¿Qué es 1.1.1.1? Una guía sencilla sobre los resolutores DNS públicos

Pregunta en un foro de redes domésticas por qué un sitio carga lento y alguien lo dirá antes de la quinta respuesta: cambia tu DNS a 1.1.1.1. Se ofrece como se ofrece la cinta adhesiva: como la solución para todo. Yo mismo he escrito esos dígitos en mi router. A veces las páginas se abrían más rápido después. Una vez, en casa de un familiar, «solucionó» un problema que resultó ser un router moribundo, que murió del todo una semana después y se llevó mi reputación con él.

Así que seamos precisos: qué son esos cuatro dígitos, qué cambia cuando los usas y qué es lo que no cambia en absoluto.

Primero, el trabajo que hace un resolutor por ti

Cada vez que algo en tu red pide un sitio web por su nombre, algo tiene que traducir ese nombre a una dirección. Ese algo es un resolutor recursivo, y ya tienes uno: lo opera tu proveedor de internet y tu router entrega su dirección automáticamente a cada dispositivo. Nunca lo elegiste, probablemente no conoces su dirección, y responde miles de tus preguntas al día. Los conceptos básicos de qué es un servidor DNS presentan a todos los actores; el resolutor es el que hace el trabajo pesado por ti.

También es un testigo. Tu resolutor ve cada nombre que consultas: no las páginas en sí, sino los nombres, y eso ya dibuja un retrato bastante fiel de tus hábitos. Quien opera tu resolutor guarda ese registro. Cambiar de resolutor no elimina al testigo. Solo cambia quién es el testigo.

Entonces, ¿qué es exactamente 1.1.1.1?

1.1.1.1 es un resolutor recursivo público, operado por Cloudflare y abierto a cualquiera, gratis, en una dirección lo bastante corta como para recordarla, lo cual, siendo honestos, es la mitad de la razón de que se extendiera tanto. Hay una segunda dirección, 1.0.0.1, por el motivo habitual: que una sola dirección caída no se lleve tus consultas con ella. Existen resolutores públicos de otras empresas en otras direcciones famosas; la idea tiene décadas. 1.1.1.1 es, sencillamente, el que se convirtió en un nombre familiar.

«Público» es la clave. El resolutor de tu proveedor existe para atender a sus clientes. Un resolutor público existe para atender a quien pregunte, y recibe sus instrucciones de ti, no de los ajustes predeterminados de tu proveedor.

En qué se diferencia del resolutor que ya tienes

El resto de la familia

La dirección famosa tiene hermanas, y conocerlas evita una confusión común. El mismo operador publica variantes en direcciones vecinas: una que rechaza los nombres conocidos por distribuir malware y otra que rechaza esos más el contenido para adultos, pensada para los hogares. A veces la gente cae en una variante con filtrado sin darse cuenta — por una guía, un ajuste predefinido del router o un familiar bienintencionado — y luego informa, perpleja, de que ciertos sitios «no existen». Existen. El resolvedor se niega a presentártelos, y es una función que alguien eligió en tu nombre.

También existen formas IPv6, largas cadenas hexadecimales como 2606:4700:4700::1111, y por eso nadie las cita en las cenas. Si tu conexión funciona con IPv6 y configuras solo las direcciones IPv4, algunos dispositivos seguirán usando en silencio el resolver IPv6 que les haya tocado, y tus consultas se dividirán entre dos servicios, confundiendo cada prueba que hagas después. Un dispositivo que ofrece una pantalla para una familia suele tener una pantalla para la otra. Rellena ambas.

Vuelve a mirar esa tabla y fíjate en lo que no aparece: una fila que prometa velocidad. La velocidad es otra cuestión, y merece su propia sección honesta más abajo.

Las promesas de privacidad, sin esconder los límites

Cambiar cambia quién puede registrar tus consultas. El operador de 1.1.1.1 sigue viendo tus consultas — tiene que verlas para responderlas —, así que lo que eliges en realidad es de quién prefieres la política de privacidad. Combínalo con DNS cifrado y ganas algo real: con DNS sobre HTTPS o su hermano sobre TLS, el tramo entre tú y el resolutor va cifrado, así que tu proveedor y el wifi de la cafetería ya no pueden leer las preguntas al pasar.

Ahora, los límites. Los sitios que visitas siguen viendo tu conexión llegar desde tu propia dirección. Tu proveedor sigue viendo a qué direcciones te conectas, aunque ya no pueda ver los nombres que consultaste. 1.1.1.1 no es una VPN, no pretende serlo, y cualquier guía que te deje irte pensando otra cosa te está vendiendo algo.

Por qué puede parecer más rápido, y por qué quizá no

Le favorecen dos mecanismos reales. El primero es anycast: la misma dirección se anuncia desde lugares de todo el mundo, así que tu consulta llega a una instancia cercana en lugar de cruzar un océano. El segundo es la caché. Un resolutor que responde preguntas para una multitud enorme probablemente ya recibió antes los nombres populares, y una respuesta en caché vuelve al instante en lugar de hacerlo tras una cadena completa de consultas. Si aciertas una caché caliente todo el día, navegar sí se siente más ágil.

Pero la caché es un arma de doble filo. Un nombre oscuro que nadie ha pedido todavía necesita la cadena completa de consultas, viva donde viva tu resolutor. Y la geografía es personal: el resolutor de tu proveedor puede estar a un salto corto de tu casa, mientras que la instancia anycast más cercana puede enrutar de forma extraña desde tu red en concreto. He visto ganar a los dos. Mídelo con tu propia navegación durante unos días, no con fe.

Una palabra sobre las clasificaciones de velocidad de los resolvedores, porque las encontrarás si buscas. Las pruebas cronometran lo rápido que los resolvedores responden a una lista de nombres desde tu conexión, y los resultados son reales: para esos nombres, a esa hora, en esa conexión. Lo que no pueden capturar es tu mezcla. Los nombres oscuros que un hogar consulta de verdad empiezan sin caché en todas partes, y un resolvedor que gana la prueba por milisegundos puede perder tu martes por la noche ante una rareza de enrutamiento que nadie midió. Usa las clasificaciones para desempatar, no para tomar la decisión.

Una limitación de alcance más que conviene tener clara: un resolvedor solo ayuda en el primer paso, la consulta. Una vez que tu dispositivo tiene una dirección y empieza a hablar con un sitio, el resolvedor sale por completo de la historia: no se le vuelve a consultar hasta que expira la respuesta en caché. Así que una transmisión lenta, una llamada que se entrecorta, una descarga que se arrastra: nada de eso es un problema de DNS disfrazado, y ningún resolvedor, por rápido o famoso que sea, los tocará. La culpa es un presupuesto. Gástalo en la capa que realmente es lenta.

Cuándo no cambiaría

• Un portátil del trabajo o de la escuela. Su configuración de resolutor puede ser una política deliberada, y los nombres internos — la impresora, el servidor de archivos, la intranet — a menudo solo se resuelven a través del resolutor de la oficina. Apúntalo a otro sitio y las cosas se rompen de forma misteriosa.
• Una red detrás de un portal cautivo. El baile de inicio de sesión de hoteles y aeropuertos ya es bastante frágil; enviar tus consultas a un sitio inusual antes de iniciar sesión puede volverlo aún más extraño.
• Si dependes sin darte cuenta del filtrado familiar o contra malware de tu proveedor. Un resolutor público simple no filtra. Cambiar puede eliminar una protección que habías olvidado que tenías.
• En medio de una avería que quieres que arregle tu proveedor. Su soporte técnico culpará, con razón, a lo único que cambiaste, y no tendrás respuesta.

Si nada de eso te afecta y quieres probarlo, cambiar tu servidor DNS lleva unos minutos: hazlo primero en un solo dispositivo, convive con el cambio unos días y deja el router para el final.

Un homónimo que hay que mantener aparte: la aplicación

Busca estas cifras en una tienda de aplicaciones y encontrarás una aplicación del mismo operador, construida sobre una tecnología complementaria que hace algo que el resolvedor simple no hace: enruta el tráfico de un teléfono a través de la red del operador, lo que está mucho más cerca de lo que hace una VPN que de un cambio de resolvedor. Agrupar ambos bajo una misma marca causa una confusión real. Hay quien instala la aplicación esperando «solo DNS» y obtiene un túnel; otra gente escribe las cifras en una pantalla de ajustes esperando un túnel y obtiene solo DNS. Son herramientas distintas que casualmente comparten un nombre famoso, así que decide cuál de las dos quieres de verdad antes de instalar o escribir nada. Mi regla general: si escribiste cifras en una pantalla de ajustes, cambiaste un resolvedor. Si instalaste algo que pidió permisos de VPN, instalaste un túnel.

Mi configuración actual es un compromiso: el router de casa apunta a un resolutor público y el portátil acepta lo que le entrega cada red. No es ideología, solo el arreglo que menos cosas rompió. Ese es el marco honesto para 1.1.1.1 en conjunto. Los dígitos no son magia, pero tampoco un engaño. Son una elección sobre quién responde a tus preguntas, tomada por ti en lugar de por defecto.