DNS over HTTPS (DoH) - Cifrado de consultas DNS

Lectura de 2 min aprox.

DNS over HTTPS (DoH) es una tecnología que cifra las consultas DNS, que tradicionalmente se enviaban y recibían en texto plano, mediante el protocolo HTTPS. Protege la privacidad al impedir que los ISP y los administradores de red intercepten o manipulen los sitios que visita el usuario. Estandarizado como RFC 8484 en 2018, su adopción se aceleró cuando Firefox comenzó a admitirlo ese mismo año. A fecha de 2025, casi todos los navegadores principales admiten DoH, y el soporte de DoH a nivel del sistema operativo también avanza en Windows 11 y macOS.

Cómo DoH elude el filtrado DNS interno

En las redes de las organizaciones, es una práctica habitual consolidar la resolución de nombres a través de los servidores DNS internos y aplicar allí el filtrado de los destinos de navegación. Sin embargo, un navegador con DoH habilitado cifra las consultas DNS con HTTPS y las envía directamente a un resolvedor DoH externo, por lo que la resolución de nombres deja de pasar por los servidores DNS internos y el filtrado nunca llega a aplicarse. La propiedad de DoH de que el contenido de las consultas no puede interceptarse funciona como protección cuando resguarda a los usuarios frente a los ISP, pero, desde la perspectiva de los administradores que gobiernan su propia red, esa misma propiedad se convierte en un punto ciego de sus controles. Dado que un solo ajuste del navegador puede cambiar la ruta que sigue la resolución de nombres, en las redes gestionadas el punto de partida de las contramedidas es saber qué ruta sigue realmente la resolución de nombres.

Flujo de DoH

Antecedentes históricos

El DNS tradicional no se diseñó pensando en el cifrado desde su origen en 1983, y el contenido de las consultas circulaba por las redes en texto plano. Esto hacía que el DNS spoofing y la recopilación del historial de navegación por parte de los ISP fueran técnicamente sencillos. En 2018, Mozilla implementó DoH en Firefox, y en 2020 Google Chrome y Microsoft Edge también añadieron soporte. Hoy en día, Cloudflare (1.1.1.1), Google (8.8.8.8) y Quad9 (9.9.9.9) proporcionan los principales resolvedores DoH.

Ventajas y desafíos

La mayor ventaja de DoH es evitar la interceptación y manipulación de las consultas DNS y mejorar la privacidad. Por otro lado, para los administradores de seguridad de las empresas existe el riesgo de que se eluda el filtrado DNS de la red interna. También se han reportado casos en los que el malware usa DoH para ocultar la comunicación C2. En entornos corporativos, se recomienda proporcionar DoH a través de servidores DNS internos mientras se bloquea el acceso a los resolvedores DoH externos. Protege el panel de administración de la configuración DNS con una contraseña aleatoria fuerte y refuerza de forma integral tu seguridad DNS.