{"schemaVersion":1,"id":"https://lucioduran.com/es/blog/dns-over-https-encrypted-client-hello-privacy","url":"https://lucioduran.com/es/blog/dns-over-https-encrypted-client-hello-privacy","title":"Stack de Privacidad DNS: DoH, DoT, DNSSEC, Encrypted Client Hello y Análisis Comparativo de Privacidad","description":"Una guía completa del stack de privacidad DNS, DNS-over-HTTPS, DNS-over-TLS, validación DNSSEC, Encrypted Client Hello (ECH), Oblivious DoH, con análisis honesto de qué protege realmente cada protocolo y una guía de implementación práctica.","language":"es","datePublished":"2026-01-08","dateModified":null,"contentFormat":"text/markdown","content":"Networking\n\n# Stack de Privacidad DNS: DoH, DoT, DNSSEC, Encrypted Client Hello y Análisis Comparativo de Privacidad\n\n2026-01-084 min lectura\n\nLucio Durán\nEngineering Manager & AI Solutions Architect\n\nTambién disponible en: [English](<https://lucioduran.com/blog/dns-over-https-encrypted-client-hello-privacy>)\n\n## El Problema del Leak de Metadata\n\nCuando visitás ` https://cosas-secretas.ejemplo.com `, tu tráfico HTTPS está encriptado. Pero el proceso de conexión filtra metadata en múltiples puntos:\n\n```\nPaso 1: Resolución DNS\n Cliente → DNS del ISP: \"¿Cuál es la IP de cosas-secretas.ejemplo.com?\"\n DNS del ISP → Cliente: \"Es 203.0.113.42\"\n [LEAKEADO: El dominio que se está visitando]\n\nPaso 2: Conexión TCP\n Cliente → 203.0.113.42: SYN\n [LEAKEADO: La IP a la que te conectás]\n\nPaso 3: Handshake TLS\n Cliente → Servidor: ClientHello { SNI: \"cosas-secretas.ejemplo.com\" }\n [LEAKEADO: El dominio de nuevo, en texto plano]\n\nPaso 4: Datos de Aplicación Encriptados\n [PROTEGIDO: El request y response HTTP real]\n```\n\nTres de cuatro pase es filtran el dominio que visitás. DNS encriptado solo arregla el paso 1. ECH arregla el paso 3. El paso 2 es fundamentalmente difícil (requiere proxy, VPN, o Tor).\n\n## DNS-over-HTTPS (DoH): Lo Básico\n\nDoH envuelve queries DNS en requests HTTPS estándar:\n\n```bash\n# Query DoH usando JSON (extensión Cloudflare/Google)\ncurl -s -H 'Accept: application/dns-json' \\\n 'https://cloudflare-dns.com/dns-query?name=example.com&type=A' | jq .\n\n# Respuesta:\n{\n \"Status\": 0,\n \"AD\": true,\n \"Question\": [{\"name\": \"example.com\", \"type\": 1}],\n \"Answer\": [\n {\"name\": \"example.com\", \"type\": 1, \"TTL\": 3600,\n \"data\": \"93.184.216.34\"}\n ]\n}\n```\n\nConfigurar un resolver DoH local con [` dnscrypt-proxy `](<https://github.com/DNSCrypt/dnscrypt-proxy>):\n\n```toml\n# /etc/dnscrypt-proxy/dnscrypt-proxy.toml\nlisten_addresses = ['127.0.0.1:53', '[::1]:53']\nserver_names = ['cloudflare', 'cloudflare-ipv6']\ndoh_servers = true\nrequire_dnssec = true\nrequire_nofilter = true\nrequire_nolog = true\n\ncache = true\ncache_size = 4096\ncache_min_ttl = 2400\n\n# Relays Oblivious DoH\n[anonymized_dns]\nroutes = [\n { server_name='cloudflare', via=['anon-relay-1', 'anon-relay-2'] }\n]\n```\n\n## Encrypted Client Hello (ECH): La Pieza Faltante\n\nECH encripta el ClientHello completo (incluyendo SNI) usando una clave pública publicada en el registro DNS del servidor:\n\n```\nSin ECH:\n Cliente → Servidor: ClientHello {\n SNI: \"cosas-secretas.ejemplo.com\" ← VISIBLE para observador en el path\n }\n\nCon ECH:\n 1. Cliente busca registro DNS HTTPS para cosas-secretas.ejemplo.com\n → Contiene config ECH con clave pública\n\n 2. Cliente → Servidor: ClientHello {\n SNI: \"cloudflare-ech.com\" ← SNI \"externo\" (dominio público)\n encrypted_client_hello: {\n // Encriptado con la clave pública ECH del servidor:\n inner_SNI: \"cosas-secretas.ejemplo.com\"\n }\n }\n\n El observador ve: conexión a \"cloudflare-ech.com\"\n El servidor desencripta: destino real es \"cosas-secretas.ejemplo.com\"\n```\n\n## Oblivious DoH (ODoH): No Confíes en Nadie\n\nDoH estándar tiene un problema de confianza: se está reemplazando a tu ISP como la entidad que ve las queries DNS con tu resolver DoH. ODoH arregla esto:\n\n```\nDoH estándar:\n Cliente →→ Resolver\n Resolver ve: IP del cliente + query\n Problema: resolver sabe todo\n\nOblivious DoH:\n Cliente → Relay → Resolver\n Relay ve: IP del cliente, pero query está encriptada al resolver\n Resolver ve: contenido de la query, pero no la IP del cliente\n ¡Nadie ve las dos cosas!\n```\n\n## Análisis Honesto de Privacidad\n\nUn análisis directo de qué aporta realmente cada capa:\n\n| Amenaza | DNS Plano | DoH/DoT | + DNSSEC | + ECH | + ODoH |\n| --- | --- | --- | --- | --- | --- |\n| ISP ve dominios | Sí | **No** | No | No | No |\n| Sniffing WiFi café | Sí | **No** | No | No | No |\n| Spoofing DNS | Sí | No | **No** | No | No |\n| Resolver ve queries | Sí | Sí | Sí | Sí | **No** |\n| SNI filtra dominio | Sí | Sí | Sí | **No** | No |\n| IP destino visible | Sí | Sí | Sí | Sí | Sí |\n\nEsa última fila es el elefante en la habitación. Incluso con el stack completo, cualquiera que pueda ver tu tráfico de red sabe la IP a la que te se está conectando. Para hosting compartido (como [Cloudflare](<https://cloudflare.com/>)), la IP mapea a millones de sitios, así que no es muy revelador. Para sitios en IPs dedicadas, la IP de destino sola identifica el sitio.\n\nPara el último leak restante, se necesita un proxy, VPN, o Tor. No hay solución a nivel DNS para eso.\n\nEl stack de privacidad descripto es sobre elevar el piso, hacer la vigilancia pasiva significativamente más difícil sin impactar dramáticamente la performance. No es sobre lograr anonimato perfecto. Si se necesita eso, se necesita Tor. Pero para privacidad cotidiana contra monitoreo del ISP, inspección de red corporativa, y sniffing de WiFi de cafetería, DoH + ECH + ODoH te lleva al 90% del camino con menos de 50ms de latencia agregada.\n\n## Preguntas frecuentes\n\n### ¿Cuál es la diferencia entre DNS-over-HTTPS (DoH) y DNS-over-TLS (DoT)?\n\nDoH encapsula queries DNS en requests HTTPS en el puerto 443, haciéndolos indistinguibles del tráfico HTTPS normal. DoT usa un puerto dedicado (853) con TLS, lo que hace fácil identificar y bloquear para administradores de red. DoH es más difícil de bloquear pero también más difícil de manejar en entornos enterprise.\n\n### ¿Encrypted Client Hello (ECH) reemplaza la necesidad de una VPN?\n\nECH encripta el campo SNI en handshakes TLS, previniendo que observadores en el path vean a qué dominio te se está conectando. Combinado con DoH, cubre los dos leaks principales de metadata en HTTPS. Sin embargo, una VPN también oculta tu IP de destino, cosa que ECH no hace. Para privacidad completa, todavía se necesita VPN o Tor.\n\n### ¿Qué es Oblivious DoH y cuándo debería usarlo?\n\nOblivious DoH (ODoH) agrega un relay entre el cliente y el resolver, así que el resolver nunca ve la IP del cliente y el relay nunca ve el contenido de la query DNS. Utilizar cuando se necesita privacidad DNS tanto de tu path de red COMO de tu resolver DNS. El overhead de latencia es típicamente 5-15ms por query.\n\n## Tips\n\n1. **Tip:** DoH protege las queries DNS de tu ISP, pero tu resolver (Cloudflare, Google) todavía ve todo. Si se necesita privacidad DNS real, ejecutar ` Oblivious DoH ` a través de un relay, ni el relay ni el resolver pueden vincular la IP con las queries.\n2. **Tip:** Encrypted Client Hello (ECH) es la pieza faltante que DoH solo no puede resolver. Sin ECH, el SNI en el TLS ClientHello todavía filtra a qué dominio te se está conectando, incluso si las queries DNS están encriptados. Verificar en el navegador ` about:config ` por ` network.dns.echconfig.enabled `.\n3. **Tip:** DNSSEC valida que los registros DNS no fueron adulterados, pero NO encripta nada, las queries y respuestas siguen siendo visibles para observadores en el path. Se necesita tanto DNSSEC (integridad) como DoH/DoT (confidencialidad) para protección completa.\n\n- dns\n- privacidad\n- doh\n- dot\n- dnssec\n- ech\n- encrypted-client-hello\n- networking\n- seguridad\n\n[Volver al Blog](<https://lucioduran.com/es/blog>)","headings":[{"level":1,"text":"Stack de Privacidad DNS: DoH, DoT, DNSSEC, Encrypted Client Hello y Análisis Comparativo de Privacidad","url":"https://lucioduran.com/es/blog/dns-over-https-encrypted-client-hello-privacy#title"},{"level":2,"text":"El Problema del Leak de Metadata","url":"https://lucioduran.com/es/blog/dns-over-https-encrypted-client-hello-privacy#el-problema-del-leak-de-metadata"},{"level":2,"text":"DNS-over-HTTPS (DoH): Lo Básico","url":"https://lucioduran.com/es/blog/dns-over-https-encrypted-client-hello-privacy#dns-over-https-doh-lo-bsico"},{"level":2,"text":"Encrypted Client Hello (ECH): La Pieza Faltante","url":"https://lucioduran.com/es/blog/dns-over-https-encrypted-client-hello-privacy#encrypted-client-hello-ech-la-pieza-faltante"},{"level":2,"text":"Oblivious DoH (ODoH): No Confíes en Nadie","url":"https://lucioduran.com/es/blog/dns-over-https-encrypted-client-hello-privacy#oblivious-doh-odoh-no-confes-en-nadie"},{"level":2,"text":"Análisis Honesto de Privacidad","url":"https://lucioduran.com/es/blog/dns-over-https-encrypted-client-hello-privacy#anlisis-honesto-de-privacidad"},{"level":2,"text":"Preguntas frecuentes","url":"https://lucioduran.com/es/blog/dns-over-https-encrypted-client-hello-privacy#questions"},{"level":3,"text":"¿Cuál es la diferencia entre DNS-over-HTTPS (DoH) y DNS-over-TLS (DoT)?","url":"https://lucioduran.com/es/blog/dns-over-https-encrypted-client-hello-privacy#question-1"},{"level":3,"text":"¿Encrypted Client Hello (ECH) reemplaza la necesidad de una VPN?","url":"https://lucioduran.com/es/blog/dns-over-https-encrypted-client-hello-privacy#question-2"},{"level":3,"text":"¿Qué es Oblivious DoH y cuándo debería usarlo?","url":"https://lucioduran.com/es/blog/dns-over-https-encrypted-client-hello-privacy#question-3"},{"level":2,"text":"Tips","url":"https://lucioduran.com/es/blog/dns-over-https-encrypted-client-hello-privacy#article-tips"}],"sections":[{"heading":"Stack de Privacidad DNS: DoH, DoT, DNSSEC, Encrypted Client Hello y Análisis Comparativo de Privacidad","level":1,"url":"https://lucioduran.com/es/blog/dns-over-https-encrypted-client-hello-privacy","content":"Networking"},{"heading":"Stack de Privacidad DNS: DoH, DoT, DNSSEC, Encrypted Client Hello y Análisis Comparativo de Privacidad","level":1,"url":"https://lucioduran.com/es/blog/dns-over-https-encrypted-client-hello-privacy#title","content":"2026-01-084 min lectura\n\nLucio Durán\nEngineering Manager & AI Solutions Architect\n\nTambién disponible en: [English](<https://lucioduran.com/blog/dns-over-https-encrypted-client-hello-privacy>)"},{"heading":"El Problema del Leak de Metadata","level":2,"url":"https://lucioduran.com/es/blog/dns-over-https-encrypted-client-hello-privacy#el-problema-del-leak-de-metadata","content":"Cuando visitás ` https://cosas-secretas.ejemplo.com `, tu tráfico HTTPS está encriptado. Pero el proceso de conexión filtra metadata en múltiples puntos:\n\n```\nPaso 1: Resolución DNS\n Cliente → DNS del ISP: \"¿Cuál es la IP de cosas-secretas.ejemplo.com?\"\n DNS del ISP → Cliente: \"Es 203.0.113.42\"\n [LEAKEADO: El dominio que se está visitando]\n\nPaso 2: Conexión TCP\n Cliente → 203.0.113.42: SYN\n [LEAKEADO: La IP a la que te conectás]\n\nPaso 3: Handshake TLS\n Cliente → Servidor: ClientHello { SNI: \"cosas-secretas.ejemplo.com\" }\n [LEAKEADO: El dominio de nuevo, en texto plano]\n\nPaso 4: Datos de Aplicación Encriptados\n [PROTEGIDO: El request y response HTTP real]\n```\n\nTres de cuatro pase es filtran el dominio que visitás. DNS encriptado solo arregla el paso 1. ECH arregla el paso 3. El paso 2 es fundamentalmente difícil (requiere proxy, VPN, o Tor)."},{"heading":"DNS-over-HTTPS (DoH): Lo Básico","level":2,"url":"https://lucioduran.com/es/blog/dns-over-https-encrypted-client-hello-privacy#dns-over-https-doh-lo-bsico","content":"DoH envuelve queries DNS en requests HTTPS estándar:\n\n```bash\n# Query DoH usando JSON (extensión Cloudflare/Google)\ncurl -s -H 'Accept: application/dns-json' \\\n 'https://cloudflare-dns.com/dns-query?name=example.com&type=A' | jq .\n\n# Respuesta:\n{\n \"Status\": 0,\n \"AD\": true,\n \"Question\": [{\"name\": \"example.com\", \"type\": 1}],\n \"Answer\": [\n {\"name\": \"example.com\", \"type\": 1, \"TTL\": 3600,\n \"data\": \"93.184.216.34\"}\n ]\n}\n```\n\nConfigurar un resolver DoH local con [` dnscrypt-proxy `](<https://github.com/DNSCrypt/dnscrypt-proxy>):\n\n```toml\n# /etc/dnscrypt-proxy/dnscrypt-proxy.toml\nlisten_addresses = ['127.0.0.1:53', '[::1]:53']\nserver_names = ['cloudflare', 'cloudflare-ipv6']\ndoh_servers = true\nrequire_dnssec = true\nrequire_nofilter = true\nrequire_nolog = true\n\ncache = true\ncache_size = 4096\ncache_min_ttl = 2400\n\n# Relays Oblivious DoH\n[anonymized_dns]\nroutes = [\n { server_name='cloudflare', via=['anon-relay-1', 'anon-relay-2'] }\n]\n```"},{"heading":"Encrypted Client Hello (ECH): La Pieza Faltante","level":2,"url":"https://lucioduran.com/es/blog/dns-over-https-encrypted-client-hello-privacy#encrypted-client-hello-ech-la-pieza-faltante","content":"ECH encripta el ClientHello completo (incluyendo SNI) usando una clave pública publicada en el registro DNS del servidor:\n\n```\nSin ECH:\n Cliente → Servidor: ClientHello {\n SNI: \"cosas-secretas.ejemplo.com\" ← VISIBLE para observador en el path\n }\n\nCon ECH:\n 1. Cliente busca registro DNS HTTPS para cosas-secretas.ejemplo.com\n → Contiene config ECH con clave pública\n\n 2. Cliente → Servidor: ClientHello {\n SNI: \"cloudflare-ech.com\" ← SNI \"externo\" (dominio público)\n encrypted_client_hello: {\n // Encriptado con la clave pública ECH del servidor:\n inner_SNI: \"cosas-secretas.ejemplo.com\"\n }\n }\n\n El observador ve: conexión a \"cloudflare-ech.com\"\n El servidor desencripta: destino real es \"cosas-secretas.ejemplo.com\"\n```"},{"heading":"Oblivious DoH (ODoH): No Confíes en Nadie","level":2,"url":"https://lucioduran.com/es/blog/dns-over-https-encrypted-client-hello-privacy#oblivious-doh-odoh-no-confes-en-nadie","content":"DoH estándar tiene un problema de confianza: se está reemplazando a tu ISP como la entidad que ve las queries DNS con tu resolver DoH. ODoH arregla esto:\n\n```\nDoH estándar:\n Cliente →→ Resolver\n Resolver ve: IP del cliente + query\n Problema: resolver sabe todo\n\nOblivious DoH:\n Cliente → Relay → Resolver\n Relay ve: IP del cliente, pero query está encriptada al resolver\n Resolver ve: contenido de la query, pero no la IP del cliente\n ¡Nadie ve las dos cosas!\n```"},{"heading":"Análisis Honesto de Privacidad","level":2,"url":"https://lucioduran.com/es/blog/dns-over-https-encrypted-client-hello-privacy#anlisis-honesto-de-privacidad","content":"Un análisis directo de qué aporta realmente cada capa:\n\n| Amenaza | DNS Plano | DoH/DoT | + DNSSEC | + ECH | + ODoH |\n| --- | --- | --- | --- | --- | --- |\n| ISP ve dominios | Sí | **No** | No | No | No |\n| Sniffing WiFi café | Sí | **No** | No | No | No |\n| Spoofing DNS | Sí | No | **No** | No | No |\n| Resolver ve queries | Sí | Sí | Sí | Sí | **No** |\n| SNI filtra dominio | Sí | Sí | Sí | **No** | No |\n| IP destino visible | Sí | Sí | Sí | Sí | Sí |\n\nEsa última fila es el elefante en la habitación. Incluso con el stack completo, cualquiera que pueda ver tu tráfico de red sabe la IP a la que te se está conectando. Para hosting compartido (como [Cloudflare](<https://cloudflare.com/>)), la IP mapea a millones de sitios, así que no es muy revelador. Para sitios en IPs dedicadas, la IP de destino sola identifica el sitio.\n\nPara el último leak restante, se necesita un proxy, VPN, o Tor. No hay solución a nivel DNS para eso.\n\nEl stack de privacidad descripto es sobre elevar el piso, hacer la vigilancia pasiva significativamente más difícil sin impactar dramáticamente la performance. No es sobre lograr anonimato perfecto. Si se necesita eso, se necesita Tor. Pero para privacidad cotidiana contra monitoreo del ISP, inspección de red corporativa, y sniffing de WiFi de cafetería, DoH + ECH + ODoH te lleva al 90% del camino con menos de 50ms de latencia agregada."},{"heading":"Preguntas frecuentes","level":2,"url":"https://lucioduran.com/es/blog/dns-over-https-encrypted-client-hello-privacy#questions","content":""},{"heading":"¿Cuál es la diferencia entre DNS-over-HTTPS (DoH) y DNS-over-TLS (DoT)?","level":3,"url":"https://lucioduran.com/es/blog/dns-over-https-encrypted-client-hello-privacy#question-1","content":"DoH encapsula queries DNS en requests HTTPS en el puerto 443, haciéndolos indistinguibles del tráfico HTTPS normal. DoT usa un puerto dedicado (853) con TLS, lo que hace fácil identificar y bloquear para administradores de red. DoH es más difícil de bloquear pero también más difícil de manejar en entornos enterprise."},{"heading":"¿Encrypted Client Hello (ECH) reemplaza la necesidad de una VPN?","level":3,"url":"https://lucioduran.com/es/blog/dns-over-https-encrypted-client-hello-privacy#question-2","content":"ECH encripta el campo SNI en handshakes TLS, previniendo que observadores en el path vean a qué dominio te se está conectando. Combinado con DoH, cubre los dos leaks principales de metadata en HTTPS. Sin embargo, una VPN también oculta tu IP de destino, cosa que ECH no hace. Para privacidad completa, todavía se necesita VPN o Tor."},{"heading":"¿Qué es Oblivious DoH y cuándo debería usarlo?","level":3,"url":"https://lucioduran.com/es/blog/dns-over-https-encrypted-client-hello-privacy#question-3","content":"Oblivious DoH (ODoH) agrega un relay entre el cliente y el resolver, así que el resolver nunca ve la IP del cliente y el relay nunca ve el contenido de la query DNS. Utilizar cuando se necesita privacidad DNS tanto de tu path de red COMO de tu resolver DNS. El overhead de latencia es típicamente 5-15ms por query."},{"heading":"Tips","level":2,"url":"https://lucioduran.com/es/blog/dns-over-https-encrypted-client-hello-privacy#article-tips","content":"1. **Tip:** DoH protege las queries DNS de tu ISP, pero tu resolver (Cloudflare, Google) todavía ve todo. Si se necesita privacidad DNS real, ejecutar ` Oblivious DoH ` a través de un relay, ni el relay ni el resolver pueden vincular la IP con las queries.\n2. **Tip:** Encrypted Client Hello (ECH) es la pieza faltante que DoH solo no puede resolver. Sin ECH, el SNI en el TLS ClientHello todavía filtra a qué dominio te se está conectando, incluso si las queries DNS están encriptados. Verificar en el navegador ` about:config ` por ` network.dns.echconfig.enabled `.\n3. **Tip:** DNSSEC valida que los registros DNS no fueron adulterados, pero NO encripta nada, las queries y respuestas siguen siendo visibles para observadores en el path. Se necesita tanto DNSSEC (integridad) como DoH/DoT (confidencialidad) para protección completa.\n\n- dns\n- privacidad\n- doh\n- dot\n- dnssec\n- ech\n- encrypted-client-hello\n- networking\n- seguridad\n\n[Volver al Blog](<https://lucioduran.com/es/blog>)"}],"links":[{"text":"English","url":"https://lucioduran.com/blog/dns-over-https-encrypted-client-hello-privacy"},{"text":"dnscrypt-proxy","url":"https://github.com/DNSCrypt/dnscrypt-proxy"},{"text":"Cloudflare","url":"https://cloudflare.com/"},{"text":"Volver al Blog","url":"https://lucioduran.com/es/blog"}],"structuredData":[{"@context":"https://schema.org","@graph":[{"@type":"BlogPosting","@id":"https://lucioduran.com/es/blog/dns-over-https-encrypted-client-hello-privacy#article","mainEntityOfPage":{"@type":"WebPage","@id":"https://lucioduran.com/es/blog/dns-over-https-encrypted-client-hello-privacy"},"headline":"Stack de Privacidad DNS: DoH, DoT, DNSSEC, Encrypted Client Hello y Análisis Comparativo de Privacidad","description":"Una guía completa del stack de privacidad DNS, DNS-over-HTTPS, DNS-over-TLS, validación DNSSEC, Encrypted Client Hello (ECH), Oblivious DoH, con análisis honesto de qué protege realmente cada protocolo y una guía de implementación práctica.","datePublished":"2026-01-08","author":{"@type":"Person","@id":"https://lucioduran.com/#person","name":"Lucio Durán","url":"https://lucioduran.com"},"publisher":{"@type":"Person","@id":"https://lucioduran.com/#person","name":"Lucio Durán","url":"https://lucioduran.com"},"image":"https://lucioduran.com/favicons/og-default.png","url":"https://lucioduran.com/es/blog/dns-over-https-encrypted-client-hello-privacy","inLanguage":"es","isPartOf":{"@id":"https://lucioduran.com/blog#blog"},"articleSection":"Networking","keywords":"dns, privacidad, doh, dot, dnssec, ech, encrypted-client-hello, networking, seguridad","wordCount":651,"timeRequired":"PT4M","workTranslation":[{"@type":"BlogPosting","inLanguage":"en","url":"https://lucioduran.com/blog/dns-over-https-encrypted-client-hello-privacy"}]},{"@type":"BreadcrumbList","itemListElement":[{"@type":"ListItem","position":1,"name":"Inicio","item":"https://lucioduran.com/"},{"@type":"ListItem","position":2,"name":"Blog","item":"https://lucioduran.com/es/blog"},{"@type":"ListItem","position":3,"name":"Stack de Privacidad DNS: DoH, DoT, DNSSEC, Encrypted Client Hello y Análisis Comparativo de Privacidad","item":"https://lucioduran.com/es/blog/dns-over-https-encrypted-client-hello-privacy"}]},{"@type":"FAQPage","mainEntity":[{"@type":"Question","name":"¿Cuál es la diferencia entre DNS-over-HTTPS (DoH) y DNS-over-TLS (DoT)?","acceptedAnswer":{"@type":"Answer","text":"DoH encapsula queries DNS en requests HTTPS en el puerto 443, haciéndolos indistinguibles del tráfico HTTPS normal. DoT usa un puerto dedicado (853) con TLS, lo que hace fácil identificar y bloquear para administradores de red. DoH es más difícil de bloquear pero también más difícil de manejar en entornos enterprise."}},{"@type":"Question","name":"¿Encrypted Client Hello (ECH) reemplaza la necesidad de una VPN?","acceptedAnswer":{"@type":"Answer","text":"ECH encripta el campo SNI en handshakes TLS, previniendo que observadores en el path vean a qué dominio te se está conectando. Combinado con DoH, cubre los dos leaks principales de metadata en HTTPS. Sin embargo, una VPN también oculta tu IP de destino, cosa que ECH no hace. Para privacidad completa, todavía se necesita VPN o Tor."}},{"@type":"Question","name":"¿Qué es Oblivious DoH y cuándo debería usarlo?","acceptedAnswer":{"@type":"Answer","text":"Oblivious DoH (ODoH) agrega un relay entre el cliente y el resolver, así que el resolver nunca ve la IP del cliente y el relay nunca ve el contenido de la query DNS. Utilizar cuando se necesita privacidad DNS tanto de tu path de red COMO de tu resolver DNS. El overhead de latencia es típicamente 5-15ms por query."}}]}]}],"contentHash":"2f14c35bc2365482def61723d70b854b70f20d119936019f9b3601c751e44993","provenance":{"method":"Deterministic serialization of the server-rendered main element","source":"https://lucioduran.com/es/blog/dns-over-https-encrypted-client-hello-privacy","hashAlgorithm":"sha256","hashScope":"JSON document fields before contentHash and provenance","sourceHTMLBytes":51645,"contentBytes":7182}}