DNS sobre HTTPS (DoH): qué es y cómo probarlo

Qué hace realmente DoH

DoH envía las consultas y respuestas DNS dentro de HTTPS, el mismo protocolo usado para la navegación web normal, en lugar del tradicional UDP o TCP en texto plano por el puerto 53. Para un observador en la red, una consulta DoH es indistinguible de cualquier otra solicitud HTTPS a ese servidor.

Por qué importa

Una consulta DNS en texto plano revela cada dominio que consultas a cualquiera en la ruta —tu proveedor de internet, el operador de un Wi-Fi público o un atacante en la ruta— incluso si el sitio en sí se carga después por HTTPS. DoH cifra la propia consulta, cerrando esa brecha específica.

DoH frente a DNS sobre TLS (DoT)

DoT cifra el DNS de la misma manera, pero por su propio puerto dedicado, el 853. Eso lo hace igual de fácil de bloquear que el DNS normal: un operador de red solo tiene que bloquear un puerto. DoH comparte deliberadamente el puerto 443 con el tráfico HTTPS normal, por lo que bloquearlo sin bloquear también gran parte de la web es mucho más difícil.

La contrapartida

Esa misma propiedad es lo que hace a DoH genuinamente controvertido: puede eludir el filtrado basado en DNS establecido a nivel de red —por un empleador, un colegio o software de control parental—, ya que el tráfico ya no parece DNS para nada que monitorice el puerto 53. Es una contrapartida real, activamente debatida, entre la privacidad individual y la aplicación de políticas de red, no una nota técnica zanjada.

Comprobar si DoH está activo

Probar directamente el endpoint DoH de un resolutor confirma si responde correctamente por HTTPS, con independencia de si tu navegador o sistema operativo están realmente configurados para usarlo en el día a día.