12 sin bloqueo.
• Respuestas antiguas tras un cambio. Quad9 no tiene una herramienta pública para vaciar su propia caché, pero puedes vaciar la de tu dispositivo: mira cómo vaciar la caché DNS.