Activar DNS sobre HTTPS en Windows 11 permite cifrar la comunicación entre el cliente DNS del equipo y un servidor compatible. El objetivo es evitar que las consultas de nombres se transmitan como DNS tradicional sin cifrar, pero hacerlo bien exige tomar dos decisiones: qué servidor utilizar y si Windows podrá recurrir a DNS sin cifrar cuando DoH no esté disponible.
La configuración puede realizarse desde los ajustes de la conexión. PowerShell también sirve para identificar el adaptador, guardar la configuración anterior, asignar servidores DNS y consultar las entradas DoH conocidas. Ninguna comprobación aislada demuestra todo el proceso: conviene verificar por separado la configuración guardada, la resolución de nombres y las limitaciones de cada prueba.
Ruta rápida: abre Configuración > Red e Internet, entra en la conexión activa, edita la asignación DNS, selecciona el modo manual, introduce un resolver compatible y elige el comportamiento de cifrado. Si seleccionas Solo cifrado, los nombres pueden dejar de resolverse cuando DoH no esté disponible.
Qué cambia al utilizar DNS sobre HTTPS
DNS convierte nombres como example.com en direcciones IP que el sistema puede utilizar. Con DNS tradicional, la consulta no dispone del cifrado aportado por HTTPS. DNS sobre HTTPS, abreviado como DoH, transporta esa comunicación mediante una conexión HTTPS entre el cliente y un resolver compatible.
La documentación oficial de Microsoft sobre el cliente DoH distingue tres comportamientos:
- Solo cifrado: las consultas al servidor configurado deben utilizar DoH. Si el resolver no admite ese mecanismo o no se puede establecer la conexión, la resolución falla.
- Cifrado preferido, sin cifrar permitido: el cliente intenta utilizar DoH, pero puede recurrir a DNS tradicional cuando no sea posible.
- Solo sin cifrar: las consultas dirigidas al servidor indicado utilizan DNS tradicional.
El primer modo evita una degradación deliberada a DNS sin cifrar, aunque es menos tolerante ante errores de configuración, bloqueos de red o incidencias del proveedor. El segundo favorece la disponibilidad, pero implica que algunas consultas podrían terminar realizándose sin cifrar.
DoH protege las consultas DNS en el tramo comprendido entre el cliente y el resolver. No cifra por sí solo todo el tráfico, no sustituye HTTPS en las páginas y tampoco crea el túnel general asociado a una VPN.
Requisitos y límites antes de empezar
Antes de cambiar la configuración, reúne la siguiente información:
- La interfaz que está conectada, normalmente Wi-Fi o Ethernet.
- Las direcciones oficiales de un resolver compatible con DoH.
- La configuración DNS anterior, por si necesitas recuperarla.
- La decisión sobre si permitirás consultas sin cifrar cuando falle DoH.
- Permisos suficientes para modificar los ajustes de red.
La fuente oficial disponible para los comportamientos y cmdlets de esta guía documenta el cliente DoH de Windows Server. Los conceptos, modos y comandos descritos proceden de esa referencia, pero no acreditan que todos los textos, controles o cmdlets aparezcan igual en cualquier edición y compilación de Windows 11. Por esa razón, los pasos de interfaz deben aplicarse comprobando lo que muestra el equipo y los comandos deben validarse antes con Get-Command.
También debes tener en cuenta el tipo de red. Una empresa o un centro educativo puede utilizar servidores internos para resolver dominios privados, localizar servicios o aplicar políticas. Sustituirlos por un resolver público podría impedir el acceso a esos recursos. En un equipo administrado, consulta las instrucciones de la organización antes de cambiar el DNS.
No es necesario desactivar IPv6 para configurar DoH. Si necesitas revisar ese protocolo por separado, consulta cómo activar IPv6 en Windows y comprobar la conexión.
Qué modo de cifrado elegir
| Modo | Comportamiento | Cuándo encaja | Límite principal |
|---|---|---|---|
| Solo cifrado | Exige DoH para el servidor configurado. | Cuando no quieres permitir una alternativa mediante DNS tradicional. | La resolución falla si DoH no está disponible. |
| Cifrado preferido | Intenta usar DoH y permite DNS sin cifrar como alternativa. | Cuando priorizas la compatibilidad y aceptas esa degradación. | No garantiza que todas las consultas permanezcan cifradas. |
| Solo sin cifrar | Utiliza DNS tradicional. | Puede servir como comparación temporal durante un diagnóstico. | No proporciona el cifrado buscado con DoH. |
En una red doméstica, Solo cifrado es la elección coherente si quieres impedir el retorno a DNS tradicional y aceptas que la resolución se interrumpa ante un fallo. El modo preferente resulta más tolerante, pero debes asumir que puede utilizar consultas sin cifrar.
Cómo activar DNS sobre HTTPS en Windows 11 desde Configuración
Los nombres y la ubicación exacta de los controles pueden cambiar entre versiones. Aplica los pasos únicamente si tu instalación muestra las opciones indicadas:
- Pulsa Windows + I para abrir Configuración.
- Entra en Red e Internet.
- Selecciona la conexión activa: Wi-Fi o Ethernet.
- Abre sus propiedades y localiza la asignación o configuración del servidor DNS.
- Pulsa Editar y cambia la asignación de automática a Manual.
- Activa IPv4 e introduce las direcciones preferida y alternativa del proveedor elegido.
- Si aparece el selector de cifrado, elige Solo cifrado (DNS sobre HTTPS) o el modo que permita una alternativa sin cifrar, según tu decisión anterior.
- Configura IPv6 solo si dispones de las direcciones IPv6 oficiales del servicio y quieres utilizarlo mediante ese protocolo.
- Guarda los cambios y vuelve a abrir las propiedades para comprobar qué valores han quedado registrados.
Si la interfaz no muestra un selector de cifrado, no des por hecho que introducir una dirección DNS ha activado DoH. Cambiar el resolver y cifrar las consultas son operaciones relacionadas, pero diferentes. La guía sobre cómo cambiar los DNS del operador desarrolla esa distinción.
Elegir las direcciones del resolver
La lista reproducida en la documentación de Microsoft incluye direcciones de Cloudflare, Google y Quad9. Entre las direcciones IPv4 documentadas aparecen:
- Cloudflare:
1.1.1.1y1.0.0.1. - Google:
8.8.8.8y8.8.4.4. - Quad9:
9.9.9.9y149.112.112.112.
La presencia en una lista de servidores conocidos no constituye una recomendación universal. Antes de elegir, consulta la documentación vigente del proveedor, su política de privacidad, las funciones de filtrado y las condiciones aplicables. No mezcles accidentalmente la dirección preferida de un servicio con la alternativa de otro.
Usar PowerShell como apoyo a la configuración
PowerShell permite identificar la interfaz, guardar el estado anterior y asignar direcciones DNS. Como la referencia oficial disponible se aplica a Windows Server, comprueba primero que los cmdlets existen en tu instalación de Windows 11.
1. Comprobar la disponibilidad de los comandos
Get-Command Get-DnsClientDohServerAddress -ErrorAction SilentlyContinue
Get-Command Add-DnsClientDohServerAddress -ErrorAction SilentlyContinue
Get-Command Set-DnsClientServerAddress -ErrorAction SilentlyContinueSi un comando no devuelve información, no continúes copiándolo a ciegas. Utiliza la interfaz gráfica disponible o consulta la documentación correspondiente a la compilación administrada en tu equipo.
2. Identificar el adaptador activo
Get-NetAdapter | Where-Object Status -eq 'Up'Anota el valor de la columna Name. Los ejemplos siguientes utilizan Wi-Fi; tendrás que sustituirlo por el nombre real de tu interfaz.
3. Guardar la configuración anterior
Get-DnsClientServerAddress -InterfaceAlias 'Wi-Fi'Este comando consulta las direcciones asignadas y no debería modificarlas. Guarda el resultado antes de realizar cambios, especialmente si utilizas servidores manuales de una organización.
4. Consultar la lista de servidores DoH conocidos
Get-DnsClientDohServerAddressMicrosoft documenta este cmdlet para consultar los servidores incluidos en la lista conocida del cliente. Que una dirección figure en la salida significa que existe una entrada para ella; no demuestra que una consulta concreta haya viajado cifrada.
5. Asignar las direcciones DNS
Si Set-DnsClientServerAddress está disponible y has confirmado el nombre del adaptador, la asignación puede realizarse con una orden como esta:
Set-DnsClientServerAddress `
-InterfaceAlias 'Wi-Fi' `
-ServerAddresses ('1.1.1.1','1.0.0.1')El comando cambia las direcciones DNS de la interfaz. Después debes revisar en la configuración de red qué modo de cifrado aparece seleccionado. La asignación de una dirección mediante PowerShell no debe interpretarse como prueba suficiente de que DoH se está exigiendo.
6. Registrar un resolver que no esté en la lista
La documentación de Microsoft describe Add-DnsClientDohServerAddress para añadir una dirección, su plantilla DoH y la política de alternativa:
Add-DnsClientDohServerAddress `
-ServerAddress '<IP-del-resolver>' `
-DohTemplate '<plantilla-DoH-oficial>' `
-AllowFallbackToUdp $False `
-AutoUpgrade $TrueNo inventes la plantilla ni utilices una URL tomada de una fuente no oficial. Debe coincidir exactamente con la publicada por el operador del resolver. Si el cmdlet no está presente en tu instalación, no fuerces el procedimiento mediante comandos destinados a otro producto o versión.
Cómo comprobar la configuración y qué demuestra cada prueba
No hay que confundir una resolución correcta con una demostración completa del transporte DoH. Divide la comprobación en varios niveles.
Revisar los ajustes guardados
Vuelve a las propiedades de la interfaz y comprueba:
- Que aparecen las direcciones DNS esperadas.
- Que has modificado el adaptador realmente conectado.
- Que el modo de cifrado coincide con tu decisión.
- Que no has dejado IPv4 o IPv6 con una configuración incompleta.
Esta revisión acredita qué configuración muestra Windows, pero no captura el transporte de una consulta.
Consultar la entrada DoH
Get-DnsClientDohServerAddressSi el cmdlet está disponible, localiza la dirección configurada. Su presencia confirma que existe una entrada conocida para ese servidor, no que todas las peticiones estén utilizando HTTPS.
Vaciar la caché y probar una resolución
ipconfig /flushdns
Resolve-DnsName example.comipconfig /flushdns elimina entradas de la caché del cliente. Resolve-DnsName permite observar si el nombre indicado se resuelve en ese momento. Una respuesta válida demuestra que la resolución funciona, pero no muestra por sí sola si el transporte ha sido DoH, DNS por UDP u otro comportamiento permitido por la configuración.
Distinguir resolución y conectividad TCP
Test-NetConnection -ComputerName example.com -Port 443Esta orden prueba una conexión TCP al puerto 443 del host indicado. Si funciona, acredita el resultado de esa conexión concreta en ese momento. No demuestra que el cliente DNS haya utilizado DoH.
Un ping tampoco valida DNS sobre HTTPS. Cuando recibe respuesta, solo acredita respuesta ICMP desde el destino probado en ese momento. Además, muchos sistemas bloquean ICMP aunque otros servicios estén disponibles.
Interpretar con cuidado las pruebas del navegador
Un navegador puede incluir su propia opción de DNS seguro y utilizar un resolver diferente al configurado en Windows. Una página de diagnóstico abierta en ese navegador podría reflejar su comportamiento, no el del cliente DNS del sistema. Comprueba primero si el navegador sustituye la configuración del sistema.
Para entender el alcance de DoH frente a otras capas de protección, consulta qué puede conseguir HTTPS, el DNS cifrado y una VPN al reducir la información visible para el propietario de una red Wi-Fi.
Errores habituales y cómo aislarlos
No aparece la opción de cifrado
Confirma que estás editando la interfaz activa, que la asignación DNS está en modo manual y que las direcciones pertenecen a un resolver compatible. Si el cmdlet está disponible, consulta la lista conocida:
Get-DnsClientDohServerAddressSi la dirección no figura, puede ser necesario registrar una plantilla oficial. No añadas una plantilla inventada y no asumas que los cmdlets documentados para Windows Server están disponibles en tu edición de Windows 11.
Funciona por dirección IP, pero no por nombre
Ese resultado orienta hacia un problema de resolución, aunque no identifica por sí solo la causa. Revisa las direcciones escritas, el adaptador modificado, la compatibilidad del resolver y el modo de cifrado. Si cambias temporalmente de Solo cifrado a un modo con alternativa y la resolución vuelve, habrás detectado una diferencia de comportamiento, no demostrado la causa definitiva.
Solo cifrado deja el equipo sin resolución
Es el comportamiento esperado cuando el cliente exige DoH y no puede utilizarlo con el servidor configurado. Comprueba la dirección, la plantilla si registraste una manualmente y las restricciones de la red. Si necesitas recuperar el servicio mientras investigas, restaura la configuración anterior.
La configuración funciona en casa, pero no en otra red
Una red corporativa o educativa puede depender de DNS internos o de políticas administrativas. No intentes eludirlas con un resolver público. Recupera los servidores entregados por la red y consulta con su responsable.
Se modificó Wi-Fi, pero el equipo usa Ethernet
La configuración DNS se aplica por interfaz. Una conexión Ethernet, una VPN o un adaptador virtual pueden tener sus propios servidores. Ejecuta Get-NetAdapter y revisa cuál está realmente activo.
Solo falla un dominio
El fallo de una página no demuestra un problema de DoH. Comprueba por separado la resolución del nombre y el acceso al puerto del servicio. También podría existir un error en el servidor, un bloqueo del resolver o un problema específico del dominio.
Cómo desactivar DoH y recuperar el DNS automático
Si antes recibías los servidores DNS automáticamente mediante DHCP, puedes restaurarlos desde la configuración:
- Abre Configuración > Red e Internet.
- Entra en la interfaz Wi-Fi o Ethernet modificada.
- Edita la asignación del servidor DNS.
- Cambia el modo manual a Automático (DHCP).
- Guarda los cambios y vuelve a comprobar las propiedades.
Si Set-DnsClientServerAddress está disponible, también puedes restablecer las direcciones de la interfaz:
Set-DnsClientServerAddress `
-InterfaceAlias 'Wi-Fi' `
-ResetServerAddressesComprueba después el resultado:
Get-DnsClientServerAddress -InterfaceAlias 'Wi-Fi'Si antes tenías servidores manuales, restaura esas direcciones en lugar de seleccionar DHCP. El objetivo es recuperar el estado anotado al principio, no sustituir una configuración manual válida por otra diferente.
Checklist final
- Has identificado la interfaz realmente conectada.
- Has guardado la configuración DNS anterior.
- Has comprobado que el resolver admite DoH.
- Has elegido conscientemente entre cifrado obligatorio y alternativa sin cifrar.
- Has revisado las direcciones y el modo guardado en la interfaz.
- Has comprobado la disponibilidad de los cmdlets antes de ejecutarlos.
- Has probado la resolución después de vaciar la caché.
- No has interpretado
Resolve-DnsName,pingo una prueba del navegador como demostración completa de DoH. - Sabes cómo recuperar DHCP o los servidores manuales anteriores.
Preguntas frecuentes
¿Cambiar los servidores DNS activa DoH automáticamente?
No necesariamente. Cambiar las direcciones determina qué resolver utiliza la interfaz. Además, el servidor debe admitir DoH y el cliente tiene que disponer de una configuración de cifrado compatible.
¿Es mejor Solo cifrado o Cifrado preferido?
Solo cifrado impide la alternativa deliberada a DNS tradicional, pero la resolución falla cuando DoH no está disponible. Cifrado preferido ofrece mayor compatibilidad a cambio de permitir consultas sin cifrar.
¿Resolve-DnsName demuestra que las consultas están cifradas?
No. Demuestra que el nombre se ha resuelto en esa prueba. No muestra por sí mismo el protocolo de transporte utilizado.
¿DNS sobre HTTPS sustituye a una VPN?
No. DoH protege las consultas DNS entre el cliente y el resolver compatible. No crea un túnel para todo el tráfico del equipo.
¿Cómo deshago la configuración?
Recupera la asignación automática mediante DHCP o restaura las direcciones manuales que guardaste antes de empezar. Si el cmdlet está disponible, puedes usar Set-DnsClientServerAddress con -ResetServerAddresses.
Fuentes oficiales para comprobar la configuración
Estas referencias oficiales permiten contrastar los pasos, límites y recomendaciones técnicas descritos.
