¿Qué es DNS over HTTPS? Qué oculta y qué no

DNS over HTTPS (DoH) cifra tus consultas DNS y las envía dentro de una conexión HTTPS en lugar de mandarlas como texto plano. Así nadie en tu red local puede leer qué sitios buscas. Tu proveedor de internet tampoco, salvo que él mismo maneje el servidor DNS que usas. Pero DoH no te vuelve anónimo. El servidor DNS que responde tus consultas, sea Cloudflare, Google, NextDNS o el de tu proveedor, sigue viéndolas. Y la dirección IP del sitio todavía puede delatar adónde entras.

Aquí vas a ver qué oculta DoH y qué no, en qué se diferencia de DNS over TLS, cuándo conviene activarlo y cómo hacerlo en tu navegador.

Qué hace DNS over HTTPS

Una consulta DNS normal es de las pocas partes de la navegación que todavía viajan sin cifrar. Tu navegador pregunta "¿cuál es la IP de ejemplo.com?" y tanto la pregunta como la respuesta salen en texto plano. Tu proveedor de internet las ve. También cualquiera que esté espiando la misma red Wi-Fi, una de las varias formas en que las redes y los sitios pueden seguir lo que haces en línea.

DNS over HTTPS mete esa misma pregunta dentro de HTTPS, el protocolo que ya cifra el resto de tu conexión con la mayoría de los sitios. En vez de preguntarle directo a un servidor DNS, el navegador manda la consulta a un servidor DoH por el mismo tipo de canal cifrado que usa para cargar una página. Quien mire el tráfico de tu red solo ve una conexión HTTPS más.

El nombre lo explica bien (en español a veces se le dice DNS sobre HTTPS). La consulta DNS es la misma de siempre. Lo único que cambia es que ahora viaja por HTTPS.

Qué oculta DNS over HTTPS y qué no

DoH oculta tus consultas DNS a tu red local y a cualquiera que esté entre tú y el servidor DNS. No las oculta al propio servidor. Y tampoco oculta del todo qué sitios visitas.

Conviene separar tres cosas que la gente suele mezclar.

El servidor DNS sigue viendo tus consultas. Activar DoH no elimina la consulta. Solo eliges quién la ve. Si usas un servidor público como el 1.1.1.1 de Cloudflare, el 8.8.8.8 de Google o NextDNS, esa empresa ve tus consultas en lugar de tu proveedor. Si el navegador simplemente pasa al servidor DoH de tu propio proveedor (lo que Chrome hace por defecto), tu proveedor las sigue viendo, solo que por una línea cifrada. Lee la política de privacidad de tu servidor DNS como leerías la de una VPN.

La IP del sitio puede delatar adónde entras. Una vez que el navegador tiene la dirección IP, tiene que conectarse a ella. Esa IP aparece en el tráfico normal de la red. Muchos sitios comparten IP detrás de una CDN y eso lo disimula un poco. Pero un sitio con IP propia se identifica fácil aunque tengas DoH activado.

El saludo TLS también puede revelar el dominio si ECH no está activo. Cuando el navegador se conecta a un sitio por HTTPS, normalmente anuncia el nombre del dominio en texto plano en un campo del saludo TLS llamado SNI. Una extensión más nueva, Encrypted Client Hello (ECH), cifra también ese campo. Chrome y Firefox empezaron a activar ECH por defecto en 2023. Cloudflare es uno de los grandes proveedores de hosting que lo admite del lado del servidor. Pero solo funciona si tanto tu navegador como el hosting del sitio lo admiten. ECH depende además de DoH. El navegador obtiene la clave de cifrado del sitio por DNS. Mozilla explica que en Firefox ECH se apoya en DoH. Por eso el uso real va por detrás del soporte. Un estudio presentado en IFIP Networking 2026 con datos de telemetría de Firefox encontró que solo alrededor de 1 de cada 5 usuarios de Firefox negoció ECH en un día cualquiera entre abril y septiembre de 2025.

DoH es una capa más de la privacidad. Por sí solo frena el espionaje casual de tus consultas DNS. No reemplaza revisar quién maneja tu servidor DNS. Y no es lo mismo que ocultar qué sitios visitas.

DNS over HTTPS vs DNS over TLS vs DNS normal

DoH y DNS over TLS (DoT) cifran las consultas DNS. La diferencia está en cómo se ve ese tráfico cifrado para quien observa la red. Eso cambia dónde conviene cada uno.

DoT usa su propio puerto (853), lo que facilita que un firewall lo detecte y lo bloquee. DoH viaja por el puerto 443, el mismo del tráfico web normal. Una red no puede bloquearlo por puerto sin romper la web. Las redes que quieren frenarlo bloquean las direcciones de servidores DoH conocidos. En buena parte por eso los navegadores eligieron DoH. DoT aparece más en sistemas operativos y routers. El ajuste "DNS privado" de Android, por ejemplo, usa DoT.

Ninguno de los dos es más privado frente al servidor DNS. El servidor que elijas ve tus consultas en ambos casos.

¿Conviene activar DNS over HTTPS o desactivarlo?

Actívalo cuando estés en una red de la que no te fías (un Wi-Fi público, por ejemplo) o cuando no quieras que tu proveedor de internet vea qué sitios buscas. Déjalo apagado en una red donde el filtrado por DNS hace un trabajo que sí quieres.

Buenas razones para activarlo:

• Te conectas seguido a redes Wi-Fi públicas en cafés, aeropuertos u hoteles.
• No quieres que tu proveedor registre tus consultas (para eso elige un servidor DNS que no sea el suyo).
• El DNS de tu proveedor es lento o falla y un servidor público te funciona mejor.

Razones para dejarlo apagado o desactivarlo:

• Tu red usa control parental o filtros de contenido por DNS que te sirven. DoH puede saltárselos.
• Tu trabajo usa filtrado de seguridad por DNS o nombres DNS internos para sus herramientas. DoH se salta ambos.
• Estás resolviendo un problema de conexión y quieres descartar el DNS.
• Notas que las páginas cargan más lento desde que lo activaste. Un servidor más lejano o más saturado que el tuyo puede sumar una demora a cada sitio nuevo que abres.

La mayoría puede dejar DoH activado siempre y apagarlo solo en las redes donde quiera recuperar el control del DNS local.

DNS over HTTPS vs VPN

DoH cifra solo tus consultas DNS. Una VPN cifra todo lo que sale de tu dispositivo y lo pasa por un servidor que además oculta tu IP. Si no quieres que tu proveedor vea qué sitios visitas ni a qué direcciones IP te conectas, DoH no alcanza. Eso es trabajo de una VPN. Con una VPN tu proveedor solo ve que estás conectado al servidor VPN. Así que piensa en las dos como complementarias. Atomic VPN es una opción que cifra la conexión completa y no se limita al DNS.

Cómo activar DNS over HTTPS en tu navegador

Los navegadores principales tienen DoH desde hace años. Activarlo suele tomar menos de un minuto.

Chrome. Ve a Configuración > Privacidad y seguridad > Seguridad y busca "Usar DNS seguro" en la parte avanzada. Por defecto Chrome usa el servidor DoH de tu proveedor actual si tiene uno. Para mandar tus consultas a otro lado elige un proveedor de la lista o escribe uno personalizado.

Firefox. Ve a Ajustes > Privacidad y seguridad y baja hasta la sección DNS sobre HTTPS. Elige "Protección aumentada". Si prefieres que Firefox te avise en vez de volver al DNS sin cifrar sin decirte nada, elige "Protección máxima". Después elige un proveedor o escribe el tuyo.

Edge. Abre Configuración, entra en la página de privacidad y servicios, busca la sección Seguridad y activa "Usar DNS seguro". Funciona igual que en Chrome porque Edge también está hecho sobre Chromium.

Safari. Safari no tiene un interruptor propio para DoH. En macOS 11 o posterior (e iOS 14 o posterior en iPhone) el DNS cifrado se activa para todo el dispositivo. Descarga un perfil de configuración DNS de tu servidor preferido. Después apruébalo e instálalo en Ajustes del Sistema (Ajustes en iPhone). A partir de ahí Safari y casi todas las apps lo usan solas.

Cómo comprobar que funciona

Después de activarlo comprueba que el navegador de verdad lo usa y no vuelve en silencio al DNS sin cifrar. Firefox muestra un estado junto al ajuste: Activo, No activo o Desactivado. Chrome y Edge no muestran estado, así que necesitas una prueba externa. Si usas Cloudflare, abre 1.1.1.1/help y mira la línea "Using DNS over HTTPS (DoH)". Con cualquier servidor una prueba de fugas de DNS (DNS leak test) muestra qué servidores responden de verdad tus consultas.

Si la prueba muestra los servidores de tu proveedor aunque elegiste otro, el ajuste no se aplicó. Muchas veces la red bloquea DoH o una política del trabajo o la escuela lo desactiva. Si dejaste Chrome con la opción por defecto, es normal ver ahí a tu proveedor. Chrome pasa al servidor DoH de tu propio proveedor.

El DNS cifrado suele ser una pieza de una lista de privacidad más amplia. Mira cómo se comparan las opciones principales en los navegadores más privados de 2026 si vas a elegir navegador pensando en la privacidad.

DNS cifrado en Sigma

Sigma es un navegador privado y gratuito hecho sobre Chromium. DNS over HTTPS es parte de cómo se conecta, junto con TLS 1.3 y HTTPS.

El DNS cifrado solo cubre la consulta. Por eso Sigma suma protección para el resto de la visita: bloqueador de anuncios integrado, avisos en tiempo real sobre sitios de phishing y Private Profiles (perfiles privados) que separan el trabajo, lo personal y otras cuentas. Los datos de cada perfil están cifrados y protegidos con una frase de recuperación de 12 palabras.

Descarga Sigma gratis para Mac, Windows o iPhone.