{"id":2169,"date":"2026-08-12T08:00:00","date_gmt":"2026-08-12T07:00:00","guid":{"rendered":"https:\/\/ic-services.io\/?p=2169"},"modified":"2026-09-16T15:02:13","modified_gmt":"2026-09-16T14:02:13","slug":"impacto-del-dns-cifrado-doh-li","status":"publish","type":"post","link":"https:\/\/ic-services.io\/es\/resources\/blog\/encrypted-dns-doh-dot-li-impact\/","title":{"rendered":"DNS cifrado (DoH\/DoT) y su impacto en las capacidades de interceptaci\u00f3n legal"},"content":{"rendered":"

El Sistema de Nombres de Dominio (DNS) ha sido durante mucho tiempo una de las fuentes de datos m\u00e1s valiosas para la interceptaci\u00f3n legal y la inteligencia de red. Las consultas al DNS revelan qu\u00e9 sitios web visita un usuario, a qu\u00e9 servicios accede y qu\u00e9 aplicaciones utiliza, todo ello sin necesidad de acceder al contenido de la propia comunicaci\u00f3n. Durante d\u00e9cadas, el tr\u00e1fico DNS se ha transmitido en texto plano, lo que lo hac\u00eda f\u00e1cilmente accesible a la interceptaci\u00f3n a nivel de red. La aparici\u00f3n de protocolos DNS cifrados \u2014DNS sobre HTTPS (DoH) y DNS sobre TLS (DoT)\u2014 est\u00e1 cambiando radicalmente este panorama, con importantes implicaciones para capacidades de interceptaci\u00f3n l\u00edcita<\/a>.<\/p>\n\n\n\n

Este art\u00edculo analiza c\u00f3mo funcionan el DoH y el DoT, por qu\u00e9 se est\u00e1n adoptando, c\u00f3mo afectan a la interceptaci\u00f3n legal y qu\u00e9 pueden hacer los operadores para cumplir con sus obligaciones de cumplimiento normativo en un entorno en el que el tr\u00e1fico DNS est\u00e1 cada vez m\u00e1s cifrado.<\/p>\n\n\n\n

El reto del DNS cifrado para los operadores<\/h2>\n\n\n\n

La resoluci\u00f3n DNS tradicional utiliza el puerto UDP 53 y transmite las consultas y respuestas en texto sin cifrar. Cualquier persona con acceso a la ruta de red entre el usuario y el servidor DNS \u2014incluidos el operador, los elementos de red intermedios y los posibles intrusos\u2014 puede observar las consultas DNS y determinar qu\u00e9 nombres de dominio est\u00e1 resolviendo el usuario.<\/p>\n\n\n\n

El DNS sobre TLS (DoT), definido en el RFC 7858, cifra el tr\u00e1fico DNS envolvi\u00e9ndolo en una conexi\u00f3n TLS en el puerto TCP 853. Las consultas y respuestas DNS se cifran durante la transmisi\u00f3n, lo que impide que los intermediarios puedan observarlas. Sin embargo, el uso de un puerto dedicado (853) hace que el tr\u00e1fico DoT sea identificable a nivel de red: un observador puede determinar que se est\u00e1 produciendo una resoluci\u00f3n DNS, aunque el contenido de las consultas est\u00e9 cifrado.<\/p>\n\n\n\n

El DNS sobre HTTPS (DoH), definido en el RFC 8484, lleva el cifrado un paso m\u00e1s all\u00e1 al canalizar el tr\u00e1fico DNS a trav\u00e9s de conexiones HTTPS est\u00e1ndar en el puerto TCP 443. Dado que el tr\u00e1fico DoH es indistinguible del tr\u00e1fico web HTTPS habitual, resulta extremadamente dif\u00edcil identificarlo y bloquearlo a nivel de red. El DoH oculta eficazmente la resoluci\u00f3n DNS dentro del enorme volumen de tr\u00e1fico web cifrado que atraviesa las redes modernas.<\/p>\n\n\n\n

Ambos protocolos est\u00e1n dise\u00f1ados para proteger la privacidad de los usuarios al impedir que los intermediarios de red puedan observar las consultas DNS. Los principales fabricantes de navegadores \u2014entre ellos, Mozilla Firefox y Google Chrome\u2014 han implementado la compatibilidad con DoH, y algunos sistemas operativos ya admiten DoH y DoT de forma nativa. La adopci\u00f3n del DNS cifrado se est\u00e1 acelerando, impulsada por la defensa de la privacidad, la configuraci\u00f3n predeterminada de los navegadores y la tendencia generalizada hacia el cifrado de todo el tr\u00e1fico de red.<\/p>\n\n\n\n

El impacto en la interceptaci\u00f3n legal<\/h2>\n\n\n\n

El cifrado del tr\u00e1fico DNS tiene un impacto directo y significativo en las capacidades de interceptaci\u00f3n legal. Los datos de las consultas DNS han sido tradicionalmente un componente clave de la informaci\u00f3n relacionada con la interceptaci\u00f3n, ya que proporcionan a los investigadores un registro detallado de la actividad en l\u00ednea del objetivo. Cuando un objetivo visita un sitio web, env\u00eda un correo electr\u00f3nico o utiliza una aplicaci\u00f3n, las consultas DNS correspondientes revelan los nombres de dominio implicados, incluso cuando el contenido de la comunicaci\u00f3n est\u00e1 cifrado.<\/p>\n\n\n\n

Con DoH y DoT, los operadores ya no pueden observar las consultas DNS a nivel de red si el dispositivo del destinatario est\u00e1 configurado para utilizar un resolutor DNS cifrado que no sea gestionado por el operador. El proceso de resoluci\u00f3n de DNS est\u00e1 cifrado de extremo a extremo entre el dispositivo y el resolutor, y los equipos de red del operador no pueden descifrar las consultas sin tener acceso a las claves de sesi\u00f3n TLS.<\/p>\n\n\n\n

Esta p\u00e9rdida de visibilidad del DNS afecta tanto a la interceptaci\u00f3n en tiempo real como al an\u00e1lisis de datos hist\u00f3ricos. En la interceptaci\u00f3n en tiempo real, el IRI generado para la sesi\u00f3n de datos de un objetivo carecer\u00e1 de la informaci\u00f3n de consultas DNS que antes proporcionaba contexto sobre la actividad en l\u00ednea del objetivo. En el an\u00e1lisis hist\u00f3rico, la ausencia de registros DNS reduce la capacidad del operador para reconstruir el historial de navegaci\u00f3n de un objetivo y sus patrones de uso de los servicios a partir de datos conservados<\/a>.<\/p>\n\n\n\n

El impacto es m\u00e1s grave cuando el destinatario utiliza un resolutor DoH de terceros \u2014como los que gestionan Cloudflare, Google u otros proveedores\u2014 en lugar de la propia infraestructura DNS del operador. En este caso, las consultas DNS se resuelven \u00edntegramente fuera de la red del operador, y este no tiene acceso alguno a ellas. Si el destinatario utiliza el propio resolutor DNS del operador con DoT o DoH, el operador conserva el acceso a los datos de las consultas a nivel del resolutor, pero no en los puntos intermedios de la red.<\/p>\n\n\n\n

Estrategias de mitigaci\u00f3n para los operadores<\/h2>\n\n\n\n

Los operadores no pueden impedir la adopci\u00f3n del DNS cifrado, pero s\u00ed pueden aplicar estrategias para mitigar su impacto en la interceptaci\u00f3n legal. La primera estrategia consiste en gestionar sus propios resolutores DoH y DoT y animar o exigir a sus abonados que utilicen dichos resolutores. Si el operador controla el resolutor DNS, conserva el acceso a los datos de las consultas DNS, incluso cuando el tr\u00e1fico entre el dispositivo y el resolutor est\u00e1 cifrado. Este enfoque preserva la visibilidad del DNS al tiempo que sigue ofreciendo a los abonados las ventajas de privacidad que ofrece el DNS cifrado frente a la observaci\u00f3n por parte de terceros.<\/p>\n\n\n\n

La segunda estrategia consiste en utilizar fuentes de datos alternativas para reconstruir la informaci\u00f3n que antes proporcionaban las consultas DNS. La indicaci\u00f3n del nombre del servidor (SNI) en los handshakes de TLS proporciona el nombre de dominio del servidor al que se conecta el cliente, y esta informaci\u00f3n se ha transmitido tradicionalmente en texto plano. Sin embargo, la adopci\u00f3n de Encrypted Client Hello (ECH, anteriormente ESNI) est\u00e1 empezando a cifrar tambi\u00e9n la SNI, lo que reduce a\u00fan m\u00e1s la visibilidad. El an\u00e1lisis de direcciones IP tambi\u00e9n puede proporcionar cierta informaci\u00f3n sobre a qu\u00e9 servicios est\u00e1 accediendo un objetivo, pero el uso generalizado de las redes de distribuci\u00f3n de contenidos (CDN) y el alojamiento compartido hace que la correspondencia entre direcciones IP y dominios sea a menudo ambigua.<\/p>\n\n\n\n

La tercera estrategia consiste en llevar a cabo la interceptaci\u00f3n en la capa de aplicaci\u00f3n o a nivel de dispositivo, en lugar de basarse \u00fanicamente en los datos a nivel de red. Este enfoque va m\u00e1s all\u00e1 del \u00e1mbito de la interceptaci\u00f3n tradicional en las telecomunicaciones, pero est\u00e1 siendo estudiado por algunos fuerzas del orden<\/a> como respuesta al creciente cifrado del tr\u00e1fico de red. Para los operadores, esta no es una soluci\u00f3n pr\u00e1ctica, pero forma parte del contexto m\u00e1s amplio en el que debe entenderse el DNS cifrado.<\/p>\n\n\n\n

Una cuarta estrategia pasa por la intervenci\u00f3n normativa y pol\u00edtica. Algunos gobiernos han barajado o aplicado requisitos para que los operadores bloqueen el acceso a resolutores DNS de terceros o exijan el uso de la propia infraestructura DNS del operador. Estos enfoques son controvertidos y plantean dudas sobre la neutralidad de la red, la libertad de los usuarios y la viabilidad t\u00e9cnica, pero representan una respuesta pol\u00edtica al reto que plantea el DNS cifrado.<\/p>\n\n\n\n

La tendencia general hacia el cifrado<\/h2>\n\n\n\n

El DNS cifrado forma parte de una tendencia m\u00e1s amplia hacia el cifrado de todo el tr\u00e1fico de red, impulsada por cuestiones de privacidad, las mejores pr\u00e1cticas de seguridad y las configuraciones predeterminadas de las principales plataformas de software. TLS 1.3, ECH, QUIC y otras tecnolog\u00edas est\u00e1n cifrando progresivamente una mayor parte de los metadatos y el contenido en los que tradicionalmente se ha basado la interceptaci\u00f3n a nivel de red. Cada paso en esta tendencia hacia el cifrado reduce la visibilidad de que disponen los operadores y, por extensi\u00f3n, la de la interceptaci\u00f3n legal.<\/p>\n\n\n\n

Los operadores deben reconocer que la visibilidad a nivel de red de la que han disfrutado hist\u00f3ricamente est\u00e1 disminuyendo y seguir\u00e1 disminuyendo. La respuesta a esta tendencia no puede ser meramente t\u00e9cnica: requiere la colaboraci\u00f3n con los organismos reguladores, los organismos de normalizaci\u00f3n y las fuerzas del orden para desarrollar nuevos enfoques de interceptaci\u00f3n l\u00edcita que tengan en cuenta las realidades de un entorno de red fuertemente cifrado.<\/p>\n\n\n\n

Al mismo tiempo, los operadores deben seguir facilitando todos los datos de interceptaci\u00f3n que sean t\u00e9cnicamente capaces de proporcionar. El cifrado del DNS no elimina la obligaci\u00f3n legal del operador de interceptar; lo que cambia es el alcance de lo que se puede interceptar. Los operadores deben ser transparentes con las fuerzas del orden respecto a estas limitaciones y deben asegurarse de que sus sistemas de interceptaci\u00f3n est\u00e9n actualizados para gestionar adecuadamente la visibilidad reducida, generando IRI que reflejen con precisi\u00f3n lo que est\u00e1 disponible, en lugar de producir datos incompletos o enga\u00f1osos.<\/p>\n\n\n\n

Repercusiones en materia de cumplimiento normativo y presentaci\u00f3n de informes<\/h2>\n\n\n\n

La p\u00e9rdida de visibilidad del DNS tiene consecuencias en la forma en que los operadores informan sobre sus capacidades de interceptaci\u00f3n y en c\u00f3mo los organismos reguladores eval\u00faan el cumplimiento normativo. Los operadores deber\u00edan comunicarse de forma proactiva con su autoridad reguladora nacional sobre el impacto del DNS cifrado en sus capacidades de interceptaci\u00f3n, documentando los elementos de datos espec\u00edficos que ya no est\u00e1n disponibles y las medidas que est\u00e1n adoptando para mitigar dicho impacto.<\/p>\n\n\n\n

Es posible que los organismos reguladores de algunas jurisdicciones tengan que actualizar sus requisitos t\u00e9cnicos y expectativas para tener en cuenta la realidad del DNS cifrado. Los operadores pueden desempe\u00f1ar un papel constructivo en este proceso aportando sus conocimientos t\u00e9cnicos y su experiencia pr\u00e1ctica para orientar el desarrollo de la normativa. El peor resultado para todas las partes ser\u00eda que la normativa exigiera a los operadores que facilitaran datos a los que no pueden acceder t\u00e9cnicamente, una situaci\u00f3n que generar\u00eda un riesgo de incumplimiento normativo sin aportar ning\u00fan valor a la investigaci\u00f3n.<\/p>\n\n\n\n

Conclusi\u00f3n<\/h2>\n\n\n\n

El DNS cifrado supone un cambio significativo en el equilibrio entre la privacidad y la capacidad de vigilancia en las redes de telecomunicaciones. Los protocolos DoH y DoT protegen la privacidad de los usuarios al impedir que los intermediarios de la red puedan observar las consultas DNS, pero tambi\u00e9n reducen la visibilidad de que disponen los sistemas de interceptaci\u00f3n legales. Los operadores deben adaptarse implementando sus propios resolutores DNS cifrados, aprovechando fuentes de datos alternativas, colaborando con los reguladores en la evoluci\u00f3n de los requisitos y garantizando que sus sistemas de interceptaci\u00f3n legal reflejen con precisi\u00f3n los datos que est\u00e1n realmente disponibles. La tendencia hacia el cifrado integral de la red es irreversible, y los operadores que se adapten de forma proactiva estar\u00e1n en mejores condiciones para mantener el cumplimiento normativo y proporcionar un apoyo significativo a las fuerzas del orden dentro de las limitaciones del panorama t\u00e9cnico en constante evoluci\u00f3n.<\/p>\n\n\n

El debate en torno al DNS cifrado tambi\u00e9n pone de relieve la tensi\u00f3n existente entre los derechos de privacidad de las personas y las necesidades leg\u00edtimas de las fuerzas del orden. Encontrar el equilibrio adecuado requiere la colaboraci\u00f3n entre los expertos en tecnolog\u00eda, los responsables pol\u00edticos, la sociedad civil y las fuerzas del orden. Los operadores se encuentran en la encrucijada de estos intereses y tienen la responsabilidad \u00fanica de garantizar que las capacidades t\u00e9cnicas, las obligaciones legales y las medidas de protecci\u00f3n de la privacidad est\u00e9n en consonancia. Al participar activamente en el desarrollo de normas, en las consultas regulatorias y en los foros del sector, los operadores pueden contribuir a dar forma a soluciones que respeten la privacidad y, al mismo tiempo, preserven la capacidad de las sociedades democr\u00e1ticas para llevar a cabo una vigilancia l\u00edcita de conformidad con el Estado de derecho.<\/p>\n\n\n\n

Art\u00edculos relacionados<\/h2>\n\n\n\n

Si desea leer m\u00e1s sobre temas relacionados, consulte estos art\u00edculos:<\/p>\n\n\n\n