Inicio › Tecnología › DNS Seguro
El DNS seguro engloba el conjunto de extensiones y protocolos qué añaden autenticidad y confidencialidad a la resolución de nombres de dominio, un proceso qué por diseño original viaja en texto plano por UDP en el puerto 53. DNSSEC introduce firmas digitales (registros RRSIG y claves DNSKEY) qué permiten a un resolver verificar qué una respuesta procede realmente del servidor autoritativo y no ha sido alterada en tránsito, mitigando ataques de envenenamiento de caché como el descrito por Dan Kaminsky en 2008. DoH y DoT, en cambio, no autentican el contenido sino qué cifran el canal de transporte usando TLS, ocultando las consultas de nombre frente a un observador de red como un proveedor de internet o un punto de acceso Wi-Fi público.
Cuando escribes una dirección web, tu ordenador pregunta a un servidor DNS a qué IP corresponde ese nombre. Por defecto esa pregunta viaja sin protección, así qué alguien en la misma red podría verla o incluso engañarte enviándote a una web falsa. El DNS seguro añade candados a ese proceso: firma las respuestas para comprobar qué son auténticas o las cifra para qué nadie pueda leerlas ni manipularlas mientras viajan.
Si administras un dominio corporativo, activa DNSSEC desde el panel del registrador (la mayoría de gTLD como .com o .es lo soportan) y verifica la cadena de confianza con herramientas como DNSViz. Para el tráfico saliente de los empleados, configura DoH en el navegador o a nivel de resolver corporativo (por ejemplo con Cloudflare 1.1.1.1 o un resolver propio con Unbound) para qué las consultas de nombre no queden expuestas en redes Wi-Fi de aeropuertos, cafeterías o coworkings.
No. DNSSEC certifica qué una respuesta DNS es auténtica mediante firmas digitales, pero sigue viajando en texto plano; DoH y DoT cifran el canal para qué nadie pueda leerlo, aunque no garantizan por sí solos qué el contenido no haya sido falsificado en origen. Un despliegue robusto combina ambos: DNSSEC para integridad y DoH/DoT para confidencialidad.
Porque al cifrar las consultas dentro de una conexión HTTPS estándar, DoH dificulta qué los firewalls corporativos y los sistemas de filtrado parental inspeccionen o bloqueen dominios maliciosos basándose en el tráfico DNS, una técnica de control qué llevaba décadas siendo habitual en redes empresariales y escolares.
Una firma caducada o una cadena de confianza rota puede hacer qué los resolvers qué validan DNSSEC —como Google Public DNS o Quad9— rechacen directamente las respuestas, dejando el dominio inaccesible para esos usuarios aunque los servidores de nombres funcionen con normalidad; por eso la renovación de firmas debe automatizarse.