Siete DNS públicos nuevos en la comparativa (y los que se quedaron fuera)

Hasta hoy la comparativa tenía 14 proveedores. Desde hoy tiene 21. Este artículo cuenta de dónde salen los siete nuevos, cómo los hemos probado y, sobre todo, cuáles de los nombres que circulan por los listados de «mejores DNS» hemos dejado fuera y por qué. También hay un cambio en xdp.es que afecta a quien ya lo tenga configurado.

Cómo elegimos

Partimos de seis listados que se citan mucho (dos medios españoles, uno de seguridad, un gist de GitHub, la web de DNS4EU y un blog de VPN) y sacamos todos los servicios que no teníamos: 21 candidatos. A cada IP le hicimos tres preguntas con dig: si responde, si valida DNSSEC (consultando dnssec-failed.org, un dominio firmado mal a propósito) y si bloquea publicidad (consultando pagead2.googlesyndication.com). Después probamos el puerto 853 con openssl para el DoT y el DoH con curl. Y con los que seguían en pie, fuimos a su web oficial a leer qué prometen sobre registros, jurisdicción y filtrado.

Ese último paso es el que más candidatos tumba. Los listados copian unos de otros y arrastran direcciones de servicios que cerraron hace años.

Los siete nuevos

UncensoredDNS (Dinamarca). Lo mantiene una sola persona, Thomas Steen Rasmussen, desde 2009 y con su propio dinero. No registra nada y no filtra nada. Apagó el puerto 53 en 2022, así que sólo atiende consultas cifradas: DoT, DoH y, desde octubre de 2025, DoQ y DoH3. Tiene un nodo anycast (91.239.100.100) y otro en Copenhague (89.233.43.71). Es el segundo proveedor de la comparativa que sólo funciona cifrado, después de Mullvad.

LibreDNS (Grecia). Proyecto activista de LibreOps. Sin registros, sólo DoH y DoT, y con un segundo punto de acceso (noads.libredns.gr) que bloquea anuncios y rastreadores con una lista colaborativa. Un aviso: no valida DNSSEC. Reenvía las consultas a OpenNIC, que tampoco lo hace.

Digitale Gesellschaft (Suiza). Resolver de la asociación del mismo nombre, en Basilea. Sin registros, sin listas de bloqueo, con validación DNSSEC, y sólo DoT y DoH. Lo interesante es la jurisdicción: suiza, fuera de la UE. Lo llevan voluntarios y lo dicen sin rodeos: es «best effort», sin garantía de disponibilidad.

DNS.SB (Alemania). Lo opera xTom GmbH, de Düsseldorf, sobre una red anycast de 30 nodos en seis continentes. Su política de privacidad es de las más claras que hemos leído: no registra dominios consultados ni direcciones IP, y no envía tu subred a los servidores autoritativos (sin ECS). Valida DNSSEC y responde en el puerto 53, DoT y DoH. Es el que pondríamos en un router si lo que buscas es privacidad. Direcciones: 185.222.222.222 y 45.11.45.11.

Hurricane Electric (Estados Unidos). El resolver público de una de las mayores redes troncales del mundo y la mayor en IPv6. Una sola dirección anycast, 74.82.42.42 (y 2001:470:20::2), que desde Madrid responde desde su nodo de Lisboa. Sin filtrado, valida DNSSEC y tiene DoT, DoH, DoQ y DoH3 en ordns.he.net. Lo que no tiene es una política de registros publicada para este servicio, y la ficha lo dice así: «no publicados».

AliDNS y DNSPod (China). Los dos DNS públicos más usados en China, de Alibaba Cloud (223.5.5.5 y 223.6.6.6) y de Tencent Cloud (119.29.29.29, con DoH y DoT en doh.pub y dot.pub). Entran por los lectores de la versión china del sitio: desde allí son la opción rápida y con ECS para que las CDN acerquen el contenido. Desde Europa no tienen ninguna ventaja. Ninguno de los dos valida DNSSEC y los dos conservan registros.

Los que se quedaron fuera

Aquí está la parte útil si acabas de leer un listado de «los 15 mejores DNS».

• dns0.eu cerró el 15 de enero de 2026 por falta de recursos. El propio proyecto recomendó pasarse a DNS4EU o NextDNS.
• UltraDNS Public, que los listados citan con tres nombres (Verisign, Neustar y UltraDNS), sigue respondiendo en 64.6.64.6, pero DigiCert ha retirado su página oficial y publicdns.neustar no carga. Sin documentación viva no entra: la nota «direcciones verificadas con la documentación oficial» que lleva cada ficha sería mentira.
• FreeDNS, Freenom World, puntCAT, GreenTeamDNS, Fourth Estate y SmartViper: ninguna de sus direcciones responde. Freenom se hundió con la pérdida de .tk en 2023; puntCAT nos habría gustado por la versión catalana del sitio, pero 109.69.8.51 está muerta.
• Alternate DNS ya no está en las IPs que dan los listados (76.76.19.19); hoy es una sola dirección en Amazon sin DoH ni DoT ni política publicada. Demasiado frágil.
• Dyn (Oracle) y Level3 (4.2.2.2): responden, pero Oracle retiró su producto y el de Level3 nunca fue un servicio público oficial. Publicar direcciones sin dueño es lo que nos pasó con DNS.WATCH.
• CyberGhost, Unlocator y ExpressVPN: productos de VPN o Smart DNS de pago, no DNS públicos.
• SafeDNS y FlashStart: comerciales; lo gratuito es una prueba.
• OpenNIC: red de voluntarios con direcciones que cambian; tres de las cuatro que dan los listados están muertas. No se puede publicar una IP fija.

Y tres de los seis listados traían errores en direcciones de proveedores que sí tenemos: a Quad9 le faltaba un dígito en el secundario, AdGuard aparecía con las IPs que retiró en 2020 y OpenDNS FamilyShield con una dirección incompleta. Si copias un DNS de un artículo, contrasta la IP con la web del proveedor.

Tres que no validan DNSSEC

La prueba es sencilla y la puedes repetir: dig @IP dnssec-failed.org A. Ese dominio está firmado con una firma inválida a propósito. Un resolver que valida DNSSEC contesta SERVFAIL; uno que no valida devuelve la dirección como si todo estuviera bien. LibreDNS, AliDNS y DNSPod la devolvieron, en el puerto 53 y también por DoH. Alguno de los listados les atribuye DNSSEC; nosotros publicamos lo que responde el servidor. El verificador DNSSEC del sitio hace la misma comprobación con cualquier dominio.

xdp.es estrena secundarios

xdp.es, el DNS público español, publicaba hasta ahora una sola IP por perfil. Desde hoy cada perfil tiene pareja: el primario sigue en Madrid (85.208.114.51 con bloqueo de anuncios, 85.208.114.52 sin filtrar) y el secundario está en la red de Oracle (51.170.52.10 y 51.170.54.40, con sus IPv6 2603:c027:8703:d400::10 y ::40). Comprobamos que cada secundario filtra igual que su primario, así que no hay que mezclar perfiles. Si lo tenías configurado con la IP repetida, ahora puedes poner la pareja de verdad.

Latencia: en la próxima medición

Los cuatro nuevos que responden en el puerto 53 (DNS.SB, Hurricane Electric, AliDNS y DNSPod) aún no están en la tabla de latencia de la comparativa. Intentamos medirlos hoy desde la misma línea de siempre y la conexión estaba congestionada: un ping a 1.1.1.1 iba de 5 a 577 ms. Con esa red todos los resolvers salían cuatro veces más lentos que en agosto, y publicar eso sería engañar. La tabla se completará en cuanto haya una medición limpia, con su fecha. Mientras tanto, el test de velocidad mide desde tu propia conexión, que al final es la que importa.

Qué pasa cuando un DNS cierra

Con 21 proveedores es cuestión de tiempo que alguno cierre; dns0.eu duró tres años. A partir de hoy la regla es que una ficha publicada no se borra: se marca como cerrada con la fecha, sale la última en la comparativa y deja de aparecer entre los proveedores parecidos. Sus direcciones están en miles de tutoriales y configuraciones; quien llegue buscándolas debe encontrar el aviso, no un error 404. DNS.WATCH, que lleva desde agosto respondiendo a ratos, será probablemente el primero.

Fuentes

• UncensoredDNS, «DNS servers» y FAQ.
• LibreDNS, documentación.
• Digitale Gesellschaft, «DNS».
• DNS.SB, página principal y política de privacidad.
• Hurricane Electric, «Public Recursor Enhancements» en su foro oficial.
• Alibaba Cloud, AliDNS; DNSPod, Public DNS+.
• xdp.es, página principal.
• BleepingComputer, «DNS0.EU private DNS service shuts down over sustainability issues».
• Respuestas, DNSSEC, filtrado, DoT y DoH: consultas propias con dig, openssl y curl desde Madrid el 21 de septiembre de 2026.