DNS privado: qué es, automático o desactivado y cómo activarlo

¿Qué es el DNS privado?

El DNS privado es el ajuste de Android para el DNS cifrado: envía los nombres de sitios web que consulta tu dispositivo por una conexión cifrada, de modo que tu red Wi-Fi y tu proveedor de internet no puedan leerlos ni modificarlos. Para activarlo, ve a Ajustes → Redes e Internet → DNS privado, elige Nombre de host del proveedor de DNS privado y escribe un hostname como dns.google o one.one.one.one.

Android lo incluye desde Android 9 (2018) y usa DNS over TLS. Desde una actualización del sistema de Google Play de 2022, Android 11 y posteriores cambian a DNS over HTTP/3 con los proveedores que Android reconoce: dns.google de Google y Cloudflare con el nombre cloudflare-dns.com (con one.one.one.one sigue en DNS over TLS). iPhone, Windows, Mac y los navegadores web ofrecen la misma protección con el nombre de DNS cifrado.

En redes de empresa y de la nube, «DNS privado» significa otra cosa: zonas DNS internas que solo existen dentro de esa red. Ese significado se explica más abajo.

Cómo funciona el DNS normal (y por qué es un problema)

El DNS tradicional envía las consultas en texto plano desde sus primeros estándares de 1983. Cuando escribes un nombre de dominio en el navegador, tu dispositivo envía una consulta DNS por el puerto UDP 53 a un resolutor DNS (normalmente el servidor de tu proveedor de internet). El resolutor responde con la dirección IP, todo sin cifrar.

Esto significa que cualquiera en la ruta de tu red puede ver cada dominio que visitas. Tu proveedor de internet puede construir un perfil completo de navegación. Los atacantes en un Wi-Fi público pueden interceptar tus consultas. Algunos proveedores incluso han reescrito las respuestas DNS para enviar las direcciones mal escritas a sus propias páginas de búsqueda y publicidad.

El DNS también es vulnerable al envenenamiento de caché y a los ataques de suplantación, en los que un atacante envía respuestas falsificadas y te redirige a sitios maliciosos sin que lo sepas. El DNS tradicional no tiene ninguna forma integrada de comprobar que la respuesta venga realmente del servidor DNS auténtico.

Cómo funciona el DNS privado

El DNS privado envuelve tus consultas DNS dentro de una conexión cifrada. En lugar de enviar una consulta en texto plano por el puerto UDP 53, tu dispositivo establece primero una sesión cifrada con el resolutor DNS y luego envía la consulta por ese túnel seguro.

El resolutor DNS descifra tu consulta, resuelve el nombre de dominio a una dirección IP, cifra la respuesta y la devuelve. Todo el intercambio es invisible para quien vigile la red: pueden ver que te comunicas con un servidor DNS, pero no qué dominios consultas.

Hoy se usan tres protocolos de DNS cifrado estandarizados por el IETF: DNS over TLS (DoT), DNS over HTTPS (DoH) y DNS over QUIC (DoQ). Cada uno cifra la misma consulta DNS de una forma distinta (también existen Oblivious DoH y DNSCrypt, pero son menos comunes).

DNS over TLS vs DNS over HTTPS vs DNS over QUIC

DoT (RFC 7858) ejecuta DNS dentro de TLS en un puerto propio, el 853. El DNS privado de Android lo usa desde Android 9 y, como el puerto es exclusivo, una red puede bloquearlo con facilidad.

DoH (RFC 8484) envía las consultas DNS como solicitudes HTTPS por el puerto 443, así que se parece al resto del tráfico web y solo se puede bloquear bloqueando servidores DoH conocidos. Chrome, Firefox y Edge lo traen integrado, y Windows 11 puede usarlo en todo el sistema. En Android, desde Android 11 se cambia a DNS over HTTP/3 con los proveedores que Android reconoce: dns.google de Google y Cloudflare con el nombre cloudflare-dns.com (con one.one.one.one sigue en DNS over TLS).

DoQ (RFC 9250, 2022) ejecuta DNS directamente sobre QUIC en el puerto UDP 853, lo que evita el bloqueo de cabecera de línea y reanuda las conexiones enseguida. Pocos resolutores lo ofrecen: AdGuard DNS y Quad9 sí (Quad9 lo indica en su respuesta DDR, lo comprobamos el 26 de octubre de 2026), mientras que 1.1.1.1 de Cloudflare admite DoT, DoH y Oblivious DoH, pero no DoQ, y Android no lo usa.

Cómo activar DNS privado en Android

Android incluye el DNS privado desde Android 9 (2018). Se aplica a todas las aplicaciones, en Wi-Fi y con datos móviles, y tiene tres modos: Desactivado; Automático, el predeterminado, que cifra el DNS siempre que el servidor DNS de tu red lo admita y, si no, usa DNS normal; y Nombre de host del proveedor de DNS privado, que usa siempre el proveedor que escribas.

• Paso 1: Abre Ajustes > Redes e Internet (o «Conexiones» en Samsung)
• Paso 2: Toca DNS privado (en algunos móviles tendrás que abrir antes «Avanzado» o «Más ajustes de conexión»)
• Paso 3: Selecciona Nombre de host del proveedor de DNS privado
• Paso 4: Escribe el hostname de tu proveedor. Ejemplos: 1dot1dot1dot1.cloudflare-dns.com (Cloudflare), dns.google (Google), dns.quad9.net (Quad9), dns.adguard-dns.com (AdGuard)
• Paso 5: Toca Guardar. Si Android no logra conectar con el proveedor, avisa con «No se ha podido acceder al servidor DNS privado»

Cómo activar DNS privado en iPhone y iPad

iPhone y iPad (iOS 14 y posteriores) admiten DNS over HTTPS y DNS over TLS, pero no hay un único interruptor como el de Android: se añade una app de DNS cifrado o un perfil de configuración.

• Método 1: app de DNS — Instala desde la App Store la app de tu proveedor (por ejemplo 1.1.1.1 de Cloudflare, NextDNS o AdGuard) y actívala. Su ajuste de DNS aparece en Ajustes > General > VPN y gestión de dispositivos.
• Método 2: perfil de configuración — Descarga en Safari un archivo .mobileconfig de tu proveedor de DNS (o de una colección fiable como el repositorio de GitHub paulmillr/encrypted-dns), abre Ajustes > General > VPN y gestión de dispositivos, selecciona el perfil descargado y toca Instalar.
• Método 3: DNS por red — Ve a Ajustes > Wi-Fi, toca la (i) junto a tu red, toca Configurar DNS, selecciona Manual y añade las IP de los servidores DNS (por ejemplo, 1.1.1.1, 1.0.0.1). En iOS 16 y posteriores, un servidor que admita Discovery of Designated Resolvers (1.1.1.1, 8.8.8.8 y 9.9.9.9 lo hacen) hace que el iPhone cambie solo a DNS cifrado; los demás servidores siguen sin cifrar.

Cómo activar DNS over HTTPS en Windows 11

Windows 11 admite DNS over HTTPS de forma nativa. Incluye una lista de proveedores DoH reconocidos, entre ellos Cloudflare, Google y Quad9.

• Paso 1: Abre «Configuración > Red e Internet > Wi-Fi > Administrar redes conocidas» y elige tu red (con cable: «Ethernet» → tu red)
• Paso 2: Busca «Asignación de servidor DNS» en esa página
• Paso 3: Haz clic en «Editar» junto a «Asignación de servidor DNS»
• Paso 4: Selecciona «Manual» y activa «IPv4»
• Paso 5: Escribe un servidor DNS principal (por ejemplo, 1.1.1.1) y configura «DNS sobre HTTPS» en «Activado (plantilla automática)»
• Paso 6: Escribe un servidor DNS secundario (por ejemplo, 1.0.0.1) y configura también DoH en «Activado»
• Paso 7: Haz clic en «Guardar». La entrada DNS debería mostrar ahora la etiqueta «Encrypted»

# View the DoH providers Windows 11 already knows (Cloudflare, Google, Quad9…)
netsh dns show encryption

# Add a provider that isn't on that list, via PowerShell (AdGuard shown)
Add-DnsClientDohServerAddress -ServerAddress '94.140.14.14' -DohTemplate 'https://dns.adguard-dns.com/dns-query' -AllowFallbackToUdp $False -AutoUpgrade $True

Cómo activar DNS privado en macOS

macOS (Big Sur 11 y posteriores) admite DNS cifrado mediante perfiles de configuración, igual que iOS, o mediante apps de DNS.

• Método 1: app de DNS — Instala la app Cloudflare 1.1.1.1 (o una similar) y actívala. La app configura DoH o DoT a nivel de sistema.
• Método 2: perfil de configuración — Descarga un archivo .mobileconfig, haz doble clic y apruébalo en Ajustes del Sistema → General → Gestión de dispositivos (en versiones antiguas de macOS: busca «Perfiles» en Ajustes del Sistema).
• Método 3: Terminal (avanzado) — networksetup -setdnsservers Wi-Fi 1.1.1.1 1.0.0.1 cambia los servidores DNS. En macOS Ventura y posteriores, un servidor que admita DDR (1.1.1.1, 8.8.8.8, 9.9.9.9) se actualiza automáticamente a DNS cifrado; los demás siguen sin cifrar.

Mejores proveedores de DNS privado (2026)

Cloudflare 1.1.1.1 admite DoT y DoH (además de Oblivious DoH) y ofrece variantes con filtrado: security.cloudflare-dns.com (malware) y family.cloudflare-dns.com (malware y contenido para adultos). No guarda ninguna dirección IP de origen en disco, borra sus registros en 25 horas y un auditor externo comprueba esos compromisos.

Google Public DNS admite DoT y DoH. Sus registros temporales contienen tu dirección IP completa y se borran en 24 a 48 horas; la muestra permanente solo conserva una ubicación a nivel de ciudad. Si lo que más te importa es registrar lo mínimo, Cloudflare o Quad9 encajan mejor.

Quad9 lo gestiona una fundación suiza sin ánimo de lucro, no guarda direcciones IP y bloquea dominios maliciosos conocidos con inteligencia de amenazas de socios de seguridad: una buena opción para quien prioriza la seguridad.

AdGuard DNS bloquea anuncios y rastreadores a nivel DNS, de modo que la publicidad desaparece en todo tu dispositivo sin un bloqueador de anuncios aparte. También ofrece DNS over QUIC.

NextDNS es el que más control te da. Tienes un hostname personalizado, listas de bloqueo configurables, analíticas por dispositivo, controles parentales y un panel para ver exactamente qué se bloquea. El plan gratuito incluye 300 000 consultas al mes.

La velocidad varía según el lugar, así que no elijas a ciegas: haz una prueba de velocidad de DNS gratuita para comparar Cloudflare, Google y Quad9 con DNS over HTTPS desde tu propia red y activa después el DNS privado con el proveedor que de verdad gane en tu caso.

Todas las direcciones y los pasos de configuración de los dos más grandes están en nuestras guías de servidores DNS de Cloudflare y de servidores DNS de Google.

Hostname de DNS privado (código): qué escribir en el cuadro de Android

El hostname de DNS privado, a veces llamado código de DNS privado, es la dirección que escribes en Ajustes → Redes e Internet → DNS privado → «Nombre de host del proveedor de DNS privado» en Android.

Copia cualquiera de estos en el cuadro. Son los hostnames oficiales de los principales proveedores:

Tras guardar, comprueba que ha surtido efecto: la prueba de fugas DNS de DNS Robot debería mostrar los servidores de tu proveedor, no los de tu operador. Si el ajuste falla en una red concreta, la sección sobre el DNS cifrado bloqueado más abajo explica por qué.

DNS público vs DNS privado: el significado en empresas

Aunque confunda, «DNS privado» tiene un segundo significado en entornos corporativos y de nube, y no tiene nada que ver con el ajuste de DNS cifrado de tu móvil.

En ese mundo, DNS privado significa zonas DNS privadas: registros de nombres internos como intranet.corp.local o db1.internal, alojados en servidores a los que solo se llega desde dentro de la red de una empresa o de una VPC en la nube. AWS las llama zonas alojadas privadas de Route 53, Azure tiene Azure Private DNS y Oracle y Google Cloud ofrecen equivalentes. Los registros nunca se publican en internet: los resolutores públicos simplemente no pueden verlos.

La prueba rápida: si escribes un hostname en un ajuste del móvil o del portátil, se trata de DNS cifrado (este artículo). Si tu equipo de TI o una consola de la nube habla de DNS privado, se refiere a zonas internas. Puedes ver qué ve internet público para cualquier nombre con una consulta DNS: los registros de una zona privada no aparecerán.

Beneficios de usar DNS privado

Activar el DNS privado en tus dispositivos mejora de inmediato la seguridad y la privacidad.

• Frena el espionaje del proveedor de internet — Tu proveedor ya no puede ver qué dominios consultas ni construir un perfil de navegación con tu tráfico DNS
• Evita la suplantación de DNS por el camino — el certificado TLS demuestra que hablas con tu proveedor de DNS real, así que nadie entre tú y él puede falsificar las respuestas
• Protege en Wi-Fi público — Otros usuarios de la misma red no pueden interceptar tus consultas DNS
• Bloquea el secuestro de DNS — Tus consultas no pueden redirigirse en silencio por un router comprometido ni por una red maliciosa
• Evita los proxies DNS transparentes — Algunos proveedores interceptan el DNS del puerto 53 incluso si usas servidores de terceros. El DNS cifrado usa otros puertos y esquiva esos proxies
• Bloqueo opcional de anuncios y malware — Proveedores como AdGuard, NextDNS y Quad9 pueden bloquear anuncios, rastreadores y dominios maliciosos a nivel DNS
• Funciona en todo el sistema — Una vez activado, el DNS privado protege todas las apps de tu dispositivo, no solo el navegador

Posibles desventajas del DNS privado

El DNS privado no es perfecto. Estas son las desventajas que conviene conocer.

• Una primera consulta más lenta — establecer la conexión cifrada añade uno o dos viajes de ida y vuelta antes de la primera consulta. Después la conexión se reutiliza.
• Los portales cautivos pueden fallar — Las redes Wi-Fi de hoteles, aeropuertos y cafeterías que piden una página de inicio de sesión suelen necesitar DNS sin cifrar para redirigirte. El DNS privado puede impedir que esos portales carguen.
• Las redes corporativas pueden bloquearlo — Los departamentos de TI necesitan ver el DNS para vigilar la seguridad. Muchas redes de empresa bloquean a propósito el DNS cifrado hacia resolutores externos.
• Preocupación por la centralización — El DNS cifrado fomenta el uso de unos pocos resolutores grandes (Cloudflare, Google) y concentra el tráfico DNS en menos empresas.
• No cifra todo — El DNS privado cifra tus consultas, pero tu proveedor de internet sigue viendo las direcciones IP a las que te conectas y, normalmente, el nombre del sitio en el handshake TLS (SNI), salvo que el sitio use Encrypted Client Hello.
• Problemas con el DNS de horizonte dividido — Las organizaciones que usan un DNS interno distinto del externo pueden tener problemas cuando los dispositivos esquivan el resolutor interno.

«Esta red está bloqueando el tráfico DNS cifrado»: qué significa

En iPhone, iPad y Mac, los ajustes de Wi-Fi pueden mostrar «Esta red está bloqueando el tráfico DNS cifrado» bajo el nombre de la red. Significa que tu dispositivo intentó usar DNS cifrado y la red lo impidió, así que los nombres que consultas allí son visibles para la red.

Es habitual en redes Wi-Fi de empresas y escuelas, en redes de hoteles y aeropuertos con página de inicio de sesión y en algunos routers domésticos. Nuestra guía completa, Esta red está bloqueando el tráfico DNS cifrado, explica cada causa; estas son las soluciones rápidas:

• Desactiva lo que activa el DNS cifrado en esta red — Limitar rastreo de dirección IP (relay privado de iCloud) para esta red Wi-Fi, una app o un perfil de DNS, o un servidor DNS manual (vuelve a poner Configurar DNS en Automático)
• Olvida la red Wi-Fi y vuelve a conectarte — Ve a los ajustes de Wi-Fi, olvida la red y únete de nuevo
• Usa una VPN — Una VPN cifra todo el tráfico, DNS incluido, y esquiva cualquier bloqueo de DNS a nivel de red
• Acéptalo en redes administradas — En redes de empresas o escuelas, el bloqueo del DNS cifrado suele ser intencionado para vigilar la seguridad. Puede que no puedas evitarlo

Cómo verificar que el DNS privado está funcionando

Después de activar el DNS privado, comprueba que tus consultas van de verdad al proveedor elegido. Prueba el propio dispositivo en un navegador; los comandos de terminal de abajo prueban el proveedor.

• DNS Leak Test de DNS Robot — ejecuta la prueba de fugas DNS en el dispositivo: muestra qué resolutores responden de verdad a tus consultas. Deberías ver el proveedor que elegiste, no tu operador
• Página de diagnóstico de Cloudflare — si usas Cloudflare, 1.1.1.1/help indica si tus consultas usan DoH, DoT o DNS normal
• Android — con un hostname configurado, Android avisa con «No se ha podido acceder al servidor DNS privado» cuando no logra conectar; si no hay aviso, funciona
• Windows 11 — en las propiedades de tu conexión, cada servidor DNS aparece con (Encrypted) cuando DoH está activado

# Test DNS over TLS with kdig
kdig -d @1.1.1.1 +tls-ca +tls-host=cloudflare-dns.com example.com

# Which resolver does dig use? (DNS Robot's test nameserver replies with its IP; a DoH profile may not apply to dig)
dig +short TXT whoami.leak.dnsrobot.net

# Test DNS over HTTPS with curl
curl -s -H 'accept: application/dns-json' \
  'https://cloudflare-dns.com/dns-query?name=example.com&type=A'