Qué revela el DNS de ti, explicado sin tecnicismos

El DNS es la guía telefónica de internet. Tu móvil conoce nombres como banco.example, pero la red mueve datos entre direcciones numéricas. Por eso, antes de que cargue una web, una app o una notificación, el móvil pregunta a un resolutor: «¿dónde está este nombre?». Pasa cientos de veces al día sin que te des cuenta.

Cada pregunta es diminuta. Juntas forman un diario sorprendentemente detallado. Aquí explicamos qué contiene ese diario, quién puede leerlo y qué cambia de verdad cuando activas el DNS cifrado o una VPN.

Qué revelan tus consultas DNS

Una consulta lleva un nombre, no una página. Dice «salud.example», no qué artículo leíste en esa web. Ese límite importa, y aun así es mucho:

El IETF, el organismo que escribe los estándares de internet, lo dice sin rodeos en el RFC 9076: tu resolutor «sabe mucho de ti».

Quién puede ver una consulta

Una consulta da varios saltos y en cada uno se ve algo distinto.

1. La red en la que estás. El DNS clásico viaja sin cifrar por el puerto 53. Quien gestiona la Wi-Fi (una cafetería, un hotel, tu empresa, quien tenga el router en casa) y tu operador pueden leer cada nombre. Quien controla un punto de acceso también puede cambiar las respuestas y mandarte a otro sitio; nuestra guía sobre las Wi-Fi falsas cuenta cómo lo aprovechan las redes trampa. Para verlo en tu propia conexión, prueba nuestra herramienta Qué ve tu red Wi-Fi.
2. El resolutor. Por defecto es el de tu operador o el que reparte la Wi-Fi. Ve cada nombre que consultas y la dirección desde la que preguntas. Qué guarda, y durante cuánto tiempo, lo decide quien lo gestiona.
3. Los servidores DNS. El resolutor pregunta a los servidores responsables de la raíz, de .example y de banco.example. Ellos ven la dirección del resolutor, no la tuya. Dos estándares deciden cuánto aprenden: la minimización del nombre consultado (RFC 9156) manda a cada servidor solo la parte del nombre que necesita, y la opción de subred del cliente (RFC 7871) permite a algunos resolutores pasar parte de tu IP para que la web elija un servidor cercano.

Qué cambia el DNS cifrado

Tres estándares cifran el trayecto entre tu móvil y el resolutor:

Con cualquiera de ellos, la Wi-Fi y tu operador ya no pueden leer ni reescribir los nombres. Hay dos cosas que no cambian:

• El resolutor lo sigue viendo todo. El cifrado protege el trayecto, no el destino. Has pasado tu confianza de la red a quien gestiona el resolutor.
• La red sigue viendo adónde te conectas. Tras la consulta, tu móvil se conecta a la dirección IP de la web, y la mayoría de las conexiones HTTPS todavía anuncian el nombre del sitio en el primer mensaje de TLS (la indicación del nombre del servidor, SNI). Encrypted Client Hello (RFC 9849) oculta ese nombre, pero solo cuando el navegador y la web lo admiten.

Así que el DNS cifrado es una mejora real y, por sí solo, no te da privacidad frente a la red. El DNS privado de Android tiene tres modos (desactivado, automático y un nombre de proveedor que eliges), como explicó Google al presentar la función; nuestra guía sobre DNS privado frente a VPN explica cuál elegir.

Qué cambia una VPN

Una VPN cifra todo, no solo el DNS. La red ve una sola conexión cifrada hacia el servidor VPN; las consultas, las direcciones IP a las que te conectas y los nombres de las webs en TLS viajan dentro. Una VPN bien hecha además responde ella misma a tus consultas, dentro del túnel, para que nunca pasen por el resolutor de la Wi-Fi ni del operador.

Eso concentra todo en un solo sitio: el resolutor de la VPN ve ahora cada nombre. Que sea una mejora depende por completo de lo que guarde el proveedor, y por eso su política de registros no es un detalle. La nuestra está escrita línea a línea en lo que guardamos y quién paga.

Lo que el DNS no revela

Para no exagerar:

• Ni la página ni el contenido. Con HTTPS, una consulta a noticias.example no dice qué artículo leíste, qué escribiste ni qué compraste.
• Ni tus mensajes. Las apps con cifrado de extremo a extremo dejan ver el nombre de sus servidores, no lo que dices.
• No siempre tu identidad. El resolutor ve una dirección IP, no un nombre. Pero una dirección más un patrón de consultas puede bastar para reconocer un hogar.

El modo incógnito no cambia nada de esto: solo evita que el navegador guarde el historial en tu propio móvil.

Cómo gestiona PryVPN el DNS

El DNS de PryVPN está construido en torno a ese último punto:

• Cada servidor de PryVPN tiene su propio resolutor, accesible solo dentro del túnel, así que tus consultas nunca cruzan la Wi-Fi sin cifrar.
• El resolutor comprueba las firmas DNSSEC, de modo que rechaza respuestas falsificadas.
• Responde en memoria y no registra tus consultas; solo se guardan totales sin identificadores.
• Los filtros son opcionales y por categorías (rastreadores y malware activados de serie, anuncios solo si los activas). Funcionan porque el resolutor comprueba nombres, nunca porque apunte quién preguntó. El artículo sobre filtros DNS da los detalles.
• El test de fugas de la app muestra qué servidor DNS usa de verdad tu móvil y avisa si el DNS privado de Android manda las consultas a otro sitio.

Lista rápida de cinco minutos

1. En una Wi-Fi pública o compartida, no uses el DNS normal. Activa el DNS privado (Ajustes › Redes e internet › DNS privado) o usa una VPN.
2. Elige tu resolutor a propósito. Busca una lista publicada de lo que guarda y durante cuánto tiempo.
3. No sumes ajustes a ciegas. Si una VPN gestiona tu DNS, un nombre fijo en el DNS privado puede sacar las consultas del túnel y apagar sus filtros. Con una VPN activa, lo normal es dejarlo en «Automático».
4. Compruébalo, no lo supongas. Un test de fugas de DNS muestra qué resolutor usas de verdad.
5. Recuerda HTTPS. Protege el contenido; la privacidad del DNS protege la lista de sitios.

Preguntas frecuentes

¿El dueño de la Wi-Fi ve mis consultas DNS en modo incógnito?

Sí. El modo incógnito solo afecta a lo que tu navegador guarda en el móvil. Las consultas cruzan la red igual.

¿El DNS muestra las páginas exactas que visito?

No. Muestra nombres como foro.example, no la dirección de la página ni su contenido. Con HTTP sin cifrar (raro hoy), la red vería más, pero eso ya no es el DNS.

¿Basta con el DNS sobre HTTPS?

Impide que la red lea y cambie tus consultas. No oculta a qué direcciones IP te conectas, y la mayoría de las webs siguen revelando su nombre al iniciar TLS. Es un buen paso, no una solución completa.

¿Una VPN ve mi DNS?

Su resolutor sí, si la VPN gestiona el DNS, que es lo que debe hacer. Por eso la política de registros del proveedor importa tanto como el cifrado.

El resolutor de PryVPN está hecho para que la respuesta a «¿qué guardasteis?» sea corta. Si quieres probarlo, puedes unirte a la beta.

¿Has visto un error? Escríbenos a support@pryvpn.com; lo corregimos y actualizamos la fecha.