DNS over HTTPS y DNS over TLS: Cómo funcionan y cuáles son sus diferencias

La vulnerabilidad oculta del internet tradicional

Cuando escribimos una dirección en nuestro navegador, la computadora debe traducir ese nombre legible en una dirección IP numérica, el equivalente a buscar un contacto en la agenda telefónica. Históricamente, esta búsqueda ocurre a través del protocolo DNS (Domain Name System), un sistema fundamental concebido en la década de 1980 sin ninguna preocupación por la privacidad. En la práctica, esto significa que cada consulta de sitio web que realiza viaja por la red de forma completamente abierta, en texto plano. Cualquier intermediario en el camino, como su proveedor de internet, una red Wi-Fi pública o un atacante malintencionado, puede leer exactamente qué páginas está visitando. Esta exposición ha permitido décadas de vigilancia pasiva, censura dirigida e inyección de anuncios maliciosos directamente en las rutas de red.

El surgimiento del cifrado de nombres de dominio

Para frenar esta fuga de datos, la comunidad de ingeniería de redes desarrolló dos soluciones principales: DoT (DNS over TLS) y DoH (DNS over HTTPS). Ambos comparten el noble objetivo de blindar sus consultas contra miradas indiscretas utilizando cifrado de extremo a extremo. El TLS (Transport Layer Security), que es la misma tecnología detrás del candado verde y el protocolo HTTPS en sitios seguros, sirve de base para ambos métodos. En la práctica, transforman la conversación entre su dispositivo y el servidor de nombres en una caja fuerte digital que nadie en el medio puede abrir. Sin embargo, aunque comparten la misma raíz criptográfica, la forma en que empaquetan y entregan estos datos en la red es radicalmente diferente.

Cómo funciona el DNS over TLS (DoT)

DoT fue el primero en ganar una especificación formal en la RFC 7858 y opera de manera bastante directa y aislada. Toma los mensajes tradicionales de DNS y los envuelve directamente en una capa de seguridad TLS, estableciendo una conexión dedicada. En la práctica, todo este intercambio de datos ocurre en un puerto de red exclusivo reservado por la autoridad de estándares de internet, el puerto 853. Esto significa que el tráfico de DoT posee una identidad propia e inconfundible en la red. Cuando un enrutador o cortafuegos corporativo observa paquetes fluyendo por el puerto 853, sabe instantáneamente que se trata de una consulta de nombres cifrada. Esta previsibilidad facilita enormemente el trabajo de los administradores de redes que necesitan auditar, monitorear o bloquear tráfico de nombres en entornos empresariales o escolares.

Cómo funciona el DNS over HTTPS (DoH)

El DoH, estandarizado en la RFC 8484, adopta una estrategia de camuflaje mucho más sutil e ingeniosa. En lugar de crear un canal dedicado en un puerto exclusivo, DoH transforma las consultas de DNS en solicitudes HTTP o HTTP/2 comunes, exactamente iguales a las que su navegador realiza al descargar imágenes, textos y scripts de una página web. En la práctica, esto significa que el tráfico de DoH viaja por el mismo puerto 443 utilizado por cualquier sitio seguro en internet. Para un observador externo, incluyendo su proveedor de internet o un cortafuegos restrictivo, el DoH es absolutamente indistinguible de la navegación web normal. Este camuflaje hace extremadamente difícil para los gobiernos autoritarios o redes corporativas bloquear servidores DNS alternativos sin terminar rompiendo el acceso a gran parte de la web legítima.

La batalla técnica: DoH versus DoT

La elección entre DoH y DoT implica algo más que simples preferencias estéticas de ingeniería; conlleva profundos trade-offs operacionales. DoT ofrece un control riguroso y una simplicidad de diagnóstico, permitiendo que los cortafuegos corporativos apliquen políticas de seguridad tradicionales basadas en puertos de red específicos. Por otro lado, DoH gana con claridad en escenarios donde la neutralidad de la red está bajo amenaza, ya que su camuflaje vía HTTPS impide la censura selectiva basada en inspección profunda de paquetes. Además, navegadores web modernos como Firefox y Google Chrome implementan DoH nativamente en su código, permitiendo que la aplicación eluda la configuración de red del sistema operativo y ofrezca protección inmediata al usuario común, independientemente de la red Wi-Fi a la que se conecte.

El impacto en el rendimiento y la latencia de red

Un temor común entre desarrolladores y administradores de sistemas es el impacto que el cifrado adicional pueda causar en la velocidad de carga de las páginas. En la práctica, tanto DoH como DoT agregan una sobrecarga computacional inicial para establecer el apretón de manos criptográfico (handshake) de TLS antes de que la primera consulta real de DNS pueda ser procesada. Sin embargo, dado que ambos protocolos admiten conexiones persistentes y multiplexación avanzada a través de HTTP/2 y TLS moderno, esta latencia adicional ocurre solo en la primera conexión. Las consultas posteriores reutilizan el canal seguro abierto, lo que resulta en tiempos de respuesta prácticamente idénticos a los del DNS tradicional, con la enorme ventaja de eliminar ataques de intermediarios que podrían desviar al usuario a páginas falsas.

La centralización de la confianza y nuevos desafíos operativos

A pesar de resolver el problema de la privacidad frente a mirones locales, DoH y DoT introducen un nuevo y complejo dilema geopolítico y arquitectónico: la centralización del tráfico. Dado que la mayoría de los sistemas operativos y navegadores vienen configurados por defecto para utilizar servidores gigantescos como Cloudflare, Google o Quad9, miles de millones de solicitudes de nombres en todo el mundo pasan a concentrarse en manos de pocas corporaciones multinacionales. En la práctica, esto crea puntos únicos de fallo sistémico y concentra datos de comportamiento sumamente valiosos en portales centralizados. Los administradores de redes corporativas también pierden visibilidad sobre amenazas internas que utilizan canales ocultos de DoH para filtrar datos de la empresa o burlar políticas de cumplimiento interno.

Conclusión y recomendaciones para el futuro de la infraestructura

La evolución de los protocolos de resolución de nombres representa un hito histórico en la transición hacia un internet inherentemente más seguro y resistente a la vigilancia masiva. DoT brilla en entornos controlados donde el control de borde y la gobernanza de red son prioridades absolutas para los equipos de seguridad de la información. Mientras tanto, DoH establece el estándar de oro para la privacidad del usuario final, dificultando la censura arbitraria y asegurando que el derecho a la navegación confidencial se preserve en redes públicas hostiles. Comprender estos matices permite a ingenieros, desarrolladores y administradores tomar decisiones arquitectónicas conscientes, equilibrando las demandas legítimas de gobernanza corporativa con el derecho inalienable a la privacidad digital.