¿Acabas de empezar a usar DNS sobre HTTPS (DoH)? ¡No te preocupes! Hemos preparado una lista de preguntas frecuentes que pueden resultarte útiles para ponerte al día con todo lo que DoH puede ofrecer. Para obtener más información, consulta Firefox DNS sobre HTTPS.

Cómo funciona DNS sobre HTTPS para los usuarios de Firefox en regiones donde hemos implementado DoH por defecto

¿Cuál es la política de privacidad de DNS sobre HTTPS?

La implementación de DoH es parte de nuestro trabajo para proteger a los usuarios del rastreo generalizado de datos personales en línea. Para ello, Mozilla exige que todos los proveedores de DNS que se pueden seleccionar en Firefox cumplan con nuestra política de resolución a través de un contrato legalmente vinculante. Estos requisitos imponen límites estrictos sobre el tipo de datos que se pueden retener, lo que el proveedor puede hacer con esos datos y durante cuánto tiempo puede retenerlos. Esta estricta política tiene como objetivo proteger a los usuarios de que los proveedores puedan recopilar y monetizar sus datos.

¿Se advertirá a los usuarios cuando esto se active y se les ofrecerá una opción de exclusión?

Sí, se mostrará una notificación en Firefox que no desaparecerá hasta que el usuario tome una decisión sobre si activar o desactivar las protecciones de privacidad de DNS.

¿Podrán los usuarios desactivar DoH?

Sí, pueden desactivar DoH, seleccionar su propio proveedor de DoH y realizar otros cambios de configuración desde el panel Privacy & Security en los ajustes de Firefox, como se explica en el artículo Configurar los niveles de protección de DNS sobre HTTPS en Firefox.

¿Pueden los usuarios optar por la exclusión por adelantado?

Sí, puedes establecer network.trr.mode en 5 manualmente en el Editor de configuración. Puedes encontrar información adicional sobre los modos aquí.

¿Cómo afectará DoH a las empresas con soluciones de DNS personalizadas?

Hemos facilitado que las empresas desactiven esta función. Además, Firefox detectará si se han establecido políticas empresariales en el dispositivo y desactivará DoH en esas circunstancias. Si eres un administrador de sistemas interesado en aprender a configurar políticas empresariales, por favor, revisa la documentación.

¿Cómo afectará DoH a los controles parentales?

Sabemos que algunos proveedores de servicios de internet (ISP) utilizan DNS para ofrecer un servicio de control parental que bloquea el contenido para adultos. La opinión de Mozilla es que el DNS no es el mejor enfoque para los controles parentales, pero tampoco queremos romper los servicios existentes, por lo que verificamos una serie de dominios canarios antes de activar DoH. Si estos dominios indican que los controles parentales están activados, desactivamos DoH. Para obtener información adicional, consulta esta publicación del blog de Mozilla.

¿No pueden las redes simplemente activar la verificación del dominio canario todo el tiempo y desactivar DoH?

Sí, los dominios canarios son una solución que ofrece la mejor seguridad para combatir a los atacantes de la red y evitar romper las implementaciones existentes. Estaremos monitoreando su uso, investigando cualquier incidente de abuso y buscando medidas para contener esos incidentes.

¿Romperá DoH las redes de distribución de contenidos (CDN)?

Somos conscientes de que algunas CDN utilizan la dirección del tráfico basada en DNS que puede verse afectada por DoH. Sin embargo, nuestras mediciones muestran que los tiempos de carga de página con DoH son competitivos en comparación con los tiempos de carga de página con DNS ordinario. Durante y después del período de implementación, estaremos monitoreando el rendimiento de Firefox para ver si existen defectos.

¿Cómo maneja Firefox el DNS de horizonte dividido?

Si Firefox no logra resolver un dominio a través de DoH, recurrirá al DNS. Esto significa que cualquier dominio que solo esté disponible en el DNS ordinario (porque no es público) se resolverá de esa manera. Si tienes un dominio que es de resolución pública pero se resuelve de manera diferente internamente, entonces deberías usar la configuración empresarial para desactivar DoH.

¿Valida DNSSEC?

DNSSEC asegura que las respuestas de DNS no hayan sido manipuladas durante el tránsito, pero no cifra las solicitudes y respuestas de DNS. Hemos priorizado el cifrado de DNS usando DoH para proteger la privacidad del usuario. Estamos considerando la implementación de DNSSEC en el futuro.

Asociaciones de DNS sobre HTTPS

¿Qué resolutor usará Firefox?

En cada país donde lancemos DoH, tendremos un resolutor predeterminado (por ejemplo, en los EE. UU., el resolutor predeterminado es Cloudflare). Los usuarios pueden seleccionar alternativamente de una lista de proveedores adicionales en nuestro programa Trusted Recursive Resolver, que requiere el cumplimiento de nuestros requisitos de política con respecto a la privacidad y seguridad del usuario. Con el tiempo, esperamos agregar más proveedores a nuestro programa Trusted Recursive Resolver. Además, nuestra visión es que DoH sea adoptado y soportado universalmente por todos los resolutores de DNS.

¿Cómo elige Mozilla a sus resolutores de confianza?

Nuestros resolutores predeterminados son capaces de cumplir con los estrictos requisitos de la política que tenemos actualmente. Estos requisitos están respaldados por contratos legalmente vinculantes y se hacen públicos en avisos de privacidad de primer nivel que documentan esas políticas y brindan transparencia a los usuarios.

¿Recibe Mozilla algún pago por enrutar las solicitudes de DNS a sus resolutores predeterminados?

No se intercambia dinero para enrutar las solicitudes de DNS a nuestros socios resolutores predeterminados.

¿Monetizan Mozilla o sus resolutores predeterminados estos datos?

No, nuestra política prohíbe explícitamente la monetización de estos datos. Nuestro objetivo con esta función es proporcionar importantes protecciones de privacidad a nuestros usuarios y dificultar que los resolutores de DNS existentes moneticen los datos de DNS de los usuarios.

Más sobre la implementación de DNS sobre HTTPS en Firefox

¿Cuál es su calendario de implementación?

Implementamos DoH por defecto en los Estados Unidos en 2019, en Canadá en 2021, y en Rusia y Ucrania en marzo de 2022. Actualmente estamos en las etapas de planificación para implementaciones por defecto en regiones adicionales.

¿Están implementando esta opción por defecto en Europa?

Como parte de nuestra estrategia continua para medir cuidadosamente los beneficios y el impacto de DoH, hasta ahora hemos lanzado esta función por defecto solo en Rusia, Ucrania, así como en los EE. UU. y Canadá.

¿Por qué Firefox implementa DoH y no DoT?

El IETF ha estandarizado dos protocolos de DNS sobre transporte seguro: DNS sobre TLS (DoT) y DNS sobre HTTPS (DoH). Estos dos protocolos tienen propiedades de seguridad y privacidad muy similares. Elegimos DoH porque creemos que se adapta mejor a nuestra pila de red de navegador ya madura (que se centra en HTTP) y proporciona un mejor soporte para futuras características de protocolo como la multiplexación HTTP/DNS y QUIC.

¿Es DoT más fácil de detectar y bloquear para los operadores de red?

Sí, y no creemos que esto sea una ventaja. Firefox proporciona mecanismos para que los operadores de red señalen que tienen razones legítimas para que se deshabilite DoH. No creemos que bloquear la conexión con el resolutor sea una respuesta apropiada.

¿No filtra de todos modos los nombres de dominio la Indicación del Nombre del Servidor (SNI)?

Sí, aunque no todos los nombres de dominio se filtran a través de SNI, nos preocupan las fugas de SNI y hemos comenzado a trabajar en el SNI cifrado.

¿Qué son las heurísticas de DoH?

Estas son un conjunto de verificaciones que Firefox realiza antes de activar DoH por defecto para los usuarios en las regiones de implementación, para ver si la activación de DoH tendrá un impacto negativo. (Estas verificaciones se ignoran si activaste DoH explícitamente). Por ejemplo, DoH permanecerá desactivado si las políticas empresariales o los controles parentales están activados. Para obtener más información, consulta Security/DNS Over HTTPS/Heuristics y Configure networks to disable DNS over HTTPS.