Qué es una fuga de DNS y cómo detectarla

Una fuga de DNS ocurre cuando tu dispositivo envía las consultas para resolver nombres de webs fuera del túnel cifrado de la VPN, normalmente hacia tu operador o a otro resolvedor DNS. Eso puede revelar los dominios que visitas, aunque la VPN siga ocultando tu IP pública frente a la web.

La buena noticia es que una fuga de DNS se puede comprobar y, casi siempre, corregir. En esta guía verás qué es DNS, por qué esas consultas importan tanto, cómo se producen las fugas más comunes, cómo hacer una prueba fiable y qué puedes hacer para reducir el riesgo en ordenador, móvil y navegador.

Qué es DNS y por qué importa

DNS significa Domain Name System, o sistema de nombres de dominio. Es la agenda de direcciones de internet. Cuando escribes el nombre de una web en el navegador, tu dispositivo necesita encontrar la dirección del servidor antes de cargar la página.

Tu cerebro recuerda nombres, pero las redes enrutan tráfico con números. Por eso DNS traduce el nombre legible por personas en una dirección IP que entienden los equipos y los routers.

Una consulta DNS normal funciona, en teoría, así:

1. Escribes un dominio o abres una app.
2. Tu dispositivo pregunta a un resolvedor DNS a qué dirección apunta ese dominio.
3. El resolvedor responde con la IP o con otros registros relacionados.
4. Tu dispositivo se conecta al destino y carga el servicio.

El punto clave para la privacidad es que DNS puede revelar intención. Un resolvedor no suele ver la URL completa, ni el artículo exacto, ni el contenido de una sesión HTTPS cifrada. Pero sí puede ver, muchas veces, el dominio que has pedido, como un medio, un banco, un foro de salud, una herramienta de trabajo o una plataforma de streaming.

Por eso el tratamiento de DNS forma parte de la privacidad de una VPN. No se trata solo de cambiar la IP visible para las webs. También debe impedir que el tráfico de consultas salga por una ruta que no está protegida. Si partes de cero, puedes leer qué es una VPN para entender mejor cómo funcionan los túneles.

Qué es una fuga de DNS

Una fuga de DNS es un desajuste entre por dónde va tu tráfico principal y por dónde van tus consultas DNS. Puede pasar que el tráfico web vaya por un servidor VPN, pero que las búsquedas DNS sigan saliendo por tu ISP, tu operador móvil, un resolvedor público configurado en el dispositivo o un resolvedor elegido por el navegador.

Eso crea un hueco de privacidad. La web que visitas puede ver la IP del servidor VPN, pero el resolvedor que queda fuera del túnel puede seguir viendo los dominios que pides. Si ese resolvedor es el de tu operador, tu operador puede inferir gran parte de tu actividad de navegación a partir de los metadatos DNS.

Una fuga de DNS no significa necesariamente que toda la VPN haya fallado. Puede ocurrir aunque el icono marque conexión activa y aunque tu IP pública parezca ser la del servidor VPN. Por eso es fácil pasarla por alto si no la compruebas de forma directa.

Con Crispy VPN, las solicitudes DNS se enrutan por el túnel VPN cuando la app está conectada. Así, las consultas quedan alineadas con la conexión VPN en lugar de caer de nuevo en la red que estás usando.

Qué puede revelar una fuga de DNS

• Nombres de dominio: las webs y servicios que tu dispositivo intenta resolver.
• Momento: cuándo se hacen esas solicitudes.
• Contexto de red: si la consulta salió desde tu fibra, una oficina, un hotel, una red móvil u otra red local.

DNS por sí solo no suele exponer el contenido completo de una página HTTPS segura. Tampoco te vuelve anónimo. Las webs en las que inicias sesión pueden seguir reconociendo tu cuenta, y los rastreadores pueden seguir usando cookies o huellas del navegador. Aun así, merece la pena evitar las fugas de DNS porque dibujan un mapa útil de lo que consultas.

Cómo se produce una fuga de DNS

Las fugas de DNS suelen venir de conflictos de configuración. Los sistemas operativos, los navegadores, las apps de VPN y los adaptadores de red pueden influir en cómo se resuelve DNS. Si esas capas no coinciden, las consultas pueden tomar una ruta inesperada.

Ajustes de DNS del sistema operativo

Tu sistema operativo decide qué servidores DNS usar para cada interfaz de red. Cuando se conecta una VPN, normalmente añade una interfaz virtual y debería enviar el tráfico DNS por esa interfaz. Puede haber fuga si el sistema sigue usando el DNS antiguo del Wi Fi o de Ethernet.

Esto es más probable después de cambios repetidos de red, al suspender y reanudar el equipo, tras iniciar sesión en portales cautivos o después de tocar manualmente la red. Reiniciar la conexión de la VPN muchas veces corrige un problema temporal de enrutado, pero las fugas persistentes necesitan revisar la configuración.

Tratamiento de IPv6

IPv6 es un sistema de direcciones más reciente que puede funcionar junto con IPv4. DNS puede resolver registros de ambos tipos. Si una VPN o un dispositivo enruta bien el tráfico IPv4, pero deja que el DNS IPv6 o el tráfico IPv6 usen la red local, puede aparecer una fuga.

Por eso la prueba debe revisar toda la conexión, no solo si ha cambiado una dirección IPv4 visible. Un resultado limpio significa que tus servidores DNS y la IP pública visible coinciden con la ruta de VPN que querías usar.

Servidores DNS manuales

Mucha gente configura servidores DNS personalizados en un dispositivo, router o navegador para mejorar la velocidad, el filtrado o la fiabilidad. Esos ajustes pueden sobrescribir los DNS que entrega la app de VPN. Si el resolvedor personalizado se consulta fuera del túnel, tienes una fuga de DNS.

No siempre es malo usar DNS manual, pero tiene que encajar con tu objetivo de privacidad. Cuando usas una VPN, la opción más segura por defecto es dejar que la app gestione DNS, salvo que tengas un motivo concreto y sepas muy bien por dónde salen esas consultas.

DNS sobre HTTPS en el navegador

Algunos navegadores ofrecen DNS sobre HTTPS, también llamado DNS seguro. Cifra DNS entre el navegador y un proveedor DNS. Eso puede proteger las consultas frente a la red local, pero también puede saltarse los ajustes DNS de la app de VPN.

Si DNS sobre HTTPS está configurado con un proveedor fuera de la ruta de la VPN, una prueba de fuga puede mostrar ese resolvedor en lugar del DNS de la VPN. Puede ir cifrado, pero sigue sin usar la gestión DNS prevista por la VPN. Las extensiones de navegador también pueden tener sus propias reglas de enrutado, así que la prueba del navegador y la del dispositivo completo pueden dar resultados distintos.

Opciones de split tunneling

El split tunneling permite que algunas apps o webs usen una ruta distinta al resto del tráfico. Es útil cuando quieres parte del tráfico dentro de la VPN y parte fuera. Pero también puede explicar resultados raros en DNS.

Si una app o una web está excluida de la VPN, su DNS también puede quedar fuera, según la plataforma y la implementación. Crispy VPN ofrece split tunneling en Android por app, en iPhone y iPad por web, y en las extensiones del navegador por web. Si lo usas, revisa tus reglas antes de dar por hecho que cada consulta DNS está protegida. Para ampliar, lee qué es split tunneling.

Cómo hacer una prueba de fuga de DNS

Una prueba de fuga de DNS comprueba qué resolvedores pueden ver tus consultas. La idea básica es comparar lo que aparece con la VPN apagada y con la VPN encendida. Si con la VPN conectada siguen apareciendo los DNS de tu operador o de tu red local, probablemente haya una fuga.

Haz la prueba en las mismas condiciones en las que sueles navegar. Si usas sobre todo un navegador concreto, pruébalo ahí. Si usas la app de escritorio o la móvil, comprueba también la conexión del dispositivo completo. Si cambias a menudo entre Wi Fi y datos móviles, prueba en ambas redes.

Lista rápida para la prueba de fuga de DNS

1. Desconecta la VPN. Abre una página de prueba de fuga de DNS y anota los nombres del proveedor DNS, los países y las IP que aparezcan. Ese será tu punto de partida.
2. Conecta la VPN. Elige la ubicación de servidor que sueles usar y espera a que la app indique que está conectada.
3. Recarga la página de prueba. Ejecuta primero la prueba estándar. Si hay una prueba ampliada, hazla también.
4. Compara los resultados. No deberías ver los DNS de tu operador, oficina, centro educativo, hotel o red móvil cuando la VPN esté conectada.
5. Comprueba tu IP visible. Usa una página de comprobación de IP para confirmar que tu IP pública también ha cambiado a la ubicación de la VPN. Puedes usar qué es mi IP para esta parte.
6. Repite tras cambiar de red. Vuelve a probar después de cambiar de Wi Fi, pasar a datos móviles o reactivar el dispositivo tras un reposo.

Un resultado bueno no siempre muestra el nombre de tu VPN. La infraestructura DNS puede usar nombres de proveedor distintos, nombres de centros de datos o direcciones de relé. Lo importante es que no aparezca tu ISP local ni otro resolvedor que no querías usar.

Si usas Crispy VPN, conecta la app primero y después haz la prueba. El DNS debería ir por el túnel junto con el resto del tráfico VPN. Si después de conectar sigues viendo el DNS de tu ISP, trátalo como un problema de configuración del dispositivo o del navegador y sigue con las soluciones de abajo.

Cómo corregir problemas de fuga de DNS

La solución correcta depende de la causa. Empieza por los pasos menos invasivos y luego pasa a los ajustes del sistema y del navegador si la fuga sigue ahí.

Primeros arreglos rápidos

1. Desconecta y vuelve a conectar la VPN. Esto refresca rutas y ajustes DNS.
2. Cambia de ubicación de servidor VPN. Una conexión nueva puede limpiar un estado de red atascado.
3. Reinicia la app y el navegador. Los navegadores pueden mantener decisiones DNS en caché hasta reiniciarse.
4. Reinicia el dispositivo. Así se restablecen interfaces de red y asignaciones DNS antiguas.
5. Actualiza la app de VPN y el sistema operativo. Muchos fallos de enrutado DNS se corrigen con actualizaciones.

Revisa los DNS manuales

Mira los ajustes de Wi Fi, Ethernet y red móvil. Si añadiste servidores DNS manualmente, quítalos de forma temporal y vuelve a dejar DNS en automático. Luego reconecta la VPN y repite la prueba.

Si la fuga desaparece, el DNS manual estaba anulando la VPN. Puedes decidir si quieres conservar ese DNS personalizado, pero no des por hecho que es privado solo porque te suene o porque esté cifrado.

Revisa DNS seguro del navegador

Abre los ajustes de privacidad o seguridad del navegador y busca DNS seguro o DNS sobre HTTPS. Si está activado con un proveedor concreto, apágalo temporalmente o haz que el navegador use el valor por defecto del sistema. Reconecta la VPN, reinicia el navegador y prueba otra vez.

Esto es especialmente importante si solo un navegador presenta fuga mientras el resto de apps salen limpias. En ese caso, la VPN puede estar funcionando bien a nivel de sistema y ser el navegador quien elige su propio resolvedor.

Revisa las reglas de split tunneling

Si tienes split tunneling activado, comprueba si el navegador, la web de prueba o la app están excluidos de la VPN. Quita la exclusión y repite la prueba. Si el resultado cambia al desactivar el split tunneling, no es algo extraño. Significa que la regla estaba haciendo exactamente lo que se había configurado.

Usa la app de VPN en lugar de apaños no compatibles

Las configuraciones de router no soportadas, los archivos de configuración sueltos o herramientas de red de terceros pueden hacer que el enrutado DNS sea difícil de predecir. Crispy VPN ofrece apps para iPhone y iPad, Mac, Windows, Linux, Android, Apple TV, Android TV y Google TV, además de extensiones para Chrome, Edge y Firefox. Descarga la app correcta desde la página de descarga y haz la prueba desde ahí.

En los dispositivos compatibles, Crispy VPN usa WireGuard en todos los servidores. WireGuard es un protocolo VPN moderno, con base de código pequeña, buen rendimiento y buen comportamiento de batería en móviles. Si quieres contexto técnico, mira qué es WireGuard.

Cómo evitar fugas de DNS según el dispositivo

Evitar fugas de DNS consiste, sobre todo, en dejar que la app de VPN controle la ruta y en no mezclarla con ajustes DNS que entren en conflicto. Los detalles cambian según el dispositivo.

Windows, Mac y Linux

Los sistemas de escritorio suelen tener varias interfaces de red, Wi Fi, Ethernet, adaptadores virtuales y, a veces, perfiles de trabajo. Si aparece una fuga de DNS, revisa los DNS del adaptador y elimina resolutores manuales antiguos. Luego vuelve a conectar la VPN.

En Windows, Mac y Linux, un kill switch también puede ayudar a reducir la exposición si la conexión VPN cae. Crispy VPN incluye un kill switch opcional en estas plataformas de escritorio. En Windows, además, hay un modo Lockdown opcional. Un kill switch no es lo mismo que la protección frente a fugas de DNS, pero ayuda a que el tráfico no siga fuera de la VPN durante una interrupción.

iPhone, iPad y Android

Los móviles cambian entre Wi Fi, datos móviles, redes de hotel y portales cautivos. Haz pruebas después de cambios de red si dependes de la VPN para privacidad. También revisa si DNS privado, perfiles de gestión del dispositivo o apps de seguridad están alterando el comportamiento DNS.

En Android, los ajustes del sistema llamados VPN siempre activa y Bloquear conexiones sin VPN ayudan a evitar tráfico accidental fuera de la VPN. En iPhone y iPad, mantén la app actualizada y revisa cualquier regla de split tunneling por web si un sitio concreto se comporta de forma extraña.

Navegadores y extensiones

Los navegadores son una fuente frecuente de resultados confusos porque pueden usar su propio ajuste de DNS seguro. Si la fuga solo aparece en Chrome, Edge o Firefox, revisa antes los ajustes DNS del navegador que los del sistema entero.

Las extensiones del navegador cubren solo el tráfico del navegador, no todas las apps del dispositivo. Eso es útil cuando solo necesitas proteger la navegación web, pero no equivale a una VPN completa del dispositivo. Para ampliar esa diferencia, lee extensión VPN para navegador.

Dispositivos de TV

Las plataformas de TV son más simples, pero también dejan menos margen para tocar la red. Crispy VPN es compatible con Apple TV y con Android TV o Google TV, y el inicio de sesión se hace escaneando un código QR con el móvil. Si estás resolviendo una fuga de DNS en una TV, primero prueba la misma red desde un teléfono o un portátil y luego reconecta la app de TV.

Qué puede y qué no puede ocultar una VPN respecto a DNS

Una VPN bien configurada debería mantener las consultas DNS dentro del túnel cifrado. Así evita que el operador del Wi Fi, el ISP o la red móvil vean en claro las consultas normales de DNS. También mantiene la ruta DNS coherente con el servidor VPN que elegiste.

Crispy VPN también aplica una política de no guardar registros de actividad y usa un diseño de dos relés que separa quién eres de lo que haces. Eso importa porque la privacidad DNS no va solo de cifrado, sino también de cómo está construido el servicio para reducir vínculos innecesarios.

Aun así, una VPN no te vuelve anónimo. No detiene por sí sola el malware ni el phishing, y tampoco impide que una web te reconozca cuando inicias sesión en tu cuenta. Tampoco borra las cookies de seguimiento que ya tengas en el navegador.

Piensa en la protección frente a fugas de DNS como una capa más. Ayuda a alejar los metadatos de resolución de tu red local y de tu ISP. Combínala con ajustes sensatos del navegador, buen control de cuentas, actualizaciones regulares y una idea clara de lo que la VPN protege.

Si estás revisando tu configuración después de instalar una VPN, merece la pena comprobar algo más que DNS. La IP pública, el comportamiento de WebRTC, los ajustes del kill switch y la configuración del navegador también afectan a la privacidad. Un siguiente paso práctico es cómo saber si mi VPN funciona, donde repasamos esas comprobaciones generales.