{"id":901075,"date":"2026-10-14T17:24:40","date_gmt":"2026-10-14T17:24:40","guid":{"rendered":"https:\/\/www.ninjaone.com\/blog\/habilitar-dns-over-tls-windows-11\/"},"modified":"2026-10-14T17:24:41","modified_gmt":"2026-10-14T17:24:41","slug":"habilitar-dns-over-tls-windows-11","status":"publish","type":"post","link":"https:\/\/www.ninjaone.com\/es\/blog\/habilitar-dns-over-tls-windows-11\/","title":{"rendered":"C\u00f3mo habilitar DNS over TLS (DoT) en Windows 11"},"content":{"rendered":"<p>A medida que internet evoluciona, las estrategias de ataque tambi\u00e9n se vuelven m\u00e1s da\u00f1inas y sofisticadas. Por eso, cifrar el tr\u00e1fico <a href=\"https:\/\/www.ninjaone.com\/es\/blog\/que-es-dns\/\">DNS<\/a> es esencial para mejorar la privacidad en internet y evitar la vigilancia no autorizada o los ataques de <a href=\"https:\/\/www.ninjaone.com\/es\/it-hub\/endpoint-security\/que-es-la-suplantacion-de-dns\/\">suplantaci\u00f3n de DNS<\/a>. Una forma de conseguirlo es activar <strong>DNS over TLS<\/strong> (DoT), un protocolo DNS seguro que cifra el tr\u00e1fico del sistema de nombres de dominio (DNS) mediante <a href=\"https:\/\/www.ninjaone.com\/es\/blog\/tls-handshake\/\">Transport Layer Security (TLS)<\/a>.<\/p>\n<p>Windows 11 admite de forma nativa DNS over <a href=\"https:\/\/www.ninjaone.com\/it-hub\/endpoint-security\/what-is-https\/\">HTTPS<\/a> (DoH) a trav\u00e9s de un m\u00e9todo basado en el registro. En esta gu\u00eda te explicamos todo lo que necesitas saber para habilitar DNS over TLS en Windows 11: requisitos previos, m\u00e9todos de configuraci\u00f3n paso a paso y formas de comprobar que funciona correctamente.<\/p>\n<h2>Requisitos previos<\/h2>\n<p>Antes de empezar, tu sistema debe cumplir estos requisitos:<\/p>\n<ul>\n<li><strong>V\u00e1lido para todas las ediciones de Windows 11: <\/strong>estos pasos funcionan en Windows 11 Home, Pro y Enterprise.<\/li>\n<li><strong>Acceso a servidores DNS compatibles con DoT: <\/strong> necesitar\u00e1s proveedores de DNS que admitan DNS over TLS, como <a href=\"https:\/\/www.quad9.net\/\" target=\"_blank\" rel=\"noopener\">Quad9<\/a>, <a href=\"https:\/\/www.cloudflare.com\/\" target=\"_blank\" rel=\"noopener\">Cloudflare<\/a> o <a href=\"https:\/\/nextdns.io\/\" target=\"_blank\" rel=\"noopener\">NextDNS<\/a>.<\/li>\n<li><strong>Privilegios de administrador:<\/strong> este m\u00e9todo requiere derechos de administrador.<\/li>\n<li><strong>Requiere la compilaci\u00f3n 25158 o posterior:<\/strong> la funci\u00f3n se admite a partir de Windows 11 Insider Build 25158+ (el despliegue de la funci\u00f3n puede variar).<\/li>\n<\/ul>\n<p>Adem\u00e1s, tienes que configurar tu adaptador de red para que use un servidor DNS compatible con DoT. As\u00ed se hace:<\/p>\n<ol>\n<li>Pulsa la <strong>tecla Windows<\/strong> + <strong>I<\/strong> para abrir Configuraci\u00f3n.<\/li>\n<li>Ve a <strong>Red e Internet<\/strong>.\n<ul>\n<li>Para Wi-Fi: <strong>Wi-Fi<\/strong> &gt; <strong>tu red conectada<\/strong> &gt; <strong>Propiedades de hardware<\/strong><\/li>\n<li>Para Ethernet: <strong>Ethernet<\/strong> &gt; <strong>Propiedades<\/strong><\/li>\n<\/ul>\n<\/li>\n<li>En la asignaci\u00f3n de servidores DNS, haz clic en <strong>Editar<\/strong>.<\/li>\n<li>Cambia a <strong>Manual<\/strong> y activa <strong>IPv4<\/strong>.<\/li>\n<li>Introduce las direcciones DNS de Quad9:\n<ul>\n<li>DNS preferido: <strong>9.9.9.9<\/strong><\/li>\n<li>DNS alternativo: <strong>149.112.112.112<\/strong><\/li>\n<\/ul>\n<\/li>\n<li>(Opcional) Configura IPv6:\n<ul>\n<li>DNS preferido: <strong>2620:fe::fe<\/strong><\/li>\n<li>DNS alternativo: <strong>2620:fe::9<\/strong><\/li>\n<\/ul>\n<\/li>\n<li>Repite el proceso para las entradas preferida y alternativa.<\/li>\n<li>Haz clic en <strong>Guardar<\/strong> y vuelve a conectar la red.<\/li>\n<\/ol>\n<p>Una vez hecho esto, puedes continuar con el m\u00e9todo del Editor del Registro para forzar el DNS cifrado.<\/p>\n<h2>Pasos para configurar DNS over TLS (DoT)<\/h2>\n<p><a href=\"https:\/\/www.google.com\/search?client=safari&#038;rls=en&#038;q=%E2%9A%A0%EF%B8%8F&#038;ie=UTF-8&#038;oe=UTF-8\" target=\"_blank\" rel=\"noopener\">\u26a0\ufe0f<\/a><strong> Advertencia: <\/strong>editar el registro puede provocar problemas en el sistema. <a href=\"https:\/\/www.ninjaone.com\/es\/blog\/copia-de-seguridad-registro-de-windows\/\">Crea una copia de seguridad<\/a> antes de continuar.<\/p>\n<p><strong>\ud83d\udca1 Nota: <\/strong>no existe ninguna clave de registro que fuerce el uso exclusivo de DoT. Este m\u00e9todo habilita el DNS cifrado y deja la elecci\u00f3n del protocolo (DoT o DoH) en manos de Windows y del solucionador de DNS.<\/p>\n<p>Para configurar DNS over TLS (DoT) en Windows 11 puedes usar el Editor del Registro. Este m\u00e9todo es el m\u00e1s adecuado para usuarios avanzados o administradores de TI que gestionan varios sistemas.<\/p>\n<p>Estos son los pasos:<\/p>\n<ol>\n<li>Abre el Editor del Registro:\n<ul>\n<li>Pulsa la <strong>tecla Windows<\/strong> + <strong>R<\/strong>, escribe <strong>regedit<\/strong> y pulsa <strong>Intro<\/strong>.<\/li>\n<\/ul>\n<\/li>\n<li>Ve a los par\u00e1metros del cliente DNS:\n<ul>\n<li>Dir\u00edgete a: <em>HKEY_LOCAL_MACHINE\\SYSTEM\\CurrentControlSet\\Services\\Dnscache\\Parameters<\/em><\/li>\n<\/ul>\n<\/li>\n<li>Crea o modifica las entradas del solucionador:\n<ul>\n<li>En este paso vas a configurar valores de registro que indican a Windows que use DNS cifrado. Aunque Microsoft no ofrece una configuraci\u00f3n de registro exclusiva para DoT, estos valores imponen un comportamiento de DNS cifrado. Windows negociar\u00e1 <strong>DoT o DoH<\/strong>, seg\u00fan lo que admita el servidor DNS indicado. As\u00ed se hace:\n<ul>\n<li>A\u00f1ade la clave DoHServerList. Haz clic derecho en el panel derecho y elige <strong>Nuevo <\/strong>&gt;<strong> Valor de cadena<\/strong>.<\/li>\n<li>Ponle este nombre: <strong>DoHServerList<\/strong><\/li>\n<li>Haz doble clic en ella e introduce la URL de un solucionador seguro, como: <strong>https:\/\/dns.quad9.net\/dns-query<\/strong><\/li>\n<li>A\u00f1ade la clave DoHPolicy. Haz clic derecho en el panel derecho y elige <strong>Nuevo<\/strong> &gt; <strong>Valor DWORD (32 bits)<\/strong>.<\/li>\n<li>Ponle este nombre: <strong>DoHPolicy<\/strong><\/li>\n<li>Haz doble clic en ella y asigna el valor <strong>2<\/strong><\/li>\n<\/ul>\n<\/li>\n<\/ul>\n<\/li>\n<\/ol>\n<p>Esta configuraci\u00f3n impone la resoluci\u00f3n DNS cifrada (DoH o DoT, seg\u00fan cu\u00e1l se admita).<\/p>\n<h2>C\u00f3mo comprobar que DNS over TLS funciona<\/h2>\n<p>Una vez configurado un solucionador de DNS seguro, confirma que DNS over TLS est\u00e1 activo. Puedes hacerlo de dos formas:<\/p>\n<h3>M\u00e9todo 1: el m\u00e1s sencillo \u2013 nslookup<\/h3>\n<p>La manera m\u00e1s f\u00e1cil de confirmar que DNS over TLS est\u00e1 activo es ejecutar una prueba r\u00e1pida de resoluci\u00f3n:<\/p>\n<ol>\n<li>Pulsa la <strong>tecla Windows<\/strong>, escribe <strong>cmd<\/strong> y abre el <strong>S\u00edmbolo del sistema<\/strong>.<\/li>\n<li>Ejecuta el siguiente comando:<\/li>\n<\/ol>\n<p style=\"padding-left: 40px;\"><strong><code>nslookup google.com<\/code><\/strong><\/p>\n<ol start=\"3\">\n<li>Si DoT est\u00e1 bien configurado, deber\u00edas ver tu servidor DNS seguro en la parte superior del resultado. Por ejemplo:<\/li>\n<\/ol>\n<p style=\"padding-left: 40px;\"><strong><code>Server: dns9.quad9.net<\/code><\/strong><\/p>\n<p style=\"padding-left: 40px;\"><strong><code>Address: 9.9.9.9<\/code><\/strong><\/p>\n<p>Si el resultado muestra el solucionador compatible con DoT que has configurado (por ejemplo, Quad9, Cloudflare o NextDNS), el DNS cifrado est\u00e1 funcionando.<\/p>\n<h3>M\u00e9todo 2: verificaci\u00f3n avanzada \u2013 netstat, Wireshark, PowerShell<\/h3>\n<p>Para confirmar con m\u00e1s detalle que se est\u00e1 usando DoT (y no DoH ni DNS en texto plano), tambi\u00e9n puedes hacer lo siguiente:<\/p>\n<ol>\n<li>Pulsa la <strong>tecla Windows <\/strong>para abrir el men\u00fa Inicio y escribe <strong>PowerShell<\/strong>. Haz clic en PowerShell.<\/li>\n<li>Ejecuta el siguiente comando: <strong><code>Get-DnsClientDohServerAddress<\/code><\/strong>. Mostrar\u00e1 una lista de los servidores DNS cifrados configurados en tu sistema.\n<ul>\n<li>Si tu solucionador compatible con DoT\/DoH (por ejemplo, Quad9, Cloudflare o NextDNS) aparece en el resultado, el DNS cifrado est\u00e1 activo.<\/li>\n<li>Si no aparece ninguna entrada, o solo aparecen solucionadores en texto plano, la configuraci\u00f3n no se ha aplicado correctamente.<\/li>\n<\/ul>\n<\/li>\n<li>Para confirmar que se est\u00e1 usando DoT (y no DoH ni DNS en texto plano), puedes recurrir a netstat y buscar conexiones salientes en el puerto 853, reservado para DNS over TLS.\n<ul>\n<li>Ejecuta el siguiente comando: <strong><code>netstat -an | findstr :853<\/code><\/strong><\/li>\n<li>Si ves entradas con una conexi\u00f3n <strong>ESTABLISHED<\/strong> a tu servidor DNS en el puerto 853, DoT est\u00e1 activo.<\/li>\n<\/ul>\n<\/li>\n<li>Tambi\u00e9n puedes usar <strong>Wireshark<\/strong> o <strong>netstat<\/strong> para confirmar el tr\u00e1fico DNS cifrado en el puerto 853 (para DoT).\n<ul>\n<li>Abre Wireshark e inicia una captura en tu interfaz de red activa.<\/li>\n<li>En la barra de filtros, introduce lo siguiente: <strong>tcp.port == 853<\/strong><\/li>\n<li>As\u00ed solo se mostrar\u00e1 el tr\u00e1fico de DNS over TLS. Si ves paquetes hacia o desde el servidor DNS que has configurado (por ejemplo, <strong>9.9.9.9<\/strong>), queda confirmado que se est\u00e1 usando DoT.<\/li>\n<\/ul>\n<\/li>\n<li>Otra opci\u00f3n es consultar el diagn\u00f3stico de tu solucionador de DNS desde un navegador despu\u00e9s de la configuraci\u00f3n.<\/li>\n<\/ol>\n<h2>\u26a0\ufe0f Aspectos a tener en cuenta<\/h2>\n<table>\n<tbody>\n<tr>\n<td><strong>Riesgos<\/strong><\/td>\n<td><strong>Posibles consecuencias<\/strong><\/td>\n<td><strong>C\u00f3mo revertirlo<\/strong><\/td>\n<\/tr>\n<tr>\n<td>Configuraci\u00f3n incorrecta del registro<\/td>\n<td>La resoluci\u00f3n DNS puede fallar o los solucionadores cifrados no aplicarse.<\/td>\n<td style=\"word-break: break-word; overflow-wrap: break-word;\">Abre el Editor del Registro. Ve a <em>HKEY_LOCAL_MACHINE\\SYSTEM\\CurrentControlSet\\Services\\Dnscache\\Parameters<\/em>. Revisa o elimina las claves <strong>DoHPolicy<\/strong> o <strong>DoHServerList<\/strong> incorrectas.<\/td>\n<\/tr>\n<tr>\n<td>AllowFallbackToUdp configurado como <strong>$true<\/strong><\/td>\n<td>Si el respaldo est\u00e1 habilitado, el sistema puede volver a usar DNS sin cifrar cuando DoT falla.<\/td>\n<td>Vuelve a configurarlo con el respaldo deshabilitado:<\/p>\n<ul>\n<li><strong><code>-AllowFallbackToUdp $false<\/code> para imponer una resoluci\u00f3n DNS exclusivamente cifrada.<\/strong><\/li>\n<\/ul>\n<\/td>\n<\/tr>\n<tr>\n<td>Firewall que bloquea el puerto 853<\/td>\n<td>El tr\u00e1fico de DNS over TLS se bloquea, lo que puede hacer que el DNS falle o pase a texto plano.<\/td>\n<td>Aseg\u00farate de permitir el tr\u00e1fico TCP saliente en el puerto 853. Compru\u00e9balo con:<\/p>\n<p><strong><code>netstat -an<\/code><\/strong><\/td>\n<\/tr>\n<tr>\n<td>Uso de un proveedor de DNS sin compatibilidad con DoT<\/td>\n<td>El DNS cifrado no funcionar\u00e1; el sistema puede pasar a texto plano o a DoH.<\/td>\n<td>Cambia a un solucionador que admita DoT (por ejemplo, <strong>Quad9 \u2013 9.9.9.9, Cloudflare \u2013 1.1.1.1, NextDNS<\/strong>).<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<h2>\u00bfPor qu\u00e9 usar DNS over TLS?<\/h2>\n<p>Hay varios motivos por los que usar DNS over TLS se ha vuelto imprescindible. Estos son algunos:<\/p>\n<ul>\n<li><strong>Proteger el DNS:<\/strong> al cifrar las consultas DNS, DoT protege las peticiones de los endpoints frente a la interceptaci\u00f3n y la manipulaci\u00f3n.<\/li>\n<li><strong>Mejorar la privacidad en la resoluci\u00f3n DNS de los endpoints:<\/strong> DoT impide que las consultas de dominios se rastreen con facilidad.<\/li>\n<li><strong>Favorecer una comunicaci\u00f3n DNS segura:<\/strong> DNS over TLS refuerza la protecci\u00f3n en comunicaciones donde la interceptaci\u00f3n de DNS es m\u00e1s probable, como en entornos empresariales y en redes p\u00fablicas.<\/li>\n<li><strong>Cumplir las pol\u00edticas de seguridad actuales:<\/strong> algunos sectores, marcos normativos o l\u00edneas base de seguridad recomiendan o exigen protocolos DNS cifrados.<\/li>\n<\/ul>\n<h2>Otras consideraciones<\/h2>\n<p>Estos son algunos factores que debes tener en cuenta al habilitar DNS over TLS (DoT):<\/p>\n<ul>\n<li><strong>Puerto TCP 853:<\/strong> DoT utiliza el puerto 853; aseg\u00farate de que no est\u00e9 bloqueado por firewalls ni pol\u00edticas de red. Si usas el Firewall de Windows Defender, puede que tengas que permitir las conexiones TCP salientes en el puerto 853 desde <em>Firewall de Windows Defender con seguridad avanzada<\/em>.<\/li>\n<li><strong>Deshabilitar el respaldo a DNS en texto plano:<\/strong> <strong>Fallback: <code>-AllowFallbackToUdp $false<\/code><\/strong> garantiza que no se use DNS en texto plano si el cifrado falla.<\/li>\n<li><strong>T\u00fanel dividido y VPN:<\/strong> el DNS cifrado puede entrar en conflicto con la configuraci\u00f3n DNS que imponen las VPN corporativas.<\/li>\n<li><strong>Limitaciones de las directivas de grupo:<\/strong> la compatibilidad nativa de GPO con DoT es limitada. Para despliegues empresariales se recomienda usar scripts.<\/li>\n<\/ul>\n<h2>Habilitar DNS over TLS (DoT) en Windows 11<\/h2>\n<p>En una \u00e9poca de intrusiones y ciberataques cada vez m\u00e1s sofisticados, habilitar DNS over TLS se ha convertido en una defensa valiosa para mejorar la privacidad de tu sistema. Esta estrategia cifra el tr\u00e1fico DNS y reduce el riesgo de interceptaci\u00f3n o suplantaci\u00f3n. Aunque la configuraci\u00f3n no est\u00e1 disponible directamente desde la interfaz gr\u00e1fica, DoT se puede configurar editando el registro. Puedes confirmar que la configuraci\u00f3n ha funcionado con PowerShell o con una captura de red que muestre el uso del puerto 853 (DoT).<\/p>\n<h3><strong>Temas relacionados:<\/strong><\/h3>\n<ul>\n<li><a href=\"https:\/\/www.ninjaone.com\/es\/blog\/que-es-dns\/\">\u00bfQu\u00e9 es el DNS? Definici\u00f3n y funcionamiento<\/a><\/li>\n<li><a href=\"https:\/\/www.ninjaone.com\/es\/blog\/configurar-servidor-dns\/\">C\u00f3mo configurar un servidor DNS: gu\u00eda paso a paso<\/a><\/li>\n<li><a href=\"https:\/\/www.ninjaone.com\/es\/blog\/tls-handshake\/\">\u00bfQu\u00e9 es un handshake TLS y c\u00f3mo funciona?<\/a><\/li>\n<li><a href=\"https:\/\/www.ninjaone.com\/it-hub\/endpoint-security\/what-is-https\/\">\u00bfQu\u00e9 es HTTPS?<\/a><\/li>\n<\/ul>\n","protected":false},"excerpt":{"rendered":"<p>A medida que internet evoluciona, las estrategias de ataque tambi\u00e9n se vuelven m\u00e1s da\u00f1inas y sofisticadas. Por eso, cifrar el tr\u00e1fico DNS es esencial para mejorar la privacidad en internet y evitar la vigilancia no autorizada o los ataques de suplantaci\u00f3n de DNS. Una forma de conseguirlo es activar DNS over TLS (DoT), un protocolo [&hellip;]<\/p>\n","protected":false},"author":35,"featured_media":539668,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"_acf_changed":false,"_relevanssi_hide_post":"","_relevanssi_hide_content":"","_relevanssi_pin_for_all":"","_relevanssi_pin_keywords":"","_relevanssi_unpin_keywords":"","_relevanssi_related_keywords":"","_relevanssi_related_include_ids":"","_relevanssi_related_exclude_ids":"","_relevanssi_related_no_append":"","_relevanssi_related_not_related":"","_relevanssi_related_posts":"","_relevanssi_noindex_reason":"","_lmt_disableupdate":"","_lmt_disable":"","footnotes":""},"categories":[3025],"tags":[],"class_list":["post-901075","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-it-ops"],"acf":[],"modified_by":null,"_links":{"self":[{"href":"https:\/\/www.ninjaone.com\/es\/wp-json\/wp\/v2\/posts\/901075","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.ninjaone.com\/es\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.ninjaone.com\/es\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.ninjaone.com\/es\/wp-json\/wp\/v2\/users\/35"}],"replies":[{"embeddable":true,"href":"https:\/\/www.ninjaone.com\/es\/wp-json\/wp\/v2\/comments?post=901075"}],"version-history":[{"count":1,"href":"https:\/\/www.ninjaone.com\/es\/wp-json\/wp\/v2\/posts\/901075\/revisions"}],"predecessor-version":[{"id":901076,"href":"https:\/\/www.ninjaone.com\/es\/wp-json\/wp\/v2\/posts\/901075\/revisions\/901076"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/www.ninjaone.com\/es\/wp-json\/wp\/v2\/media\/539668"}],"wp:attachment":[{"href":"https:\/\/www.ninjaone.com\/es\/wp-json\/wp\/v2\/media?parent=901075"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.ninjaone.com\/es\/wp-json\/wp\/v2\/categories?post=901075"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.ninjaone.com\/es\/wp-json\/wp\/v2\/tags?post=901075"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}