Quién ve tus búsquedas DNS

Una búsqueda DNS normal viaja sin cifrar. Aquí está exactamente quién está en posición de leerla, y por qué eso importa incluso en un sitio HTTPS.

La lección anterior siguió una búsqueda DNS desde tu Mac hasta un resolvedor y de regreso. Ese viaje no es privado por defecto. El Centro de Aprendizaje de Cloudflare lo dice directamente: “por defecto, las consultas y respuestas DNS se envían en texto plano (por UDP), lo que significa que las pueden leer redes, proveedores de internet, o cualquiera capaz de monitorear las transmisiones. Aunque un sitio web use HTTPS, la consulta DNS necesaria para llegar a ese sitio web queda expuesta.”

Piensa en una consulta DNS normal sin cifrar como una postal enviada por correo: cualquiera que maneje el correo puede llegar a echar un vistazo al texto escrito en la parte de atrás.
Centro de Aprendizaje de Cloudflare

Quién está en posición de leer esa postal

Una búsqueda DNS normal, sin cifrar. La siguiente lección cubre qué cambia al cifrarla.
Quién	Qué puede ver normalmente	Por qué
Quien administra el Wi-Fi o la red local (una cafetería, una oficina, un aeropuerto)	Los nombres de sitios que busca tu dispositivo mientras está conectado	Una consulta DNS normal no está cifrada, así que cualquiera que observe la red local puede leerla
Tu proveedor de internet (ISP), si usas su resolvedor predeterminado	Cada nombre de sitio que busca tu dispositivo, vinculado a tu cuenta	El resolvedor del ISP responde la consulta directamente
Un resolvedor de terceros (p. ej., un servicio DNS público), si te cambiaste a uno	Las mismas búsquedas, en vez de tu ISP	Alguien siempre responde la consulta; cambiar de resolvedor mueve la visibilidad, no la quita

Esa última fila importa y muchas veces se pasa por alto: dejar el resolvedor de un ISP no hace que el DNS sea privado, reubica la visibilidad. La Electronic Frontier Foundation lo dice sin rodeos al hablar del bloqueo basado en DNS: “tu nuevo proveedor de DNS va a obtener la información sobre tu actividad de navegación que antes tenía tu ISP, lo que puede ser una preocupación de privacidad.” Alguien responde cada búsqueda; la pregunta es quién, y qué hace con ese registro.

Por qué importa una búsqueda de nombre incluso con HTTPS

HTTPS cifra el contenido de una página y la ruta exacta que pides en un sitio, pero no cifra la búsqueda DNS que pasa primero, para encontrar la dirección de ese sitio en primer lugar. Así que incluso en una conexión totalmente cifrada, la secuencia de nombres de sitios que buscó tu dispositivo, y cuándo, muchas veces es visible para quien esté observando la red o administrando el resolvedor, que es justo el tipo de metadato que describe el curso introductorio de esta universidad: no el contenido de lo que lees, sino un registro de a dónde fuiste.

Comprobar qué resolvedor está configurado en una Mac

$ scutil --dns
DNS configuration

resolver #1
  nameserver[0] : 127.0.2.2
  nameserver[1] : 127.0.2.3
  ...

scutil --dns enlista el resolvedor (o resolvedores) al que tu Mac le manda búsquedas ahora mismo para cada tipo de red en la que está. Es una comprobación inicial útil antes de suponer quién puede ver tus búsquedas: la respuesta depende por completo de qué resolvedor esté configurado, y en conexiones de ISP, Wi-Fi y VPN puede cambiar sin que te des cuenta.

Lo esencial

Una búsqueda DNS normal viaja sin cifrar, así que cualquiera que pueda observar la ruta de red, el dueño del Wi-Fi, el ISP, puede leerla.
HTTPS cifra el contenido y las rutas de la página, pero no la búsqueda DNS que encuentra primero la dirección del sitio.
Cambiar a un resolvedor DNS distinto reubica quién ve tus búsquedas; no hace privada la búsqueda en sí.
El registro de qué sitios buscaste, y cuándo, es un metadato que puede importar incluso sin el contenido de lo que lees.
Puedes comprobar qué resolvedor está usando tu Mac con `scutil --dns`.

Ponte a prueba

1. ¿Por qué puede normalmente el dueño de una red Wi-Fi de una cafetería ver qué sitios buscaste?
- Porque son dueños de tu dispositivo
- Porque una consulta DNS normal viaja en texto plano por la red local por defecto — Correcto.
- Porque HTTPS comparte esta información con los dueños del Wi-Fi
- No pueden ver esto bajo ninguna circunstancia
Cloudflare señala que las consultas DNS se envían en texto plano por defecto, legibles por “redes, proveedores de internet, o cualquiera capaz de monitorear las transmisiones.”
2. ¿Visitar un sitio HTTPS oculta la búsqueda DNS que encuentra su dirección?
- Sí, HTTPS también cifra la búsqueda DNS
- No, la búsqueda DNS que pasa primero queda expuesta incluso cuando el propio sitio usa HTTPS — Correcto.
- Solo para dominios .com
- Solo si también se usa una VPN
Cloudflare afirma sin rodeos que “aunque un sitio web use HTTPS, la consulta DNS necesaria para llegar a ese sitio web queda expuesta.”
3. Si cambias del resolvedor de tu ISP a otro resolvedor DNS público, ¿qué cambia en cuanto a privacidad?
- Tus búsquedas se vuelven completamente privadas para todos
- La visibilidad se traslada al nuevo operador del resolvedor en vez de desaparecer — Correcto.
- No cambia nada en absoluto
- Tu ISP ya no puede ver ninguno de tus datos
La EFF señala que un nuevo proveedor de DNS “va a obtener la información sobre tu actividad de navegación que antes tenía tu ISP” — la visibilidad se traslada en vez de desaparecer.

Ponlo en práctica con FireAI

Pon esta lección en práctica en tu propia computadora.

Fuentes

Ponlo en práctica en tu Mac

Prueba todas las funciones gratis durante 17 días, sin tarjeta.

Descargar para Mac Docs