Quan canvies els DNS per uns personalitzats no només estàs tocant un ajustament tècnic sense importància: estàs modificant qui veu les teves peticions, com es resolen els dominis i quins tipus de filtres o protecció tens en navegar. Per això, abans de passar del DNS del teu VPN o del teu operador a un pi-hole, a Cloudflare oa qualsevol altre servei, val la pena entendre bé què implica.
A més, la tecnologia DNS ha evolucionat moltíssim: han aparegut protocols xifrats com DNS-over-HTTPS , serveis públics ultraoptimitzats, solucions privades per a empreses i opcions avançades com DNS Handshake o resolucions integrades a la pròpia VPN. Tot això ofereix avantatges molt sucosos… però també riscos i matisos que cal tenir clars per no canviar a pitjor.
Què és el DNS i per què és tan important?
El Sistema de Noms de Domini o DNS funciona com l'agenda d'Internet : quan escriviu una URL com xataka.com o redeszone.net, el vostre navegador envia aquesta adreça a un servidor DNS, que la transforma en una adreça IP perquè el vostre dispositiu sàpiga a quin servidor concret connectar-vos.
Normalment, el teu router ve configurat amb els DNS del teu proveïdor d'accés a Internet , així que totes les consultes passen primer per la seva infraestructura. Això vol dir que l'operador pot saber quins dominis estàs resolent i, a molts països, és el punt on s'apliquen bloquejos o censura per ordre de governs , simplement impedint que aquestes adreces es resolguin correctament.
El propi protocol DNS és molt antic i va néixer sense xifrat . Les peticions viatgen en text clar, qualsevol que pugui veure el trànsit (el teu ISP, una VPN, una xarxa WiFi compromesa , o fins i tot un atacant a la meitat del camí) pot inspeccionar-les, registrar-les o manipular-les. A més, en no haver-hi verificació forta per defecte, és relativament fàcil suplantar servidors DNS i redirigir-te a webs falses per robar dades o colar codi maliciós (malware).
Per això han sorgit tantes alternatives: DNS públics, privats, assegurances, filtrats o integrats en VPN que intenten millorar velocitat, privadesa i seguretat respecte als servidors de l'operador.
Quines dades podeu veure els propietaris d'un DNS?
Un punt clau que sovint es malinterpreta és que els DNS, per si sols, no amaguen la teva IP ni xifren tota la teva navegació. No són una VPN. Quan utilitzes un servidor DNS de tercers, aquests segueixen veient, com a mínim, des de quina adreça IP fas les consultes ia quins dominis intentes accedir-hi.
El propietari del servei pot registrar totes les peticions DNS que passen pels seus servidors: dominis consultats, marques de temps, IP origen i, en molts casos, aplicar anàlisis estadístiques o comercials sobre aquestes dades. Algunes empreses, com Google amb el seu Google Public DNS, deixen clar en les polítiques que emmagatzemen la IP original durant un temps limitat (per exemple, 24 o 48 hores) i conserven permanentment dades d'ús anonimitzades relacionades amb hàbits de navegació.
A la pràctica, això significa que canvies de qui et fies : si deixes d'usar el DNS del teu ISP per fer-ne servir un de Google, Cloudflare o un altre proveïdor, la teva operadora perd part d'aquesta visibilitat directa sobre les consultes DNS, però el nou proveïdor la guanya. Per això apareixen serveis que es venen com a centrats en la privadesa, prometent no utilitzar les dades amb fins publicitaris i limitar al màxim el seu registre.
Si utilitzes un DNS personalitzat tipus pi-hole a la teva pròpia xarxa , la foto canvia: les consultes es resolen a través del teu servidor local, que sol redirigir-les a un DNS de sortida (per exemple, Cloudflare). Tu mantens el control del registre intern i dels filtres, però el DNS final que rep la petició també pot veure les consultes, encara que sovint només vegeu la IP del vostre router o del vostre servidor intermedi, no la de cada dispositiu concret.
DNS de l'ISP, de la VPN i DNS personalitzats: opcions típiques
En molts serveis VPN moderns és habitual trobar-se amb diverses configuracions possibles de DNS, cadascuna amb avantatges i inconvenients força diferents . Entre les més habituals hi ha:
- DNS propis de la VPN: la VPN gestiona un servidor DNS intern i xifra totes les consultes dins del túnel. El vostre ISP només veu que estàs connectat a una VPN, però no veu quins dominis resols. L'avantatge és que tens privadesa davant de l'operadora i evites molts bloquejos regionals. El desavantatge és que passes a confiar totalment a la VPN, que veu totes les teves consultes.
- Resolució integrada a la VPN: similar al cas anterior, però de vegades el proveïdor implementa mecanismes propis de resolució, escorcoll o filtratge, de manera que intenta minimitzar l'ús de DNS externs. Millora temps de resposta i redueix filtrats externs, tot i que incrementa la dependència de la infraestructura del proveïdor.
- DNS Handshake: és un sistema de noms descentralitzat basat en tecnologia similar a blockchain. Empra un espai de noms alternatiu i està pensat per resistir la censura i evitar el control centralitzat de dominis. Ofereix més sobirania i resistència a bloquejos, però pot donar problemes de compatibilitat, rendiment i adopció, ja que molts serveis i xarxes no ho reconeixen de manera nativa.
- Usar DNS existents (Google, Cloudflare, etc.): la VPN simplement redirigeix les vostres consultes a servidors públics molt coneguts. Solen ser molt ràpids, ofereixen algunes garanties de transparència i suporten protocols moderns (DoH, DoT), però de nou confies les teves dades de navegació a grans empreses.
- DNS personalitzat (pi-hole, DNS propis, etc.): l'usuari defineix un servidor DNS propi, per exemple un pi-hole que bloquegi publicitat i rastrejadors. Això us dóna un control brutal sobre quins dominis es resolen i quins es bloquegen. A canvi, has d'administrar-ho tu i triar bé quin DNS de sortida (upstream) reenvies les consultes que no estiguin en memòria cau.
Si sempre heu deixat la configuració del vostre VPN en “utilitzar els vostres DNS propis”, heu estat prioritzant comoditat i protecció davant de l'ISP , però renunciant a bloquejar anuncis a nivell de xarxa oa personalitzar la resolució. Canviar a un pi-hole oa un altre DNS personalitzat et dóna molta flexibilitat, però implica més responsabilitat tècnica i una gestió conscient de la privadesa.
Servidors DNS públics i gratuïts més coneguts
A més dels DNS de l'operadora o de la VPN, hi ha un ecosistema molt ampli de servidors DNS públics i gratuïts als quals es pot connectar qualsevol usuari. Molts prometen velocitats superiors, millor privadesa o capes extra de seguretat. Entre els més destacats hi ha:
- OpenDNS (208.67.222.222 i 208.67.220.220): és un dels serveis de DNS públics més veterans, actualment propietat de Cisco. Compta amb una versió gratuïta amb bon rendiment, bloqueig de webs de pesca i opcions de control parental. El seu enfocament està molt vinculat a la seguretat i al filtratge de continguts.
- Cloudflare (1.1.1.1 i 1.0.0.1): se centra en màxima velocitat i privadesa. Promet no utilitzar les teves dades per a publicitat i no emmagatzemar de manera persistent la teva IP al disc. No té tants “extres” de filtratge com altres, però és un dels favorits dels que busquen rapidesa bruta i bones garanties de privadesa.
- DNS públic de Google (8.8.8.8 i 8.8.4.4): orientat a usuaris de tots els nivells, amb documentació molt clara. És molt estable i fàcil de configurar, però menys privat que Cloudflare, ja que guarda certes dades de navegació anonimitzada, encara que afirma esborrar la IP original en 24-48 hores.
- Norton ConnectSafe (199.85.126.10 i 199.85.127.10): ofereix un DNS gratuït amb filtratge de phishing, webs fraudulentes i malware, utilitzant les bases de dades de seguretat de Norton. La seva configuració pot resultar una mica més feixuga per a usuaris poc tècnics, ja que obliga a escollir nivells de protecció concrets.
- Comodo DNS segur (8.26.56.26 i 8.20.247.20): orientat també a la seguretat. Intenta bloquejar dominis maliciosos, spyware i webs saturades de publicitat. És una altra opció interessant per a qui cerca protecció sense haver de gestionar llistes pròpies de bloqueig.
- Quad9 (9.9.9.9 i 149.112.112.112): relativament recent, però molt centrat en detectar i bloquejar dominis maliciosos. Es nodreix de múltiples fonts d'intel·ligència d'amenaces, tant públiques com privades, per mantenir llistes actualitzades de dominis perillosos. Destaca també pel bon rendiment.
- Yandex. DNS (77.88.8.8 i 77.88.8.1): és l'alternativa russa a l'ecosistema de DNS públics de grans empreses. Ofereix diversos perfils: bàsic, “Safe” per bloquejar webs perilloses i “Family” per filtrar contingut adult, cadascun amb els seus propis parells d'IP.
- Public DNS Server List: és una base de dades amb centenars de servidors DNS públics de tot el món, que es poden filtrar per país. És útil per experimentar o per a situacions molt específiques, encara que la qualitat, privadesa i fiabilitat de cada servidor pot variar molt.
Abans d'optar per un DNS públic poc conegut, convé revisar la seva reputació i polítiques de privadesa , ja que un servei mal gestionat o malintencionat podria registrar o fins i tot manipular les teves consultes.
Seguretat i vulnerabilitats del protocol DNS clàssic
El DNS tradicional funciona mitjançant consultes sense xifrar que surten del teu equip, passen pel router i es dirigeixen al servidor configurat com a primari. Si aquest no sap resoldre un domini, llençarà consultes recursives a altres servidors superiors (com els TLD o root servers) fins a obtenir la resposta. Si el primari no respon, es fa servir el secundari.
Durant tot aquest recorregut, les peticions poden ser observades o intervingudes. No hi ha xifratge ni autenticació forta al protocol bàsic , així que un atacant amb accés a la xarxa pot capturar el trànsit DNS, modificar-lo, respondre amb adreces IP falses o suplantar el servidor legítim. Això pot portar-te a pàgines que imiten bancs, plataformes de correu o botigues en línia per robar credencials o distribuir malware.
Aquestes mancances han estat aprofitades tant per ciberdelinqüents com per actors que apliquen censura o filtratge massiu a nivell de país . Bloquejar un domini a nivell DNS és senzill i molt efectiu, perquè la majoria d'usuaris no es molesta a canviar la configuració per defecte del router o del dispositiu.
En aquest context han sorgit protocols i solucions com DNS-over-HTTPS (DoH) i DNS-over-TLS (DoT) , que intenten reforçar la privadesa i la integritat de les peticions DNS, apropant-les al nivell de seguretat de HTTPS.
DNS-over-HTTPS (DoH) i DNS-over-TLS (DoT): com milloren la privadesa
DNS-over-HTTPS consisteix bàsicament a enviar les consultes DNS encapsulades dins de trànsit HTTPS . És a dir, les teves peticions de resolució viatgen xifrades igual que quan visites un web segur. S'utilitzen mètodes HTTP com GET o POST, s'estableixen connexions TLS completes i el contingut de la consulta DNS queda protegit dins aquest túnel.
El gran avantatge és que, en estar xifrades d'extrem a extrem , tercers no poden llegir ni manipular les peticions amb tanta facilitat. Un operador o algú punxant a una WiFi pública pot veure que et connectes a un servidor DoH, però no veu quins dominis estàs preguntant. També es dificulta el bloqueig selectiu de dominis mitjançant inspecció profunda de paquets, ja que el trànsit sembla, a primera vista, trànsit web HTTPS normal.
DNS-over-TLS (DoT) té un enfocament similar, però en lloc de fer servir HTTP, estableix una sessió TLS específica per al trànsit DNS , generalment en un port dedicat (853). De nou, l'objectiu és xifrar i autenticar les comunicacions DNS i reduir el risc d'espionatge i de manipulació.
Molts serveis públics com Google Public DNS o Cloudflare (1.1.1.1) ja ofereixen endpoints compatibles amb DoH i DoT, que poden ser aprofitats per sistemes operatius, navegadors i apps que suportin aquests protocols per millorar significativament la privadesa de les consultes.
Ara bé, malgrat aquests avantatges, DoH i DoT no són una solució màgica . Persisteixen alguns desafiaments:
- Estat experimental i compatibilitat desigual: durant força temps, el suport s'ha anat integrant de forma gradual. Firefox va ser un dels primers navegadors a suportar DoH de forma estable, i Android (a partir de la versió 9) va començar a admetre DNS xifrats a nivell de sistema. Altres entorns, sobretot sistemes antics, encaminadors domèstics o moltes aplicacions, encara no estan preparats.
- Canvis d'infraestructura: adoptar massivament aquests protocols implica ajustaments de baix nivell en xarxes, dispositius i serveis. Moltes organitzacions encara no han actualitzat les seves infraestructures, cosa que pot generar incompatibilitats o problemes de rendiment si se'n força l'ús sense una planificació adequada.
- Dependència de pocs proveïdors: a la pràctica, la majoria del trànsit DoH/DoT acaba concentrant-se en uns pocs proveïdors molt grans (Google, Cloudflare, etc.), cosa que planteja preocupacions de centralització i concentració de dades, encara que el contingut de les consultes vagi xifrat en trànsit.
- Risc d'implementació defectuosa: una fallada de configuració o una vulnerabilitat en el programari que gestiona DoH/DoT pot llençar per terra les garanties de seguretat i privadesa, deixant les consultes exposades o manipulables.
Per als que volen utilitzar DNS xifrats encara que el seu sistema no els suporti de sèrie, hi ha opcions com VPN segures que encapsulen totes les peticions DNS , proxies DoH/DoT instal·lats al propi equip o apps específiques com la de Cloudflare (1.1.1.1) a Android i iOS, que forcen l'ús de DNS segurs al mòbil.
DNS privats i personalitzats: pi-hole, servidors propis i solucions empresarials
Més enllà dels grans proveïdors públics, moltes persones i empreses aposten per muntar els seus propis servidors DNS privats o per utilitzar solucions com a pi-hole que funcionen com a “filtres intel·ligents” a nivell de xarxa.
En un entorn corporatiu, un DNS privat permet gestionar de manera centralitzada tots els noms interns de l'organització (servidors, aplicacions, intranets), aplicar polítiques de seguretat i filtratge específiques, millorar la resiliència (amb rèpliques, balancejos, etc.) i reduir la dependència de tercers. També ofereix la possibilitat de registrar totes les consultes internes per a auditoria i diagnòstic, amb més control sobre on s'emmagatzemen i qui accedeix a aquestes dades.
Per a un usuari domèstic o un petit negoci, un DNS personalitzat tipus pi-hole actua com a bloquejador d'anuncis i rastrejadors a tota la xarxa. En lloc d'instal·lar extensions a cada navegador, el servidor DNS local s'encarrega de no resoldre dominis associats a publicitat, analítica intrusiva o codi maliciós, cosa que:
- Accelera la càrrega de les pàgines en no descarregar tants recursos inútils, especialment banners pesants o scripts de seguiment.
- Redueix l'amplada de banda consumida, una cosa molt interessant en connexions limitades o compartides entre molts dispositius.
- Aporta un extra de privadesa, en impedir que molts rastrejadors recopilin dades de la vostra navegació.
Això sí, gestionar un DNS privat implica responsabilitats i possibles maldecaps : mantenir llistes actualitzades, evitar falsos positius que trenquin webs legítimes, assegurar-se que el servidor estigui protegit i ben configurat, o triar amb cura el DNS “upstream” al qual es reenvien les consultes que el teu servidor no coneix.
En el cas de solucions modernes com a Control D, s'ofereix una combinació de DNS segur i altament configurable que permet:
- Bloquejar amenaces de seguretat directament a la resolució de dominis, incloent llocs amb malware conegut, campanyes de pesca o webs que executen scripts de cryptojacking.
- Millorar el rendiment bloquejant anuncis i rastrejadors, de forma similar a un pi-hole, reduint la sobrecàrrega a les pàgines i la saturació de la xarxa.
- Reforçar la privadesa evitant el seguiment publicitari massiu, gràcies al bloqueig proactiu de dominis de tracking i analítica invasiva.
- Facilitar la implementació a escala, tant en dispositius individuals com en xarxes empresarials, integrant-se amb eines d'administració remota (RMM) o de gestió de dispositius mòbils (MDM).
Aquest tipus de DNS moderns, orientats a l'era de les ciberamenaces, adopten una filosofia “preventiva”: actuen abans que s'estableixi la connexió HTTP/S , filtrant dominis perillosos des de la pròpia capa de resolució, en lloc de deixar tota la feina a antivirus i tallafocs que reaccionen després de la infecció.
Velocitat, rendiment i experiència de navegació
Moltes persones canvien de DNS buscant sobretot més velocitat en carregar pàgines . Convé matisar que el DNS no afecta l'amplada de banda màxima, però sí que influeix en el temps que triga el navegador a obtenir la IP de cada domini que visita, especialment en webs amb molts recursos externs.
Els servidors de tercers com Cloudflare, Google o Quad9 solen tenir infraestructures distribuïdes globalment i sistemes de memòria cau molt potents, capaços de manejar milions de consultes per segon amb temps de resposta molt baixos. En comparació amb alguns DNS d'operador sobrecarregats o mal configurats, el canvi es pot notar a:
- Menor latència en resoldre dominis habituals, gràcies a caches més completes i ràpides.
- Menys errors temporals de resolució, en comptar amb xarxes redundants i alta disponibilitat.
- Millor comportament sota càrrega intensa, alguna cosa interessant en connexions compartides per molts usuaris o dispositius.
Per saber quin és el més ràpid per al vostre cas concret, és bona idea provar diverses opcions usant eines de benchmarking , com DNS Benchmark o altres utilitats que mesuren temps de resposta des de la vostra ubicació real. El que funciona bé en una ciutat o amb un operador concret pot no ser el que és òptim en un altre país o xarxa.
Riscos i desavantatges de fer servir DNS personalitzats
Tot i els seus avantatges, triar un DNS personalitzat sense criteri pot augmentar la superfície de risc . Alguns desavantatges i perills a considerar són:
- Servidors poc fiables o malintencionats: un DNS desconegut pot ser vulnerable a atacs o directament ser operat per actors que busquen redirigir el teu trànsit a webs fraudulentes, injectar publicitat pròpia o espiar els teus hàbits de navegació.
- Absència de mesures de seguretat robustes: no tots els DNS de tercers mantenen bones llistes de bloqueig de codi maliciós o phishing, ni estan preparats per detectar comportaments anòmals. Podries acabar més exposat que amb el DNS del teu ISP o amb un servei prestigiós.
- Problemes de compatibilitat i resolució: certs DNS molt agressius en el filtratge poden trencar funcionalitats de webs legítimes, serveis corporatius, jocs en línia o aplicacions que depenen de dominis poc habituals o de tècniques específiques.
- Canvis en la privadesa efectiva: encara que el teu ISP perdi visibilitat directa de les consultes, el proveïdor de DNS que escullis guanyarà aquesta mateixa informació. Si es tracta d'una gran empresa que viu de la publicitat o d'un servei opac, pot ser que el canvi no suposi una millora real per a la vostra privadesa.
Per això, en triar un DNS personalitzat convé informar-se bé sobre el proveïdor , revisar opinions, polítiques de dades i, en tant que sigui possible, apostar per solucions amb trajectòria i certa transparència. I si muntareu un DNS privat, assegureu-vos de configurar-lo adequadament i mantenir-lo al dia.
Entendre com funcionen els DNS, quines dades exposen, com s'integren amb tecnologies com IPv6, DoH o DoT i quin paper juguen en la seguretat de la xarxa et permet escollir millor entre deixar els servidors de l'ISP, fer servir els del teu VPN, optar per un pi-hole propi, estirar serveis públics com Cloudflare o Google o combinar diverses d'aquestes opcions.
Triar bé el DNS, lluny de ser un simple ajustament tècnic, es converteix en una de les eines més potents que tens per equilibrar privadesa, rendiment, seguretat i control en la teva navegació diària. Comparteix la informació i ajuda els altres a conèixer sobre el tema.