Más Allá de Tu Operador: La Guía Completa para Elegir y Configurar Tu Servidor DNS

Más Allá de Tu Operador: La Guía Completa para Elegir y Configurar Tu Servidor DNS

Creado por: David P. • Publicado el: 10 de noviembre de 2026 • 25 minutos

Cada vez que escribes una dirección como https://www.enfaseterminal.com/ en el navegador, tu dispositivo hace una pregunta antes de nada: ¿qué dirección IP corresponde a este nombre? Quien responde a esa pregunta es un servidor DNS. Casi nadie lo elige a propósito: se queda el que asigna tu operador y listo. Pero ese pequeño servicio ve todos los dominios que visitas y decide, en parte, qué tan rápido y qué tan seguro es tu acceso a Internet.

En el blog ya hemos visto algunas piezas sueltas: cómo bloquear anuncios y rastreadores con Pi-Hole o cómo aplicar protección familiar con AdGuard DNS. Este artículo las junta con una mirada de conjunto: por qué merece la pena elegirlo bien, qué comparar y cuáles son las mejores opciones, con una recomendación concreta según el uso (equipo personal, casa o empresa) y un apartado dedicado a los bloqueos judiciales que afectan a los DNS y a Cloudflare, con España como caso concreto.

Índice

  1. Qué es el DNS y por qué importa
  2. De dónde sale todo: los servidores raíz del DNS
  3. Qué mirar al elegir un DNS
  4. Servidores DNS recomendados
  5. Tabla comparativa
  6. Bloqueos judiciales y DNS: el caso de España
  7. Qué DNS recomiendo según el uso
  8. DNS cifrado: DoH, DoT y DoQ, pros y contras
  9. Cómo configurarlo
  10. Cómo comprobar que funciona
  11. Herramientas para comparar la velocidad
  12. Conclusión
  13. Artículos relacionados

Qué es el DNS y por qué importa

El DNS (Domain Name System) es la «agenda de contactos» de Internet: traduce nombres legibles (ejemplo.com) en direcciones IP (93.184.216.34). Por defecto, tu router usa los DNS de tu operadora de Internet, que suelen ser correctos pero no siempre los más rápidos, ni los más privados, ni los más seguros.

Elegir un DNS distinto influye en cuatro cosas:

  • Velocidad: una resolución lenta se nota al abrir cada web, porque cada página implica decenas de consultas DNS.
  • Privacidad: el servidor DNS conoce qué dominios consultas. Según quién lo gestione, esos datos pueden registrarse, agregarse o usarse con otros fines.
  • Seguridad: algunos resolutores se niegan a resolver dominios de malware y phishing, lo que añade una capa de protección a toda la red.
  • Control: otros permiten bloquear anuncios, rastreadores o categorías de contenido en todos los dispositivos de casa a la vez.

Importante: cambiar de DNS no te hace anónimo. Tu operadora sigue viendo a qué IP te conectas, y las webs siguen viendo tu IP. El DNS es una pieza más del puzle de la privacidad, no la solución completa.

De dónde sale todo: los servidores raíz del DNS

Cuando tu resolutor no sabe responder a una consulta, empieza por lo más alto de la jerarquía: los servidores raíz. No guardan la dirección de cada web: solo saben a qué servidores preguntar por cada terminación (.com, .es, .org…), y estos a su vez te llevan al dominio concreto. Son la base de todo el sistema, aunque tú casi nunca hables directamente con ellos.

Las 13 direcciones originales

Son 13 direcciones, identificadas con las letras de la A a la M (a.root-servers.net … m.root-servers.net). El número no es casual: viene del tamaño máximo de 512 bytes que tenían los paquetes UDP del DNS original, que no daba para más direcciones en una sola respuesta. Antes de adoptar ese esquema, algunos tenían nombres distintos; por ejemplo, el servidor A se llamaba originalmente ns.internic.net.

Hacia 2001, 10 de las 13 estaban en Estados Unidos (dos de ellas gestionadas por organismos militares) y las otras tres estaban fuera: una en Londres, otra en Estocolmo y otra en Tokio. Las operaban empresas, universidades, organizaciones sin ánimo de lucro y organismos públicos:

Letra Operador (histórico) Ubicación
A Network Solutions / VeriSign EE. UU.
B USC-ISI (Universidad del Sur de California) EE. UU.
C PSINet / Cogent EE. UU.
D Universidad de Maryland EE. UU. (Maryland)
E NASA EE. UU.
F ISC (Internet Systems Consortium) EE. UU. (Palo Alto, California)
G Departamento de Defensa de EE. UU. EE. UU.
H Laboratorio de Investigación del Ejército de EE. UU. EE. UU.
I Autonomica (hoy Netnod) Suecia (Estocolmo)
J VeriSign EE. UU.
K RIPE NCC Reino Unido (Londres)
L ICANN EE. UU.
M Proyecto WIDE Japón (Tokio)

Hoy ya no son 13 máquinas

Esas 13 direcciones siguen existiendo, pero cada una se sirve hoy con anycast: la misma dirección IP responde desde muchas máquinas repartidas por el mundo, y tu consulta llega a la más cercana. Por eso hoy hablamos de cientos de instancias en decenas de países, y no de 13 servidores físicos. En febrero de 2019 se contaban 938, y la cifra ha seguido creciendo.

Puedes ver el mapa actualizado y filtrable en root-servers.org, que muestra la ubicación de las instancias de cada operador.

Qué tiene que ver con elegir un buen DNS

  • Casi nunca llegas a la raíz. Tu resolutor guarda en caché la información de las terminaciones más usadas, de modo que la mayoría de tus consultas no llegan a los servidores raíz. Lo que notas en la velocidad depende sobre todo del resolutor que elijas, no de la raíz.
  • Que caiga uno no tumba Internet. Con 13 direcciones, miles de instancias y caché en todos los resolutores, el sistema aguanta fallos y ataques.
  • La raíz no filtra ni bloquea nada. Los operadores publican la zona raíz tal como se la dan y no pueden alterarla. El filtrado de anuncios, de malware o de contenido ocurre en el resolutor que tú elijas, que es de lo que trata el resto de este artículo.

Qué mirar al elegir un DNS

Criterio Qué preguntarse
Latencia ¿Tiene servidores cercanos? Lo que importa es el tiempo desde tu conexión, no los rankings genéricos.
Política de registros (logs) ¿Qué guarda, durante cuánto tiempo y quién lo ha auditado?
Jurisdicción ¿Bajo qué leyes opera la entidad que lo gestiona?
Cifrado ¿Admite DNS sobre HTTPS (DoH) o sobre TLS (DoT)? Sin cifrado, cualquiera en el camino puede ver y manipular tus consultas.
Filtrado ¿Bloquea malware, anuncios o categorías? ¿Se puede configurar?
Validación DNSSEC ¿Verifica las firmas que protegen contra respuestas falsificadas?
Fiabilidad ¿Es un servicio estable, con direcciones anycast y redundancia?

Según dónde vivas: la latencia y el comportamiento de cada resolutor cambian de un país a otro. Mide siempre desde tu conexión y, si te importa la jurisdicción, valora opciones regionales (en Europa, por ejemplo, el resolutor público europeo DNS4EU).

Servidores DNS recomendados

Cloudflare (1.1.1.1 y 1.0.0.1): el más equilibrado

Direcciones: 1.1.1.1 y 1.0.0.1 (IPv6: 2606:4700:4700::1111 y 2606:4700:4700::1001)

Puntos fuertes

  • Muy rápido en general: es uno de los resolutores públicos con mejor rendimiento medio en mediciones independientes, gracias a su red global.
  • Política de privacidad clara: afirma no vender datos ni usarlos para publicidad, y que conserva únicamente registros mínimos durante un periodo muy corto. Sus compromisos han sido sometidos a auditorías externas.
  • Soporta DoH y DoT.
  • Ofrece variantes con filtrado: 1.1.1.2 (bloquea malware) y 1.1.1.3 (malware y contenido para adultos).

A tener en cuenta

  • Es una empresa estadounidense 🇺🇸.
  • Sin filtrado por defecto: no bloquea ni malware ni anuncios en la variante estándar.
  • En países con bloqueos judiciales por IP, como España, su red (CDN) puede verse afectada aunque el resolutor 1.1.1.1 funcione bien; mira el apartado sobre bloqueos judiciales y DNS 🇪🇸.

Quad9 (9.9.9.9 y 149.112.112.112): el más seguro «de serie»

Direcciones: 9.9.9.9 y 149.112.112.112 (IPv6: 2620:fe::fe y 2620:fe::9)

Puntos fuertes

  • Bloquea por defecto dominios de malware y phishing usando listas de inteligencia de amenazas de múltiples socios. Si un equipo intenta entrar en una web maliciosa conocida, el DNS simplemente no la resuelve.
  • Lo gestiona una fundación sin ánimo de lucro con sede en Suiza, y su modelo no se basa en la publicidad.
  • Valida DNSSEC y soporta DoH y DoT.
  • Dispone de variantes: 9.9.9.10 (sin bloqueo de amenazas) y 9.9.9.11 (con bloqueo y envío de información de subred, útil si una CDN te sirve contenido de la región equivocada).
  • No requiere cuenta ni instalar nada: solo cambiar dos direcciones.

A tener en cuenta

  • Puede haber falsos positivos puntuales (un dominio legítimo bloqueado por error); en ese caso se puede pasar temporalmente a 9.9.9.10.
  • No bloquea anuncios ni rastreadores: su objetivo es la seguridad, no el filtrado publicitario.
  • En mediciones de conexiones cifradas nuevas suele salir más lento que Cloudflare, aunque la diferencia con una conexión ya establecida es pequeña.

NextDNS: control total y bloqueo de anuncios en toda la red

Direcciones: depende de tu configuración. NextDNS te asigna un identificador personal (por ejemplo abc123.dns.nextdns.io) y también ofrece direcciones IP públicas (45.90.28.0 y 45.90.30.0) que requieren vincular tu IP en el panel.

Puntos fuertes

  • Te registras gratis en nextdns.io y configuras tu propio perfil: bloqueo de anuncios, rastreadores, dominios de malware, categorías (redes sociales, juegos, contenido para adultos…) y listas personalizadas.
  • Es como un bloqueador de anuncios para toda la red: televisores inteligentes, móviles, tablets, consolas… dispositivos donde no puedes instalar una extensión.
  • Los registros son configurables: puedes desactivarlos o limitar su retención.
  • Soporta DoH y DoT, y dispone de aplicaciones para móvil y escritorio.

A tener en cuenta

  • El plan gratuito tiene un límite mensual de consultas (alrededor de 300.000 al mes en el momento de escribir esto; compruébalo en su web). Superado el límite, el filtrado deja de aplicarse hasta el mes siguiente.
  • Es un servicio comercial: revisa su política de privacidad y decide si activas o no los registros.
  • Usar solo las direcciones IP sin vincular tu IP o usar tu identificador personal no aplica tu configuración. Lo más fiable es usar DoH/DoT con tu identificador.
  • Un bloqueo demasiado agresivo puede romper alguna web o aplicación; conviene empezar con pocas listas e ir ajustando.

AdGuard DNS: bloqueo de anuncios y protección familiar sin registrarte

Direcciones (según el modo):

Modo IPv4 Qué hace
Predeterminado 94.140.14.14 / 94.140.15.15 Bloquea anuncios y rastreadores
Protección familiar 94.140.14.15 / 94.140.15.16 Lo anterior, más contenido para adultos, y activa Búsqueda Segura y Modo Seguro cuando es posible
Sin filtrado 94.140.14.140 / 94.140.14.141 No bloquea nada

Puntos fuertes

  • Funciona solo cambiando las direcciones DNS, sin cuenta ni instalación: es la forma más rápida de tener filtrado de anuncios y rastreadores en toda la red.
  • El modo de protección familiar lo hace muy útil para control parental en el router o en los dispositivos de los menores.
  • Si te registras, puedes crear tu propio perfil con estadísticas y listas blancas. Su versión gratuita (a fecha del artículo que le dediqué en 2023: 300.000 peticiones al mes y 5 dispositivos) tiene límites parecidos a los de NextDNS.
  • Dispone de aplicaciones para Android, iOS, Windows, macOS, extensión de navegador y una versión autoalojada (AdGuard Home) comparable a Pi-Hole.

A tener en cuenta

  • Con las direcciones públicas no tienes estadísticas ni puedes modificar la lista blanca; para eso necesitas una cuenta.
  • Los límites y planes del servicio gratuito cambian: comprueba su web antes de dar cifras definitivas.
  • Más detalle en el artículo AdGuard DNS: protección familiar y filtrado de rastreadores.

Google Public DNS (8.8.8.8 y 8.8.4.4): rápido y fiable, pero con matices de privacidad

Direcciones: 8.8.8.8 y 8.8.4.4

Puntos fuertes

  • Muy estable y rápido, con una infraestructura enorme.
  • Soporta DoH, DoT y DNSSEC.

A tener en cuenta

  • Pertenece a una empresa cuyo negocio principal es la publicidad. Google documenta que conserva registros temporales durante un corto periodo y algunos datos más tiempo de forma parcialmente anonimizada. No es que «guarde todo lo que navegas» sin más, pero si la privacidad es tu prioridad, hay opciones que ofrecen mejores garantías.
  • No filtra malware ni anuncios.

Otras opciones

  • DNS de tu operadora: funcionan, pero suelen ofrecer menos garantías de privacidad y, en algunos casos, resultan más lentos o sirven de punto de aplicación de bloqueos administrativos.
  • DNS4EU: resolutor público impulsado por la Unión Europea, con variantes con y sin filtrado. Es una opción a seguir si te interesa la jurisdicción europea; consulta su web oficial para las direcciones actuales.

Tabla comparativa

  Cloudflare Quad9 NextDNS AdGuard DNS Google
IPv4 1.1.1.1 / 1.0.0.1 9.9.9.9 / 149.112.112.112 45.90.28.0 / 45.90.30.0 (o DoH/DoT con tu ID) 94.140.14.14 / 94.140.15.15 8.8.8.8 / 8.8.4.4
Velocidad Muy alta Alta Alta Alta Muy alta
Privacidad Registros mínimos y de muy corta duración Sin ánimo de lucro, sin publicidad Logs configurables por el usuario Revisa su política de registros Registros temporales y datos agregados
Jurisdicción EE. UU. Suiza EE. UU. Revisa su política EE. UU.
Bloqueo de malware / phishing Solo variante 1.1.1.2 Sí, por defecto Sí (configurable) Sí (phishing) No
Bloqueo de anuncios No No Sí (configurable) Sí (por defecto) No
Filtro por categorías Variante 1.1.1.3 No Sí Modo familiar (adultos) No
DoH / DoT Sí Sí Sí Sí Sí
DNSSEC Sí Sí Sí Sí Sí
Requiere cuenta No No Sí (gratis con límite) No (solo para perfil propio) No
Ideal para Uso diario en equipos personales Empresas, clientes, routers «ponlo y olvídate» Casa: TV, móviles y tablets, con control fino Casa y control parental sin registro Compatibilidad y estabilidad

Bloqueos judiciales y DNS: el caso de España

Elegir DNS no es solo una cuestión técnica: en varios países europeos las autoridades y los titulares de derechos exigen bloquear contenido a operadoras, y en algunos casos también a los resolutores públicos de DNS. Según informes de 2026, esto ha llegado ya a Italia y Francia, con órdenes y sanciones que han afectado a servicios como los de Cloudflare, Google o Quad9. Conviene seguir la situación en tu país antes de dar por hecho que un resolutor se comportará igual en todas partes.

España es un buen ejemplo para entender cómo funciona en la práctica. Desde febrero de 2025, y en virtud de autorizaciones judiciales, LaLiga ordena a los operadores bloquear direcciones IP asociadas a retransmisiones piratas durante los partidos. Como muchas de esas IP pertenecen a la infraestructura compartida de Cloudflare, miles de webs legítimas quedan inaccesibles durante esos periodos. Según la información publicada, la autorización cubre hasta el final de la temporada 2026/27 y los bloqueos se reactivaron al inicio de esta temporada.

Esto tiene varias consecuencias prácticas, que sirven también como regla general:

  • Un bloqueo por IP no se arregla cambiando de DNS. No es un problema del resolutor 1.1.1.1, sino del bloqueo de las IP de la red de distribución de contenidos de Cloudflare: si una web usa una IP bloqueada, seguirá sin cargar con cualquier DNS.
  • Los bloqueos a nivel de DNS sí dependen de tu resolutor y de tu operadora. Si notas fallos puntuales en determinados momentos, es una buena razón para tener un DNS secundario de otro proveedor (por ejemplo, Quad9 como secundario de Cloudflare).
  • Si gestionas una web detrás de Cloudflare, puede verse afectada en España durante los partidos. Existen monitores públicos que muestran en tiempo real qué IP están bloqueadas.

La conclusión práctica: no pongas todos los huevos en la misma cesta. Usa un principal y un secundario de proveedores distintos, estés donde estés.

Qué DNS recomiendo según el uso

1. Uso diario en el móvil y el PC personal: Cloudflare (1.1.1.1 y 1.0.0.1). Rápido, estable, fácil de configurar y con una política de privacidad razonable. Si tu sistema lo permite, actívalo con DoH/DoT para cifrar las consultas.

2. Instalaciones de clientes, oficinas o entornos profesionales: Quad9 (9.9.9.9 y 149.112.112.112). Su bloqueo de malware y phishing añade protección sin instalar nada en cada equipo. Se configura en el router o en el servidor DHCP y se olvida. Una combinación sensata: Quad9 como principal y Cloudflare (1.1.1.1) como secundario, para tener redundancia entre dos proveedores independientes.

3. En casa, para bloquear anuncios en toda la red: NextDNS. Configura tu perfil, activa las listas de anuncios y rastreadores y ponlo en el router, o en cada dispositivo mediante DNS privado/DoH. Se nota sobre todo en televisores, aplicaciones móviles y webs de prensa con mucha publicidad.

Alternativas para el filtrado en casa: si no quieres registrarte en nada, AdGuard DNS (94.140.14.14 y 94.140.15.15) filtra anuncios y rastreadores con solo cambiar las direcciones, y su modo de protección familiar es muy práctico donde hay menores. Y si prefieres controlarlo todo tú en tu propia red, puedes montar Pi-Hole o AdGuard Home en una Raspberry Pi o un servidor doméstico.

Combinación resumida

Dónde DNS recomendado
Móvil / PC personal Cloudflare 1.1.1.1
Router de casa NextDNS (con tu perfil de bloqueo)
Router de un cliente o empresa Quad9 9.9.9.9 + Cloudflare 1.1.1.1 como secundario

Si te importa la privacidad, evita Google (8.8.8.8) como opción principal. Funciona muy bien, pero hay alternativas con mejores garantías para este criterio.

DNS cifrado: DoH, DoT y DoQ, pros y contras

Elegir un buen servidor es solo la mitad del trabajo: también importa cómo viajan las consultas hasta él. El DNS clásico (puerto 53) las envía en texto plano, de modo que tu operadora, la wifi de una cafetería o cualquiera en el camino puede leerlas e incluso modificarlas. El DNS cifrado resuelve parte de esto.

Los tres protocolos

Protocolo Nombre completo Puerto habitual Características
DoH DNS sobre HTTPS 443 Se mezcla con el tráfico web normal; es el más fácil de usar en navegadores y móviles y el más difícil de bloquear
DoT DNS sobre TLS 853 Más sencillo de gestionar en sistemas operativos y routers, pero una red puede bloquear el puerto sin esfuerzo
DoQ DNS sobre QUIC 853 (UDP) El más reciente y rápido de establecer, aunque todavía con menos soporte

Pros

  • Privacidad frente a terceros: tu operadora o la red wifi que uses ya no ven qué dominios consultas.
  • Integridad: evita que alguien modifique las respuestas, por ejemplo para redirigirte a una web falsa o inyectar publicidad. Junto con DNSSEC, la protección es mayor.
  • Menos bloqueos y manipulación por DNS: si una red filtra o redirige el puerto 53, el DNS cifrado lo esquiva.
  • Fácil de activar hoy: Android (DNS privado), Windows 11, navegadores como Firefox y Chrome, y aplicaciones como NextDNS o 1.1.1.1.

Contras y límites

  • No te hace anónimo. El resolutor sigue viendo todas tus consultas, así que elegir uno de confianza sigue siendo lo principal. Además, tu operadora sigue viendo a qué IP te conectas y, muchas veces, el nombre del sitio en la conexión HTTPS (el SNI), salvo que se use ECH.
  • Puede saltarse tu filtrado local. Si un navegador o una app usa su propio DoH, ignora el Pi-Hole, el control parental del router o el filtrado de la empresa. En redes que gestionas tú, configura el DNS cifrado en el router o en el servidor, o bloquea el DoH externos.
  • Latencia en la primera consulta. Abrir una conexión cifrada nueva cuesta más que una consulta clásica. En una medición publicada, una conexión DoH nueva a Quad9 tardó una mediana de 260 ms, frente a 87 ms de Cloudflare, mientras que sobre una conexión DoT ya abierta las consultas a Quad9 bajaron a unos 48 ms. Tras ese primer coste, la diferencia casi desaparece.
  • Más difícil de depurar. Ya no puedes ver las consultas con una captura de red normal, y los fallos de certificados o de protocolo son menos evidentes.
  • Compatibilidad desigual. No todos los routers, sistemas o dispositivos lo soportan. Por ejemplo, Quad9 exige HTTP/2 para DoH desde diciembre de 2025, y su documentación señala que MikroTik RouterOS aún no lo admite como cliente.
  • Centralización. Si todo el mundo usa DoH de Cloudflare o de Google, aumenta la dependencia de unos pocos proveedores, y una caída o un bloqueo les afecta a todos.
  • Bloqueo. DoT es fácil de cortar por puerto. DoH es más difícil de bloquear, aunque una red puede bloquear los servidores públicos conocidos.

Qué elegir

  • DoH en navegadores y móviles.
  • DoT en el sistema operativo y en routers, por ser más fácil de controlar.
  • DoQ si tu proveedor y tu software ya lo admiten y quieres probarlo.

En resumen: actívalo siempre que puedas, sobre todo en redes que no controlas (wifi pública, hoteles). En casa, combínalo con un resolutor de confianza y, si usas filtrado en el router, configúralo ahí en lugar de dejar que cada aplicación decida por su cuenta. Más abajo tienes la configuración paso a paso.

Cómo configurarlo

En el router

Cada fabricante y operadora lo llama distinto, pero el proceso es similar:

  1. Accede al panel del router (habitualmente 192.168.1.1 o 192.168.0.1).
  2. Busca la sección DNS dentro de la configuración de red/WAN/Internet o del servidor DHCP.
  3. Desactiva el DNS automático y escribe el DNS primario y secundario.
  4. Guarda y reinicia el router.

Algunos routers que entregan las operadoras limitan o esconden esta opción. En ese caso, puedes configurar el DNS en cada dispositivo o, si lo permite, usar un router propio detrás del de la operadora.

En Android

Ajustes → Red e Internet → DNS privado → Nombre de host del proveedor de DNS privado. Introduce:

  • Cloudflare: one.one.one.one
  • Quad9: dns.quad9.net
  • NextDNS: TU-ID.dns.nextdns.io

En iPhone y iPad

iOS no tiene un ajuste simple de DNS cifrado a nivel de sistema. Las opciones habituales son:

  • Cambiar el DNS de cada red Wi-Fi (Ajustes → Wi-Fi → (i) → Configurar DNS → Manual).
  • Instalar la aplicación oficial del proveedor (por ejemplo, NextDNS o la aplicación 1.1.1.1 de Cloudflare), que crea un perfil de DNS cifrado.

En Windows 11

Configuración → Red e Internet → Wi-Fi o Ethernet → Propiedades → Asignación de servidor DNS → Editar → Manual. Introduce las direcciones y activa «DNS sobre HTTPS» si el sistema te lo ofrece, usando la plantilla del proveedor.

En Linux (systemd-resolved)

También tienes la guía clásica del blog: Cómo cambiar el servidor DNS en Linux. Con systemd-resolved, la configuración sería esta:

Edita /etc/systemd/resolved.conf:

[Resolve]
DNS=1.1.1.1 1.0.0.1
FallbackDNS=9.9.9.9 149.112.112.112
DNSOverTLS=yes
DNSSEC=allow-downgrade

Y aplica los cambios:

sudo systemctl restart systemd-resolved
resolvectl status

Cómo comprobar que funciona

¿Qué DNS estoy usando?

resolvectl status          # Linux con systemd-resolved
nslookup ejemplo.com        # Windows, macOS y Linux: muestra el servidor consultado

Medir la latencia de cada candidato desde tu conexión (el resultado depende de tu operadora y de tu ubicación):

for dns in 1.1.1.1 9.9.9.9 8.8.8.8; do
  echo -n "$dns → "
  dig @$dns ejemplo.com | grep "Query time"
done

Repite la prueba varias veces y a distintas horas; una sola medición no es representativa.

Comprobar el servicio concreto:

  • Cloudflare: 1.1.1.1/help
  • NextDNS: test.nextdns.io
  • Fugas de DNS: cualquier herramienta de test de fugas de DNS te mostrará qué resolutor está respondiendo realmente.

Herramientas para comparar la velocidad

Hay un detalle que cambia todo: el mejor DNS en un ranking mundial no tiene por qué ser el mejor desde tu casa. Lo que importa es el tiempo de ida y vuelta desde tu conexión, y eso solo lo mide una herramienta que se ejecute en tu equipo o en tu navegador. Además, el DNS de tu operadora puede salir ganando en consultas muy repetidas, porque está dentro de su propia red y suele tener esos dominios en caché; por eso conviene probarlo siempre como un candidato más, y no darlo por perdido.

Cómo averiguar el DNS de tu operadora

Para compararlo necesitas su dirección IP:

  • En el panel de tu router, en el estado de la conexión WAN/Internet, suele aparecer el DNS que le asigna la operadora. La IP del propio router (192.168.1.1, por ejemplo) normalmente solo reenvía las consultas a ese DNS.
  • En Linux: resolvectl status.
  • En Windows: ipconfig /all.
  • En macOS: scutil --dns.

Herramientas recomendadas

Herramienta Tipo Qué aporta Compara con tu operadora
GRC DNS Benchmark Programa para Windows Mide desde tu conexión, y su versión 2 admite DNS cifrado (DoH y DoT), IPv4 e IPv6 Sí, puedes incluir tus DNS actuales y los de la operadora
dnsperfbench Línea de comandos (Go) Compara resolutores públicos desde tu equipo y mide también qué IP de CDN te devuelven; admite añadir el de tu operadora Sí (parámetro -r)
dns-benchmark-tool Línea de comandos (Python) pip install dns-benchmark-tool y comandos como dns-benchmark compare Cloudflare Google Quad9; admite DoH, DoT y exporta resultados Sí, indicando su IP
DNS Speed Test de Control D Navegador Test rápido desde tu navegador, con medición en caché y sin caché y con la variación entre consultas (jitter) Detecta tu DNS actual, pero solo lo puntúa si añades un endpoint DoH público
DNSPerf Web con rankings Ranking público de resolutores, medido cada minuto desde más de 200 ubicaciones del mundo, filtrable por región No: son mediciones globales, no desde tu casa
Script con dig Terminal Control total y sin instalar nada Sí

Dos advertencias sobre estas herramientas:

  • Desconfía de los tests web que miden «desde el servidor». Algunos benchmarks online ejecutan las consultas desde su propio servidor y no desde tu conexión, así que el resultado no refleja lo que vivirás tú.
  • No te quedes solo con la latencia. Mide también la consistencia (el jitter), la fiabilidad y, si puedes, el rendimiento con DNS cifrado: una primera consulta DoH nueva suele ser más lenta que una consulta clásica, aunque después se estabiliza.

Un script sencillo para compararlos con el de tu operadora

Cambia IP_OPERADORA por la IP del DNS que te asigna tu operadora:

IP_OPERADORA=192.168.1.1
for dns in $IP_OPERADORA 1.1.1.1 9.9.9.9 94.140.14.14 8.8.8.8; do
  echo "== $dns =="
  # Sin caché: un subdominio aleatorio obliga al resolutor a consultar al servidor autoritativo
  for i in 1 2 3 4 5; do
    dig @$dns "$RANDOM$RANDOM.wikipedia.org" +tries=1 +timeout=3 \
      | awk '/Query time/ {print $4 " ms (sin caché)"}'
  done
  # Con caché: un dominio popular repetido
  for i in 1 2 3 4 5; do
    dig @$dns wikipedia.org +tries=1 +timeout=3 \
      | awk '/Query time/ {print $4 " ms (con caché)"}'
  done
done

Cómo interpretar el resultado:

  • Compara las medianas, no una única medición, y repite la prueba a distintas horas.
  • Si tu operadora gana en «con caché» pero pierde en «sin caché», tu uso diario dependerá de cuántos sitios nuevos visites.
  • Una diferencia de pocos milisegundos apenas se nota al navegar. Si hay empate técnico, decide por privacidad, seguridad y filtrado, que es para lo que sirve este artículo.

Conclusión

No existe un «mejor DNS» universal: existe el mejor para cada situación.

  • Cloudflare para el día a día: rápido y sencillo.
  • Quad9 cuando la prioridad es la seguridad y quieres una instalación de bajo mantenimiento.
  • NextDNS cuando quieres control y bloqueo de anuncios en toda la red de casa.
  • AdGuard DNS cuando quieres filtrar anuncios o proteger a los menores sin cuentas ni instalaciones.
  • Google funciona muy bien, pero si priorizas la privacidad hay opciones mejores.

Y un consejo práctico, sobre todo si vives en un país con bloqueos judiciales como España: combina dos proveedores distintos como principal y secundario, activa el cifrado (DoH/DoT) siempre que puedas y no esperes que un cambio de DNS sortee bloqueos por IP.

Cambiar el DNS lleva cinco minutos y no cuesta nada. Es una de las mejoras con mejor relación esfuerzo/resultado que puedes hacer en tu red.

Artículos relacionados

Las cifras de planes gratuitos, los límites y las políticas de privacidad cambian con el tiempo. Antes de aplicar los cambios en tu red, revisa la documentación oficial de cada proveedor.

Categorías
Privacidad Redes Ciberseguridad Gestión de redes Internet Operadoras telefonía móvil e Internet Seguridad SPAM
Etiquetas
dns privacidad seguridad cloudflare quad9
nextdns adguard-dns pi-hole dns-sinkholing control-parental dns-over-https router anuncios bloqueos SPAM