Proteger su DNS: por qué y cómo
Antes de cada visita a un sitio web, su dispositivo consulta un directorio: el DNS. Elegir un resolvedor que filtre los dominios peligrosos y cifre las consultas es una de las protecciones más sencillas de implantar.
Equipo editorial de Kayzen Security4 min de lectura
El DNS en dos frases
Cuando escribe el nombre de un sitio, su ordenador pide a un servidor llamado resolvedor DNS la dirección IP correspondiente. Por defecto, ese resolvedor suele ser el de su proveedor de acceso, y los intercambios circulan sin cifrar.
Como este paso precede a cualquier conexión, es un punto de control ideal: un resolvedor que conoce los dominios de phishing o de software malicioso puede impedir la conexión incluso antes de que se produzca.
Lo que bloquea el filtrado DNS, y lo que no
Un resolvedor con filtrado compara cada dominio solicitado con listas de amenazas actualizadas de forma continua. Si el dominio se conoce como peligroso, devuelve una respuesta de bloqueo o una página explicativa.
- Bloquea: los dominios de phishing ya catalogados, los servidores de control de software malicioso conocidos, las categorías que usted elija (contenidos para adultos en un hogar, por ejemplo).
- No bloquea: un sitio trampa recién creado y aún desconocido para las listas, un archivo malicioso recibido en una memoria USB, una estafa telefónica.
- Puede eludirse: un usuario experto puede cambiar de resolvedor, salvo si el dispositivo está gestionado y el ajuste está bloqueado.
Cifrar las consultas: DoH y DoT
Dos estándares públicos cifran los intercambios con el resolvedor: DNS over HTTPS (RFC 8484) y DNS over TLS (RFC 7858). En una red Wi-Fi pública, impiden que un tercero vea los sitios solicitados o falsifique las respuestas.
Los sistemas recientes (Windows 11, macOS, iOS, Android) y los principales navegadores pueden usar un resolvedor cifrado. Atención: un navegador configurado con su propio resolvedor ignora el filtrado configurado en el sistema.
Implantar un DNS protector: los pasos
- Hogar: configure un resolvedor con filtrado en su router si lo permite, o en cada dispositivo (ajuste «DNS privado» en Android, perfil de configuración en iPhone y Mac).
- Pyme: opte por una solución gestionada de forma centralizada, que aplique la misma política a todos los equipos, también fuera de la oficina, y que avise de los intentos de elusión.
- Compruebe el resultado: un dominio de prueba facilitado por su resolvedor debe quedar bloqueado; los sitios habituales deben funcionar con normalidad.
- Documente la elección (qué resolvedor, qué categorías se bloquean): en la empresa, informe a los empleados, ya que el filtrado forma parte de la política de uso de los recursos informáticos.
Cuestiones de privacidad
El resolvedor ve la lista de los dominios consultados. Elija un servicio que publique su política de conservación de registros, su ubicación y sus subencargados. En la empresa, el filtrado y sus registros deben respetar el derecho laboral y el RGPD: información previa a los empleados, plazo de conservación limitado, acceso restringido.
Fuentes oficiales
- ANSSI (nueva pestaña) — Agence nationale de la sécurité des systèmes d'information — guides et publications
- IETF (nueva pestaña) — RFC 8484 — DNS Queries over HTTPS (DoH)
- IETF (nueva pestaña) — RFC 7858 — DNS over Transport Layer Security (DoT)
- CNIL (nueva pestaña) — Commission nationale de l'informatique et des libertés
Los recursos citados los publican sus autores en su idioma original. Kayzen no está afiliado a ninguno de estos organismos.
Esta guía es informativa y general. No sustituye un asesoramiento jurídico ni la intervención de un profesional de la seguridad informática.