Qué revela el DNS de ti, explicado sin tecnicismos

El DNS es el directorio telefónico de internet. Tu celular conoce nombres como banco.example, pero la red mueve datos entre direcciones numéricas. Por eso, antes de que cargue un sitio, una app o una notificación, el celular le pregunta a un resolutor: «¿dónde está este nombre?». Pasa cientos de veces al día sin que te des cuenta.

Cada pregunta es diminuta. Juntas forman un diario sorprendentemente detallado. Aquí explicamos qué contiene ese diario, quién puede leerlo y qué cambia de verdad cuando activas el DNS cifrado o una VPN.

Qué revelan tus consultas DNS

Una consulta lleva un nombre, no una página. Dice «salud.example», no qué artículo leíste en ese sitio. Ese límite importa, y aun así es mucho:

El IETF, el organismo que escribe los estándares de internet, lo dice sin rodeos en el RFC 9076: tu resolutor «sabe mucho de ti».

Quién puede ver una consulta

Una consulta da varios saltos y en cada uno se ve algo distinto.

1. La red en la que estás. El DNS clásico viaja sin cifrar por el puerto 53. Quien administra la Wi-Fi (una cafetería, un hotel, tu empresa, quien tenga el router en casa) y tu compañía de internet pueden leer cada nombre. Quien controla un punto de acceso también puede cambiar las respuestas y mandarte a otro sitio; nuestra guía sobre las Wi-Fi falsas cuenta cómo lo aprovechan las redes trampa. Para verlo en tu propia conexión, prueba nuestra herramienta Qué ve tu red Wi-Fi.
2. El resolutor. Por defecto es el de tu compañía de internet o el que reparte la Wi-Fi. Ve cada nombre que consultas y la dirección desde la que preguntas. Qué guarda, y durante cuánto tiempo, lo decide quien lo administra.
3. Los servidores DNS. El resolutor les pregunta a los servidores responsables de la raíz, de .example y de banco.example. Ellos ven la dirección del resolutor, no la tuya. Dos estándares deciden cuánto aprenden: la minimización del nombre consultado (RFC 9156) manda a cada servidor solo la parte del nombre que necesita, y la opción de subred del cliente (RFC 7871) permite a algunos resolutores pasar parte de tu IP para que el sitio elija un servidor cercano.

Qué cambia el DNS cifrado

Tres estándares cifran el trayecto entre tu celular y el resolutor:

Con cualquiera de ellos, la Wi-Fi y tu compañía de internet ya no pueden leer ni reescribir los nombres. Hay dos cosas que no cambian:

• El resolutor lo sigue viendo todo. El cifrado protege el trayecto, no el destino. Pasaste tu confianza de la red a quien administra el resolutor.
• La red sigue viendo adónde te conectas. Después de la consulta, tu celular se conecta a la dirección IP del sitio, y la mayoría de las conexiones HTTPS todavía anuncian el nombre del sitio en el primer mensaje de TLS (la indicación del nombre del servidor, SNI). Encrypted Client Hello (RFC 9849) oculta ese nombre, pero solo cuando el navegador y el sitio lo admiten.

Así que el DNS cifrado es una mejora real y, por sí solo, no te da privacidad frente a la red. El DNS privado de Android tiene tres modos (desactivado, automático y un nombre de proveedor que eliges), como explicó Google al presentar la función; nuestra guía sobre DNS privado vs. VPN explica cuál elegir.

Qué cambia una VPN

Una VPN cifra todo, no solo el DNS. La red ve una sola conexión cifrada hacia el servidor VPN; las consultas, las direcciones IP a las que te conectas y los nombres de los sitios en TLS viajan dentro. Una VPN bien hecha además responde ella misma a tus consultas, dentro del túnel, para que nunca pasen por el resolutor de la Wi-Fi ni de la compañía de internet.

Eso concentra todo en un solo lugar: el resolutor de la VPN ve ahora cada nombre. Que sea una mejora depende por completo de lo que guarde el proveedor, y por eso su política de registros no es un detalle. La nuestra está escrita línea por línea en lo que guardamos y quién paga.

Lo que el DNS no revela

Para no exagerar:

• Ni la página ni el contenido. Con HTTPS, una consulta a noticias.example no dice qué artículo leíste, qué escribiste ni qué compraste.
• Ni tus mensajes. Las apps con cifrado de extremo a extremo dejan ver el nombre de sus servidores, no lo que dices.
• No siempre tu identidad. El resolutor ve una dirección IP, no un nombre. Pero una dirección más un patrón de consultas puede alcanzar para reconocer un hogar.

El modo incógnito no cambia nada de esto: solo evita que el navegador guarde el historial en tu propio celular.

Cómo maneja PryVPN el DNS

El DNS de PryVPN está construido en torno a ese último punto:

• Cada servidor de PryVPN tiene su propio resolutor, accesible solo dentro del túnel, así que tus consultas nunca cruzan la Wi-Fi sin cifrar.
• El resolutor comprueba las firmas DNSSEC, de modo que rechaza respuestas falsificadas.
• Responde en memoria y no registra tus consultas; solo se guardan totales sin identificadores.
• Los filtros son opcionales y por categorías (rastreadores y malware activados de fábrica, anuncios solo si los activas). Funcionan porque el resolutor comprueba nombres, nunca porque anote quién preguntó. El artículo sobre filtros DNS da los detalles.
• El test de fugas de la app muestra qué servidor DNS usa de verdad tu celular y avisa si el DNS privado de Android manda las consultas a otro lado.

Lista rápida de cinco minutos

1. En una Wi-Fi pública o compartida, no uses el DNS normal. Activa el DNS privado (Configuración › Redes e Internet › DNS privado) o usa una VPN.
2. Elige tu resolutor a propósito. Busca una lista publicada de lo que guarda y durante cuánto tiempo.
3. No sumes opciones a ciegas. Si una VPN maneja tu DNS, un nombre fijo en el DNS privado puede sacar las consultas del túnel y apagar sus filtros. Con una VPN activa, lo normal es dejarlo en «Automático».
4. Compruébalo, no lo supongas. Un test de fugas de DNS muestra qué resolutor usas de verdad.
5. Recuerda HTTPS. Protege el contenido; la privacidad del DNS protege la lista de sitios.

Preguntas frecuentes

¿El dueño de la Wi-Fi ve mis consultas DNS en modo incógnito?

Sí. El modo incógnito solo afecta a lo que tu navegador guarda en el celular. Las consultas cruzan la red igual.

¿El DNS muestra las páginas exactas que visito?

No. Muestra nombres como foro.example, no la dirección de la página ni su contenido. Con HTTP sin cifrar (raro hoy), la red vería más, pero eso ya no es el DNS.

¿Alcanza con el DNS sobre HTTPS?

Impide que la red lea y cambie tus consultas. No oculta a qué direcciones IP te conectas, y la mayoría de los sitios siguen revelando su nombre al iniciar TLS. Es un buen paso, no una solución completa.

¿Una VPN ve mi DNS?

Su resolutor sí, si la VPN maneja el DNS, que es lo que debe hacer. Por eso la política de registros del proveedor importa tanto como el cifrado.

El resolutor de PryVPN está hecho para que la respuesta a «¿qué guardaron?» sea corta. Si quieres probarlo, puedes unirte a la beta.

¿Viste un error? Escríbenos a support@pryvpn.com; lo corregimos y actualizamos la fecha.