Qué es RocksDNS: DNS cifrado con filtrado de publicidad y tracking

RocksDNS es un servicio DNS público cifrado con dos nodos: uno en España y otro en Alemania. Soporta DNS-over-HTTPS (DoH), DNS-over-HTTPS/3 (DoH3), DNS-over-TLS (DoT) y DNS-over-QUIC (DoQ), e incluye filtrado de publicidad, tracking y dominios maliciosos. El servicio web completo está en rocksdns.ovh, donde publicamos guías más detalladas por sistema operativo, documentación técnica y avisos del servicio. Esta página resume lo esencial para configurarlo y entender qué hace y qué no.

Qué es RocksDNS y para qué sirve

Cada vez que escribes una dirección en el navegador, tu dispositivo hace una consulta DNS: pregunta a un servidor cuál es la IP correspondiente a ese nombre. Por defecto, esa consulta viaja en texto claro y pasa por los servidores de tu proveedor de Internet, que puede verla, registrarla o manipularla.

RocksDNS es un resolver DNS público que cifra esas consultas usando protocolos modernos (DoH, DoH3, DoT, DoQ) y además filtra dominios de publicidad, tracking y malware antes de que lleguen a tu dispositivo. Es una capa de privacidad que funciona en el fondo, sin que tengas que hacer nada una vez configurada.

Endpoints y servidores

RocksDNS tiene dos nodos independientes. Puedes usar cualquiera de los dos o configurar ambos como primario y secundario.

Qué filtra y qué no

RocksDNS usa cuatro listas de bloqueo: AdGuard DNS Filter, AdAway, OISD y PolishFiltersTeam. Todas están orientadas a publicidad, tracking y dominios con malware o phishing. El bloqueo ocurre a nivel DNS: cuando tu dispositivo consulta un dominio que está en alguna de esas listas, el resolver devuelve una respuesta vacía y el navegador no llega a conectarse.

Esto significa que el bloqueo es más profundo que un bloqueador de anuncios de navegador: funciona en cualquier aplicación del dispositivo, no solo en el navegador, y bloquea antes de que se establezca cualquier conexión. La contrapartida es que es menos preciso: bloquea dominios enteros, no elementos individuales dentro de una página.

Cómo configurarlo por dispositivo

Android (DNS privado)

Android 9 y versiones posteriores incluyen soporte nativo para DNS cifrado bajo el nombre «DNS privado». Usa DoT en el puerto 853.

1. Abre Ajustes y ve a Red e Internet (en Samsung: Conexiones; en Xiaomi: puede estar en ajustes de Wi-Fi).

2. Pulsa en DNS privado y selecciona Nombre de host del proveedor de DNS privado.

3. Introduce dns.rocksdns.ovh y guarda.

iOS y macOS (perfil de configuración)

Apple no permite configurar DoH directamente en los ajustes del sistema. La forma de hacerlo es instalando un perfil de configuración o usando una app. La opción más directa es usar la app AdGuard o DNSCloak desde la App Store e introducir el endpoint de RocksDNS manualmente. También puedes generar un perfil de configuración desde herramientas como esta usando la URL DoH de RocksDNS.

Windows 11

Windows 11 permite configurar DNS cifrado desde la configuración de red en muchas instalaciones recientes. Si tu versión no muestra la opción de plantilla DoH, puedes usar una aplicación compatible o configurar RocksDNS directamente en el navegador.

Firefox

1. Abre Configuración y ve a Privacidad y seguridad.

2. Baja hasta DNS seguro y activa Protección máxima.

3. Selecciona Usar proveedor personalizado e introduce https://dns.rocksdns.ovh/dns-query.

Chrome y Chromium

1. Abre Configuración, ve a Privacidad y seguridad y pulsa en Seguridad.

2. Activa Usar DNS seguro y selecciona Personalizado.

3. Introduce https://dns.rocksdns.ovh/dns-query.

Diferencias entre DoH, DoH3, DoT y DoQ

Los cuatro protocolos cifran las consultas DNS, pero lo hacen de forma distinta con implicaciones prácticas.

DoH (DNS over HTTPS) envía las consultas DNS dentro de tráfico HTTPS por el puerto 443. Es muy compatible y suele ser más difícil de bloquear, porque viaja por el mismo puerto que el tráfico HTTPS habitual. Es el protocolo recomendado para navegadores y la mayoría de dispositivos.

DoH3 (DNS over HTTP/3) es la evolución de DoH usando HTTP/3 sobre QUIC en lugar de HTTP/2 sobre TLS. Usa la misma URL que DoH y el mismo puerto 443, pero negocia HTTP/3 si el cliente lo soporta. Combina la compatibilidad y facilidad de filtrado de DoH con la resiliencia de QUIC ante pérdida de paquetes y cambios de red. El soporte en clientes es todavía limitado: Firefox lo activa de forma experimental, y AdGuard Home lo soporta desde versiones recientes. Si tu cliente no lo negocia, cae automáticamente a DoH estándar.

DoT (DNS over TLS) usa el puerto 853, específico para DNS. Más fácil de identificar y bloquear por firewalls, pero también más sencillo de configurar a nivel de sistema en Android y algunos routers. Es lo que usa Android cuando configuras «DNS privado».

DoQ (DNS over QUIC) usa el protocolo QUIC sobre UDP en el puerto 8853. Más resiliente en redes con pérdida de paquetes y conexiones móviles. El soporte en clientes es todavía limitado: funciona bien con AdGuard Home, dnsdist y algunos clientes específicos, pero no está disponible de forma nativa en los sistemas operativos principales.

Límites reales: qué no hace DNS cifrado

DNS cifrado mejora la privacidad en una capa concreta pero no es una solución completa. Vale la pena tener claro qué protege y qué no antes de asumir que cubre más de lo que cubre.

Cifrar las consultas DNS evita que tu proveedor de Internet vea qué dominios consultas, pero no oculta las IPs a las que te conectas después de resolver el nombre, ni el SNI (Server Name Indication) que muchos servidores HTTPS intercambian en texto claro al inicio de la conexión TLS. Tampoco impide el rastreo mediante cookies, huellas digitales del navegador o píxeles de seguimiento dentro de páginas web.

El filtrado de dominios bloquea publicidad y tracking a nivel de red, pero no bloquea anuncios servidos desde el mismo dominio que el contenido (como los anuncios de YouTube), y puede tener falsos positivos que bloqueen servicios legítimos.

RocksDNS frente a otros resolvers cifrados

← desliza para ver toda la tabla →

RocksDNS no tiene la red global de Cloudflare ni de AdGuard DNS. La ventaja es que es un servicio comunitario con infraestructura conocida y filosofía transparente, sin modelo de negocio basado en los datos de los usuarios.

Sección técnica: infraestructura

Si solo quieres usar RocksDNS, no necesitas leer esta sección. Está pensada para quien quiera entender cómo está montado o montar algo similar.

RocksDNS corre sobre Unbound como resolver recursivo y AdGuard Home como capa de filtrado y frontend. Unbound resuelve las consultas de forma recursiva consultando directamente los servidores raíz; AdGuard Home gestiona las listas de bloqueo, los protocolos cifrados y la interfaz de administración.

Unbound como resolver recursivo

Unbound es un resolver DNS validador con soporte DNSSEC. En esta configuración actúa como backend: recibe las consultas ya descifradas de AdGuard Home, las resuelve consultando los servidores raíz y devuelve la respuesta. No depende de ningún resolver externo upstream. Además, valida DNSSEC cuando el dominio lo soporta, lo que ayuda a detectar respuestas DNS manipuladas o mal firmadas.

AdGuard Home como capa de filtrado y frontend

AdGuard Home gestiona los protocolos cifrados (DoH, DoH3, DoT, DoQ), las listas de bloqueo y la interfaz de administración. Las consultas llegan cifradas a AdGuard Home, que las descifra, comprueba si el dominio está en alguna lista de bloqueo y, si no lo está, las reenvía a Unbound en local. DoH3 se negocia automáticamente sobre el mismo puerto 443 que DoH: si el cliente anuncia soporte HTTP/3, AdGuard Home lo usa; si no, cae a HTTP/2.

La documentación completa de AdGuard Home está en su wiki en GitHub. La de Unbound está en unbound.docs.nlnetlabs.nl. Para más detalle sobre la infraestructura de RocksDNS, consulta rocksdns.ovh.

Preguntas frecuentes