- El DNS tradicional envia les peticions en text pla, exposant els dominis que visites al teu operador ia tercers.
- DNS sobre HTTPS (DoH) xifra les consultes DNS dins de HTTPS, dificultant l'espionatge i la manipulació del trànsit.
- Windows 11 permet activar DoH fàcilment des de la configuració de xarxa usant servidors compatibles com Cloudflare, Google o Quad9.
- El Windows Server 2022 també suporta DoH i el seu ús es pot gestionar mitjançant PowerShell i directiva de grup en entorns corporatius.
Si et preocupa cada vegada més el que els altres poden veure de la teva activitat a Internet , Windows 11 té un ajust molt potent que gairebé ningú fa servir i que pot marcar una gran diferència en la teva privadesa: el xifratge de DNS mitjançant DNS sobre HTTPS (DoH). Amb un parell de canvis a la configuració, les vostres peticions DNS deixaran de viatjar en text pla i passaran a anar protegides dins d'una connexió segura.
Activar DoH a Windows 11 no requereix instal·lar programes rars ni ser un expert en xarxes; és una cosa que pots configurar en pocs minuts des de les opcions del sistema. A canvi, aconseguireu que el vostre proveïdor d'Internet, els administradors d'una xarxa pública o fins i tot possibles atacants tinguin molt més difícil espiar quins webs visites, registrar els vostres hàbits de navegació o manipular algunes connexions . Veurem amb calma què és DoH, per què val la pena, com activar-lo pas a pas i quines opcions avançades hi ha a l'ecosistema Windows.
Què és el DNS i per què afecta tant la teva privadesa
Quan escrius una adreça com adslzone.com o qualsevol altra pàgina al navegador , el teu ordinador no es connecta directament usant aquest text. El que realment entén la xarxa són adreces IP numèriques, així que abans de carregar la web heu de preguntar a un servidor DNS on està allotjat aquest domini.
El DNS funciona com una mena de guia telefònica d'Internet : tu dónes un nom i ell et torna el número (la IP) corresponent. El problema és que, a la configuració per defecte, aquesta consulta viatja sense xifrar, en text pla. Això vol dir que qualsevol equip intermedi entre el teu PC i Internet —el teu operador, un punt d'accés Wi-Fi públic, un router compromès, un atacant a la mateixa xarxa…— pot veure les adreces que estàs resolent.
A més, molts proveïdors aprofiten aquesta situació per generar un historial molt detallat de totes les webs que visites . És informació extremadament sensible, perquè permet perfilar-te com a usuari: quins serveis fas servir, quins interessos tens, quins horaris maneges, etc. Aquestes dades es poden fer servir per a publicitat, vendre's a tercers o, en el pitjor dels casos, acabar en mans d'actors maliciosos.
També cal tenir en compte que, en anar sense xifrat, certes entitats poden aplicar bloquejos de pàgines a nivell de DNS , redirigir dominis a webs amb publicitat o fins i tot manipular respostes per llançar atacs. Tot això es fa aprofitant precisament que el trànsit DNS tradicional viatja clar i sense integritat garantida.
Què és DNS sobre HTTPS (DoH) i quins avantatges té
DNS sobre HTTPS, o DoH, és un sistema que pren aquestes peticions DNS de tota la vida i les encapsula dins una connexió HTTPS xifrada . És el mateix tipus de xifratge que es fa servir quan entres en una web segura amb cadenat al navegador, però aplicat al canal que utilitza el teu equip per resoldre noms de domini.
Amb DoH actiu, les consultes DNS deixen de ser fàcilment visibles per a qualsevol que estigui al mig del camí. L'únic que veureu és el trànsit HTTPS xifrat cap al servidor del proveïdor DNS . No podreu llegir quins dominis preguntes, ni modificar la resposta sense trencar la seguretat de la connexió.
Entre els principals avantatges d'activar DNS sobre HTTPS a Windows 11 en destaquen diverses de molt clares: d'una banda, el teu operador ja no pot veure ni registrar còmodament tot el teu historial de dominis; de l'altra, es complica molt la intercepció o manipulació de les peticions per part de tercers . A més, en alguns casos et pot ajudar a saltar-te certs bloquejos bàsics implementats a nivell DNS per alguns proveïdors.
Convé tenir en compte que el xifratge introdueix un petit procés extra a cada consulta, però a la pràctica la pèrdua de rendiment sol ser mínima o imperceptible per a la majoria d'usuaris. A canvi, la millora en privadesa i seguretat és considerable, així que el balanç sol sortir molt a favor d'activar-lo.
Com activar DNS sobre HTTPS (DoH) a Windows 11 pas a pas
Windows 11 inclou suport nadiu per a DNS sobre HTTPS, així que no necessites programes externs. El procés es resumeix en dues parts: configurar manualment uns servidors DNS compatibles amb DoH i després triar el tipus de xifratge que vols fer servir per a aquests servidors.
1. Accedeix a la configuració de xarxa de Windows 11
Primer de tot és obrir l'aplicació de Configuració del sistema. La forma més ràpida és prémer tecles Windows + I alhora. També pots fer-ho des del menú Inici, però la drecera és més còmode si ho repetiràs diverses vegades.
Dins de Configuració, aneu a l'apartat «Xarxa i Internet» . Aquí veuràs les opcions tant per a connexions Wi-Fi com per a Ethernet (cable). Escull la que estiguis usant en aquell moment: si navegues per Wi-Fi, fes clic a «Wi-Fi»; si estàs per cable, entra a «Ethernet».
Un cop dins de la secció corresponent, localitza la teva connexió activa i fes clic a Propietats de maquinari oa l'entrada que mostri els detalls de la xarxa. Des d'aquí podreu modificar la configuració d'IP i de DNS per a aquesta interfície concreta.
2. Canvieu l'assignació de DNS a manual
A les propietats de la teva connexió veuràs un apartat anomenat «Assignació de servidor DNS» . El normal és que estigui a «Automàtic (DHCP)», la qual cosa significa que el teu router o el teu operador són els que decideixen quin DNS uses i com es gestionen aquestes peticions.
Feu clic al botó Edita d'aquesta secció. S'obrirà una finestra emergent on heu de seleccionar l'opció Manual al desplegable de configuració. Aquest canvi permet que siguis tu qui indiqui quins servidors DNS vols fer servir en lloc d'acceptar els que t'assigna la xarxa.
Dins de la configuració manual, activeu l'interruptor d' IPv4 i, si la vostra xarxa ho admet, també l' IPv6 . La majoria de connexions domèstiques funcionen perfectament amb IPv4, però cada cop és més habitual disposar d'IPv6, així que convé habilitar-ho si està disponible perquè les consultes es facin també per aquest protocol.
3. Tria servidors DNS compatibles amb DoH
Un cop habilitat el mode manual, veureu els camps per introduir les adreces IP dels servidors DNS. Aquí és on heu de posar les dades d'un proveïdor que suporti DNS sobre HTTPS de forma oficial , ja que Windows 11 porta registrada una llista interna de Windows de servidors DoH coneguts.
Alguns dels més usats, inclosos ja a la llista interna de Windows perquè es configuri el xifrat automàticament, són els següents:
- Cloudflare: 1.1.1.1 com a DNS preferit i 1.0.0.1 com a DNS alternatiu. També tenen adreces IPv6 2606:4700:4700::1111 i 2606:4700:4700::1001.
- DNS públic de Google: 8.8.8.8 com a servidor preferit i 8.8.4.4 com a alternatiu. A IPv6 utilitzen 2001:4860:4860::8888 i 2001:4860:4860::8844.
- Quad9: 9.9.9.9 com a preferit i 149.112.112.112 com a alternatiu. A IPv6 compten, entre d'altres, amb 2620:fe::fe i 2620:fe::fe:9.
Introdueix, per exemple, les adreces de Google o Cloudflare als camps de DNS preferit i DNS alternatiu per a IPv4. Si també teniu activat IPv6, omple els seus corresponents textos amb les IPs v6 del proveïdor triat. A partir d'aquí, Windows 11 sabrà que aquests servidors admeten DoH i us podrà oferir les diferents opcions de xifrat.
4. Configura el xifratge DNS (DoH) a Windows 11
Just sota les adreces DNS de cada protocol apareixen una o diverses opcions relacionades amb el xifratge, segons la versió del Windows 11 que tinguis i el tipus de servidor que hagis posat. És on podreu activar DNS sobre HTTPS i decidir el comportament exacte del vostre equip amb aquestes consultes.
En moltes configuracions, Windows mostra un menú Xifratge DNS o DNS sobre HTTPS per al DNS preferit i l'alternatiu. Aquí et pots trobar, entre altres, aquestes possibilitats:
- Només xifrat (DNS sobre HTTPS): el client intentarà sempre utilitzar DoH amb aquest servidor. Si falla el servidor o la connexió segura, no es farà la consulta en text pla.
- Xifrat preferit, sense xifrar permès (o un text similar): primer s'intenta DoH i, si no és possible, es torna a les consultes clàssiques sense xifratge.
- Només sense xifrar: desactiva DoH per a aquest servidor específic, usant només DNS de text pla tradicional.
Si la vostra prioritat és la privadesa i voleu anar a totes, seleccioneu «Només xifrat (DNS sobre HTTPS)» tant al servidor preferit com a l'alternatiu . D'aquesta manera, tot el trànsit DNS cap a aquests servidors viatjarà sempre dins HTTPS i mai en clar.
En alguns textos de la interfície també podeu aparèixer l'opció «Activat (plantilla automàtica)» . Això indica que Windows 11 reconeix el servidor com a part de la llista de resolutors DoH coneguts i utilitza automàticament la plantilla HTTPS adequada per enviar les consultes xifrades, sense que hagis d'indicar-la a mà.
5. Usa plantilles DoH manuals amb proveïdors específics
Per a alguns servidors, o si vols tenir un control encara més fi, pots trobar-te amb la possibilitat de fer servir una «plantilla manual» de DNS a través de HTTPS . Això serveix per indicar directament l'URL que utilitza el proveïdor per al vostre servei DoH.
És el cas, per exemple, de certes configuracions avançades de Quad9, on podeu especificar una plantilla concreta que inclogui opcions com ECS (EDNS Client Subnet) perquè les resolucions es facin des del datacenter més proper a la vostra ubicació . En aquest camp de plantilla s'introdueix una mica de l'estil de la URL que el proveïdor documenti per al vostre endpoint DoH.
Si escolliu l'opció de plantilla manual, assegureu-vos de copiar exactament l'adreça que proporciona el servei DNS a la vostra documentació oficial. Un error tipogràfic podria fer que el xifratge no funcioni o que directament no es resolguin els dominis.
Com comprovar si DNS sobre HTTPS està funcionant
Un cop heu desat els canvis en la configuració de la vostra connexió, el més normal és que les peticions DNS ja estiguin viatjant xifrades. Tot i així, val la pena fer un parell de comprovacions per assegurar-te que tot s'ha aplicat correctament i que no estàs navegant encara en text pla sense adonar-te'n.
Verificació des de la pròpia configuració de Windows
Torna a la ruta Configuració > Xarxa i Internet > Wi-Fi o Ethernet (segons estiguis usant una o altra) i entra de nou a les propietats de maquinari de la teva connexió. Baixa fins a la secció on apareixen les adreces del servidor DNS que acabes de configurar.
Si tot està en ordre, al costat de cada adreça IP dels servidors DNS hauria d'aparèixer alguna indicació com ara ((Encriptat)) o un text similar . Aquesta etiqueta és la manera més ràpida de confirmar que Windows ha reconegut el servidor com a compatible amb DoH i que està aplicant el xifratge a les consultes.
Comprovar DoH amb PowerShell
Una altra manera molt fiable de comprovar l'estat del DNS sobre HTTPS és fer servir PowerShell , la consola avançada de Windows. Per fer-ho, obre el menú Inici, cerca «PowerShell» , fes clic dret i selecciona «Executar com a administrador» per tenir els permisos necessaris.
A la finestra que s'obre, escriu la següent ordre i prem Enter :
Get-DnsClientDohServerAddress
La sortida d'aquesta ordre mostrarà la llista de servidors DoH que el client DNS de Windows coneix , incloent-hi els que heu configurat. Veureu les vostres adreces IP i un indicador d'estat. Si apareix "Habilitat" per als vostres DNS configurats, significa que el vostre equip està usant DoH amb ells.
Usar proves en línia per confirmar el xifratge
Com a comprovació addicional, podeu recórrer a pàgines de prova ofertes per alguns proveïdors de DNS. Per exemple, Cloudflare disposa d'eines en línia que permeten veure si el vostre navegador està usant DNS sobre HTTPS o DNS sobre TLS . Només heu d'accedir a una d'aquestes pàgines des del vostre navegador habitual i seguir les instruccions que mostrin.
Encara que aquestes proves se centren en el navegador, són una bona referència per complementar el que heu vist en la configuració de Windows i en PowerShell, confirmant que les consultes surten xifrades des del vostre sistema.
DNS sobre HTTPS al Windows Server 2022 i directiva de grup
A més de Windows 11, Microsoft ha incorporat suport per a DNS sobre HTTPS al Windows Server a partir de la versió 2022 . En aquests sistemes, el client DNS pot establir connexions xifrades mitjançant HTTPS cap a servidors que estiguin a la llista de resolutors DoH coneguts, de manera similar a com passa a l'entorn d'escriptori.
Al Windows Server amb experiència d'escriptori, la configuració bàsica es fa des del mateix panell de Configuració > Xarxa i Internet > Ethernet . Selecciones la interfície de xarxa a configurar, entres a la pantalla de xarxa, baixes fins a «Configuració de DNS» i prems a «Editar» per canviar el mode d'automàtic a manual, igual que a Windows 11.
A partir d'aquí, introduïu servidors DNS que estiguin a la llista de servidors DoH coneguts . Si ho estan, s'habilitarà el desplegable «Xifrat DNS preferit», des del qual podeu triar entre diversos comportaments:
- Només xifrat (DNS a través de HTTPS): totes les consultes DNS s'intenten mitjançant DoH. Si el servidor no admet DoH o la connexió HTTPS falla, la resolució també falla.
- S'admeten xifrats preferits i sense xifrar: es prioritza DoH, però si per algun motiu no és possible, es torna a les consultes de DNS en text pla sense xifrar.
- Només sense xifrar: es desactiva DoH per a aquest servidor i es fa servir exclusivament DNS tradicional.
Quan configures les adreces DNS del Windows Server usant PowerShell i el cmdlet Set-DnsClientServerAddress, el comportament DoH depèn de si aquestes adreces apareixen o no a la taula interna de servidors DoH coneguts. En aquest moment, aquesta configuració específica de DoH encara no es pot ajustar amb Centre d’administració de Windows ni amb eines com sconfig.cmd a Server 2022.
Configurar DoH mitjançant directiva de grup
Configuración del equipo\Directivas\Plantillas administrativas\Red\Cliente DNS
En habilitar aquesta directiva , pots triar entre tres comportaments principals per al client DNS:
- Permetre DoH: les consultes es faran mitjançant DNS sobre HTTPS quan els servidors DNS configurats ho suportin. Si no ho suporten, es faran servir consultes sense xifrar.
- Prohibir DoH: impedeix l'ús de DNS sobre HTTPS, forçant sempre DNS tradicional en text pla.
- Requerir DoH: obliga que totes les consultes es facin amb DoH; si els servidors no ho accepten, la resolució de noms falla.
És important anar amb compte amb l'opció «Requerir DoH» en equips units a un domini perquè els serveis d'Active Directory depenen fortament de DNS tradicional i el rol de Servidor DNS de Windows no admet consultes DoH de forma nativa. En xarxes d'aquest tipus, si voleu protegir el trànsit DNS intern, sol ser millor recórrer a solucions com a regles de seguretat de connexió basades en IPsec per xifrar el trànsit entre clients i servidors.
Llista de servidors DoH coneguts a Windows
Tant Windows 11 com Windows Server inclouen de sèrie una llista de servidors DNS que se sap que admeten DoH . Aquesta llista és la que permet que el sistema habiliti de manera automàtica les opcions de xifratge i les plantilles automàtiques per a aquests servidors concrets.
Per veure quins servidors estan en aquesta llista, podeu utilitzar el cmdlet Get-DnsClientDohServerAddress a PowerShell. Entre els proveïdors més habituals que apareixen hi ha Cloudflare, Google i Quad9, amb les seves adreces IPv4 i IPv6 més conegudes, com les ja comentades 1.1.1.1, 8.8.8.8 o 9.9.9.9 juntament amb les alternatives.
Si voleu afegir un servidor nou a aquesta taula de coneguts, per exemple un resolutor propi o un d'un tercer especialitzat, podeu utilitzar l'ordre Add-DnsClientDohServerAddress indicant la IP del servidor, la plantilla DoH i si permets o no tornar a UDP en cas de fallada:
Add-DnsClientDohServerAddress -ServerAddress "<IP-del-resolvedor>" -DohTemplate "<URL-plantilla-DoH>" -AllowFallbackToUdp $False -AutoUpgrade $True
D'aquesta manera, Windows sabrà que aquest servidor suporta DoH, intentarà sempre utilitzar-lo de forma segura i, segons l'opció triada, evitarà en tant que sigui possible el retorn a consultes sense xifrar.
Ús de la NRPT (taula de directives de resolució de noms) amb DoH
En escenaris avançats, com ara xarxes corporatives complexes o configuracions híbrides, pots utilitzar la taula de directives de resolució de noms (NRPT) per enviar les consultes de certs dominis a servidors DNS concrets. Si aquests servidors suporten DoH i estan registrats com a tal, les consultes per a aquests espais de noms es faran usant DNS sobre HTTPS.
Això permet, per exemple, que determinats dominis crítics o especialment sensibles es resolguin sempre mitjançant un resolvedor de confiança amb DoH actiu, mentre que la resta del trànsit DNS pot seguir una altra política o utilitzar altres servidors diferents.
Activar i aprofitar DNS sobre HTTPS a Windows 11 —i, quan escaigui, a Windows Server 2022— és una manera força senzilla d' elevar el nivell de privadesa i seguretat de la vostra navegació diària sense canvis dràstics en la forma d'usar l'equip. Amb uns quants passos en la configuració i alguna comprovació extra, les vostres consultes DNS deixaran de ser aquest punt feble que qualsevol podia observar en clar i passaran a viatjar protegides dins d'una connexió xifrada, molt més d'acord amb el que s'espera avui dia d'una connexió segura.
