Aunque a menudo se presenta como una soluci\u00f3n sencilla basada en pol\u00edticas, la imposici\u00f3n de bloqueos por DNS es una medida ineficaz, perjudicial y poco pr\u00e1ctica. Estos bloqueos son ineficaces<\/strong> porque los usuarios pueden eludirlos f\u00e1cilmente y no eliminan el contenido que se pretende bloquear, el cual suele reaparecer bajo nuevos nombres de dominio. Son perjudiciales<\/strong> porque se trata de un instrumento impreciso que no distingue entre material l\u00edcito e il\u00edcito, lo que provoca bloqueos excesivos, fragmenta el sistema global de nombres de dominio de Internet y genera fallas en los servicios interconectados, incluidos protocolos de seguridad cr\u00edticos. Por \u00faltimo, son poco pr\u00e1cticos<\/strong> porque el DNS no est\u00e1 limitado por la geograf\u00eda, lo que significa que las \u00f3rdenes de bloqueo nacionales dirigidas a resolvedores globales producen efectos extraterritoriales no deseados y generalizados. Imponer bloqueos es una herramienta equivocada para una funci\u00f3n para la que el DNS nunca fue dise\u00f1ado. Para abordar los da\u00f1os en l\u00ednea, las intervenciones deben enfocarse en el propio contenido y en los actores responsables, sin comprometer la universalidad, la confiabilidad y la seguridad de la infraestructura b\u00e1sica de Internet.<\/p>\n\n\n\n El Sistema de Nombres de Dominio (DNS) cumple una funci\u00f3n cr\u00edtica para Internet. Permite que las personas utilicen palabras familiares como \u201cexample.com\u201d en vez de largas direcciones num\u00e9ricas para acceder a sitios web, enviar correos electr\u00f3nicos y utilizar diferentes servicios en l\u00ednea. Sin esta capa de nombres, Internet no ser\u00eda el sistema de comunicaciones global y pr\u00e1ctico del que todo el mundo depende hoy en d\u00eda.<\/p>\n\n\n\n Como el DNS ofrece esta funci\u00f3n, a veces se considera un lugar conveniente para hacer cumplir las pol\u00edticas p\u00fablicas, especialmente porque el filtrado de DNS o control parental voluntario es una pr\u00e1ctica com\u00fan. Los gobiernos y los tribunales recurren cada vez m\u00e1s a la imposici\u00f3n de bloqueos por DNS para impedir el acceso a ciertos contenidos, ya sea para combatir la explotaci\u00f3n infantil, evitar la infracci\u00f3n de los derechos de autor, limitar los juegos de azar en l\u00ednea o abordar material pol\u00edticamente sensible o il\u00edcito.<\/p>\n\n\n\n Este enfoque parece sencillo: si un nombre no se puede traducir a su direcci\u00f3n IP, no es posible acceder al contenido. Sin embargo, esta simplicidad es enga\u00f1osa. El DNS fue dise\u00f1ado pensando en la universalidad, la consistencia y la usabilidad, no como una herramienta para la aplicaci\u00f3n de pol\u00edticas p\u00fablicas. Reutilizarlo para este fin introduce efectos secundarios t\u00e9cnicos y operativos, genera tensiones jur\u00eddicas y jurisdiccionales y socava importantes medidas de seguridad que protegen a los usuarios. Es importante destacar que estas intervenciones son inherentemente imprecisas: no pueden dirigirse a p\u00e1ginas o archivos individuales, tienden a causar da\u00f1os colaterales y son f\u00e1ciles de eludir. Adem\u00e1s, la naturaleza global y descentralizada del DNS hace que sea dif\u00edcil que un bloqueo basado en la ubicaci\u00f3n se limite a una \u00fanica jurisdicci\u00f3n.<\/p>\n\n\n\n El mensaje de este informe es simple: imponer un bloqueo por DNS puede parecer una soluci\u00f3n t\u00e9cnica sencilla para hacer cumplir las pol\u00edticas p\u00fablicas, pero en la pr\u00e1ctica es una medida poco precisa, costosa e incluso contraproducente. Para entender por qu\u00e9, es necesario considerar el DNS como una infraestructura global compartida y reconocer el impacto cuando se le asigna una funci\u00f3n para la que no fue dise\u00f1ado.<\/p>\n\n\n\n El DNS proporciona la funci\u00f3n de nombres que, en la pr\u00e1ctica, permite que Internet funcione. Las computadoras utilizan direcciones IP para identificarse entre s\u00ed, pero estas son dif\u00edciles de recordar y de usar para las personas. Por lo tanto, la funci\u00f3n del DNS es ofrecer una traducci\u00f3n entre nombres f\u00e1ciles de recordar, como \u201cexample.com\u201d, y los identificadores num\u00e9ricos que las redes requieren para entregar los datos. De esta forma, permite a las personas interactuar con Internet de una manera sencilla e intuitiva, mientras que las computadoras siguen dependiendo de los identificadores num\u00e9ricos necesarios para entregar los paquetes de datos.<\/p>\n\n\n\n El proceso de traducci\u00f3n entre nombres y direcciones se puede comprender a trav\u00e9s de dos componentes clave del DNS. El primero es el resolvedor recursivo<\/em>, un servidor que recibe la solicitud del usuario para resolver un nombre de dominio determinado (por ejemplo, \u201cexample.com\u201d) y se encarga de encontrar la direcci\u00f3n IP correspondiente. Para ello, el resolvedor consulta secuencialmente una serie de servidores de nombres autoritativos<\/em>, que son los servidores que almacenan los registros oficiales de porciones espec\u00edficas o \u201czonas\u201d del DNS. El proceso empieza en la parte superior de la jerarqu\u00eda, la llamada zona \u201cra\u00edz\u201d, que indica al resolvedor d\u00f3nde encontrar los servidores del siguiente nivel (por ejemplo, \u201c.com\u201d). A su vez, estos servidores dirigen el resolvedor a los servidores autoritativos del dominio solicitado (por ejemplo, \u201cexample.com\u201d), que finalmente proporcionan la direcci\u00f3n IP.<\/p>\n\n\n\n Esto subraya dos caracter\u00edsticas importantes del DNS:<\/p>\n\n\n\n Si bien t\u00e9cnicamente es posible instalar el resolvedor recursivo en el dispositivo del usuario para que realice todo el proceso de resoluci\u00f3n de nombres por su cuenta, esto es poco com\u00fan y en general poco pr\u00e1ctico[2]<\/a><\/sup>.\u00a0En vez de ello, la mayor\u00eda de los dispositivos depende de un resolvedor recursivo separado generalmente operado por su proveedor de servicios de Internet (ISP) u otro servicio.<\/p>\n\n\n\n Tradicionalmente, el resolvedor recursivo lo proporciona el ISP del usuario o, en el caso de una red empresarial, el administrador de la red. En este modelo, conocido como resolvedor recursivo privado<\/em>, el resolvedor opera dentro de la red de acceso y est\u00e1 disponible principalmente para los suscriptores o miembros de dicha red. En este caso, el resolvedor recursivo se configura autom\u00e1ticamente a trav\u00e9s de la configuraci\u00f3n de la red. Como resultado, la mayor\u00eda de los usuarios desconocen el resolvedor espec\u00edfico que est\u00e1n utilizando, ya que se proporciona autom\u00e1ticamente como parte de su servicio de acceso a Internet.<\/p>\n\n\n\n En los \u00faltimos a\u00f1os, tambi\u00e9n ha aumentado el uso de los llamados resolvedores recursivos p\u00fablicos<\/em>. Estos son gestionados por organizaciones externas, como Google (8.8.8.8), Cloudflare (1.1.1.1) y Quad9 (9.9.9.9), que ponen sus resolvedores a disposici\u00f3n de cualquier usuario de Internet. Los resolvedores p\u00fablicos suelen promocionarse por su mayor velocidad, sus funciones de seguridad avanzadas o sus mejores pr\u00e1cticas en materia de privacidad. Pueden ser adoptados por usuarios que reconfiguran sus dispositivos, por desarrolladores de aplicaciones que necesitan un rendimiento DNS consistente o por redes enteras que optan por externalizar la resoluci\u00f3n DNS en vez de operar sus propios resolvedores[3]<\/a><\/sup>.<\/p>\n\n\n\n Las diferencias operativas y estructurales entre los resolvedores recursivos privados y p\u00fablicos son significativas en varios aspectos. En particular, los resolvedores privados generalmente est\u00e1n tanto t\u00e9cnica como contractualmente vinculados con la red de acceso en la que operan, lo que los convierte en parte de la relaci\u00f3n de servicio directa con el usuario. Por el contrario, los resolvedores p\u00fablicos se ofrecen como servicios independientes que operan globalmente y pueden estar ubicados en jurisdicciones diferentes a las de sus usuarios.<\/p>\n\n\n\n El bloqueo por DNS (tambi\u00e9n conocido como filtrado basado en DNS) modifica el funcionamiento normal del DNS para impedir que los usuarios accedan a determinados nombres de dominio. Como se describi\u00f3 anteriormente, en condiciones normales, cuando un usuario escribe un nombre de dominio (por ejemplo, \u201cexample.com\u201d) en un navegador web, su resolvedor recursivo devuelve la direcci\u00f3n IP correspondiente para que el navegador (u otra aplicaci\u00f3n) pueda conectarse al servidor correcto.<\/p>\n\n\n\n Sin embargo, con el bloqueo por DNS, el resolvedor est\u00e1 configurado para verificar los nombres solicitados contra una lista de bloqueo antes de completar la b\u00fasqueda. Si el nombre consultado est\u00e1 en la lista, el resolvedor devolver\u00e1 una respuesta modificada o falsa en vez de la direcci\u00f3n IP real.<\/p>\n\n\n\n Los formuladores de pol\u00edticas suelen citar el uso de filtrado voluntario como prueba de que la imposici\u00f3n de bloqueos por DNS es simplemente una extensi\u00f3n de pr\u00e1cticas ya existentes. Sin embargo, esta comparaci\u00f3n resulta enga\u00f1osa. Si bien ambos enfoques implican modificar las respuestas del DNS, difieren fundamentalmente en su prop\u00f3sito, implementaci\u00f3n y efectos t\u00e9cnicos.<\/p>\n\n\n\n En primer lugar, el filtrado voluntario es impulsado por el usuario, la organizaci\u00f3n o el proveedor de servicios de Internet (ISP), quienes seleccionan una lista de bloqueo que pueden modificar o deshabilitar en cualquier momento. Por ejemplo, los usuarios pueden habilitar filtros de control parental para bloquear contenido pornogr\u00e1fico o listas de seguridad para protegerse contra el malware y los sitios de phishing[4]<\/a><\/sup>.\u00a0Por el contrario, un bloqueo por DNS impuesto es una expresi\u00f3n de pol\u00edtica p\u00fablica dictada por agencias gubernamentales o tribunales cuyas decisiones son vinculantes para todos los operadores dentro de su jurisdicci\u00f3n. De este modo, la autoridad para decidir qu\u00e9 nombres pueden resolverse o no se traslada del per\u00edmetro de la red a una autoridad centralizada (el estado), donde las decisiones se imponen universalmente y sin la participaci\u00f3n del usuario.<\/p>\n\n\n\n En segundo lugar, en los sistemas voluntarios el filtrado por DNS suele implementarse cerca del usuario, por ejemplo, en routers dom\u00e9sticos, firewalls corporativos o resolvedores a nivel de ISP, que el usuario puede reemplazar o reconfigurar. Por lo tanto, el filtrado opera en el marco de una relaci\u00f3n limitada y transparente[5]<\/a><\/sup>.\u00a0En cambio, los bloqueos por DNS impuestos requieren intervenci\u00f3n a nivel de sistema: los resolvedores de toda una jurisdicci\u00f3n (y potencialmente m\u00e1s all\u00e1) deben reconfigurarse para cumplir con una orden. En la pr\u00e1ctica, estas medidas eliminan la posibilidad de que los usuarios o las redes elijan resolvedores DNS alternativos, transformando una decisi\u00f3n de gesti\u00f3n local en una pol\u00edtica de alcance nacional.<\/p>\n\n\n\n Por \u00faltimo, ambos enfoques difieren en sus consecuencias t\u00e9cnicas y operativas. El filtrado voluntario suele ser limitado, transparente y administrado localmente. Por ejemplo, si se produce un bloqueo excesivo, puede ser detectado y resuelto r\u00e1pidamente para limitar su impacto en la Internet en general. En cambio, un bloqueo impuesto implica el riesgo de generar efectos colaterales significativos al imponer una resoluci\u00f3n de nombres inconsistente entre distintas jurisdicciones.<\/p>\n\n\n\n El bloqueo por DNS no elimina el contenido de Internet, sino que \u00fanicamente impide que un resolvedor espec\u00edfico resuelva las direcciones IP del servidor donde se aloja dicho contenido. El contenido sigue siendo accesible a trav\u00e9s de otros resolvedores o mediante una conexi\u00f3n directa siempre que la direcci\u00f3n IP est\u00e9 disponible.<\/p>\n\n\n\n Existen numerosas t\u00e9cnicas de elusi\u00f3n f\u00e1cilmente accesibles (e incluso automatizadas) que permiten que un usuario evite un bloqueo por DNS. Esto reduce dr\u00e1sticamente su eficacia a largo plazo.<\/p>\n\n\n\n En primer lugar, el usuario puede simplemente cambiar de resolvedor. Dado que los bloqueos por DNS suelen implementarse en resolvedores DNS espec\u00edficos, como los operados por un proveedor de servicios de Internet, a menudo el usuario puede eludir el bloqueo dirigiendo las consultas a un resolvedor diferente. La mayor\u00eda de los usuarios empieza con un resolvedor elegido por su ISP que se ha configurado autom\u00e1ticamente a trav\u00e9s de los ajustes de red durante la instalaci\u00f3n. Sin embargo, los usuarios pueden anular esta configuraci\u00f3n y apuntar a otro resolvedor (como un resolvedor p\u00fablico) o incluso ejecutar un resolvedor en su propio dispositivo. Por ejemplo, durante la prohibici\u00f3n de Twitter en Turqu\u00eda en 2014, el uso del resolvedor p\u00fablico de Google para eludir los bloqueos por DNS de los ISP locales se generaliz\u00f3 tanto que la direcci\u00f3n IP del resolvedor (8.8.8.8.) se pint\u00f3 con aerosol en las paredes para difundir informaci\u00f3n sobre c\u00f3mo sortear la censura[6]<\/a><\/sup>.<\/p>\n\n\n\n En segundo lugar, el usuario puede utilizar una red privada virtual (VPN) o la red Tor[7]<\/a><\/sup>.\u00a0Estas herramientas cifran y redirigen todo el tr\u00e1fico de Internet (incluidas las consultas al DNS) a trav\u00e9s de servidores ubicados en otra red (potencialmente fuera de la jurisdicci\u00f3n afectada). Desde la perspectiva del resolvedor del ISP, no se est\u00e1n realizando consultas ya que la resoluci\u00f3n DNS se realiza a trav\u00e9s de servidores externos. Las VPN y Tor son herramientas cada vez m\u00e1s comunes que permiten que usuarios sin conocimientos t\u00e9cnicos eludan la censura.<\/p>\n\n\n\n El bloqueo por DNS \u00fanicamente impide que un resolvedor traduzca un nombre de dominio bloqueado a su direcci\u00f3n IP correspondiente. No elimina el contenido subyacente de Internet. En la pr\u00e1ctica, el material generalmente sigue estando disponible y puede ser accedido otra vez una vez que se vincula a un nuevo nombre de dominio. Esta din\u00e1mica es especialmente visible en contextos en r\u00e1pida evoluci\u00f3n como el phishing, los discursos extremistas o la infracci\u00f3n de los derechos de autor. En estos casos, los operadores pueden registrar nuevos dominios y redirigirlos a los mismos servidores casi de inmediato. Como resultado, un bloqueo aplicado a un dominio suele tener un efecto temporal hasta que el sitio reaparece bajo otro dominio[8]<\/a><\/sup>.<\/p>\n\n\n\n La resoluci\u00f3n DNS solo traduce un nombre de dominio a la direcci\u00f3n IP de un servidor web, no el camino completo de un recurso. Por ejemplo, cuando un usuario ingresa \u201chttps:\/\/example.com\/page1<\/a>\u201d en su navegador, el DNS solo resuelve la parte \u201cexample.com\u201d a una direcci\u00f3n IP. El resto del camino, es decir, \u201c\/page1\u201d (o cualquier imagen, video o archivo espec\u00edfico), se gestiona una vez que se ha establecido una conexi\u00f3n con el servidor web. Esto significa que el bloqueo por DNS solo se aplica a nombres de dominio completos, no a p\u00e1ginas o archivos individuales[9]<\/a><\/sup>.<\/p>\n\n\n\n Esto convierte el bloqueo por DNS en una herramienta poco precisa. Aunque solo una p\u00e1gina de un dominio sea il\u00edcita, el bloqueo a nivel de DNS puede impedir el acceso al resto del contenido alojado en el mismo dominio, incluso si es leg\u00edtimo. El impacto puede ser particularmente significativo en plataformas compartidas como redes sociales, blogs o servicios en la nube, donde millones de usuarios diferentes dependen de un mismo nombre de dominio. Por lo tanto, un solo bloqueo puede interrumpir grandes cantidades de contenido no relacionado.<\/p>\n\n\n\n Adem\u00e1s, los servicios en l\u00ednea rara vez existen como un \u00fanico sistema alojado en un solo servidor. Por el contrario, lo que un usuario percibe como un sitio web o aplicaci\u00f3n unificada suele estar compuesto por una colecci\u00f3n de componentes distribuidos entre m\u00faltiples servidores. Por ejemplo, la estructura b\u00e1sica de una p\u00e1gina web podr\u00eda obtenerse de un servidor y las im\u00e1genes y videos de otro, la funci\u00f3n de inicio de sesi\u00f3n podr\u00eda depender de un servicio de autenticaci\u00f3n externo y las funciones adicionales podr\u00edan ser obtenidas de otros proveedores externos. Estos elementos, cada uno alojado en distintos servidores, se ensamblan para ofrecer una experiencia de usuario fluida y su funcionamiento generalmente depende de los nombres de dominio para ubicar y conectar las diferentes partes[10]<\/a><\/sup>.\u00a0Estas dependencias tambi\u00e9n implican que bloquear un dominio puede generar fallas en sitios y aplicaciones no relacionados. Si un resolvedor devuelve una respuesta alterada o inconsistente, el servicio principal puede fallar por completo, incluso si el usuario no se da cuenta de qu\u00e9 parte del sistema origin\u00f3 el problema[11]<\/a><\/sup>.<\/p>\n\n\n\n La pr\u00e1ctica de los bloqueos por DNS tambi\u00e9n tiene importantes implicancias para la seguridad. Por ejemplo, la comunidad de Internet desarroll\u00f3 Extensiones de Seguridad de DNS (DNSSEC) para abordar vulnerabilidades del DNS. DNSSEC permite firmar criptogr\u00e1ficamente los registros DNS de manera que los resolvedores recursivos puedan verificar que las respuestas que reciben son aut\u00e9nticas y no han sido alteradas. Cuando se implementa correctamente, DNSSEC previene ataques de intermediario (man-in-the-middle<\/em>), en los que se inyectan respuestas DNS falsas para redirigir a los usuarios hacia sitios maliciosos. Esto crea un conflicto directo con el bloqueo por DNS, ya que cualquier intento de redirigir una consulta a un dominio distinto al solicitado interfiere con el funcionamiento de DNSSEC. Si un resolvedor devuelve una direcci\u00f3n IP falsificada para cumplir con una orden de bloqueo, por ejemplo, enviando al usuario a una p\u00e1gina que indica que el sitio est\u00e1 bloqueado, esa respuesta no puede ser firmada por el operador leg\u00edtimo del dominio y ser\u00eda rechazada por la validaci\u00f3n de DNSSEC. Mientras que DNSSEC busca garantizar la autenticidad mediante la validaci\u00f3n criptogr\u00e1fica, el bloqueo por DNS introduce una falta de autenticidad deliberada. El resultado es un conflicto en el que las \u00f3rdenes de bloqueo por DNS socavan la adopci\u00f3n generalizada de DNSSEC[12]<\/a><\/sup>.<\/p>\n\n\n\n La arquitectura de Internet no se ajusta a la geograf\u00eda ni a las jurisdicciones. Si bien la transmisi\u00f3n de datos inevitablemente ocurre a trav\u00e9s de infraestructuras f\u00edsicas ubicadas en lugares espec\u00edficos, los sistemas de direccionamiento y nombres que permiten la comunicaci\u00f3n por Internet operan de forma independiente de las fronteras geogr\u00e1ficas. Por ejemplo, un dominio podr\u00eda haber sido registrado a trav\u00e9s de un registrador en un pa\u00eds determinado, sus servidores de nombres autoritativos podr\u00edan ser operados desde otro, y su contenido podr\u00eda estar alojado en servidores web en una tercera jurisdicci\u00f3n. Para la red, todas estas ubicaciones pueden parecer muy cercanas en t\u00e9rminos de milisegundos, incluso cuando geogr\u00e1ficamente est\u00e9n a muchos kil\u00f3metros.<\/p>\n\n\n\n Los resolvedores recursivos introducen a\u00fan m\u00e1s complejidad. Por ejemplo, un resolvedor p\u00fablico ubicado en el pa\u00eds A puede atender consultas de millones de usuarios en los pa\u00edses B, C y D. Las pol\u00edticas de bloqueo de contenido aplicadas a este resolvedor pueden afectar a usuarios mucho m\u00e1s all\u00e1 de la jurisdicci\u00f3n prevista a menos que el operador pueda distinguir la ubicaci\u00f3n del usuario de manera muy confiable y r\u00e1pida (en milisegundos), lo cual se complica por las limitaciones de la geolocalizaci\u00f3n de las direcciones IP.<\/p>\n\n\n\n Desde una perspectiva t\u00e9cnica, los operadores pueden implementar filtros que aproximen la ubicaci\u00f3n geogr\u00e1fica de un usuario a partir de su direcci\u00f3n IP. Sin embargo, este enfoque dista mucho de ser preciso[13]<\/a><\/sup>.\u00a0Este tipo de filtrado basado en la ubicaci\u00f3n es imperfecto y puede clasificar err\u00f3neamente a los usuarios, especialmente en regiones donde las direcciones IP se asignan de forma fluida, se comparten entre pa\u00edses o se reasignan de forma din\u00e1mica. Esto puede provocar que usuarios leg\u00edtimos fuera de la jurisdicci\u00f3n prevista vean denegado su acceso, mientras que los usuarios objetivo puedan seguir accediendo.<\/p>\n\n\n\n Adem\u00e1s, la incorporaci\u00f3n de filtrado basado en la ubicaci\u00f3n tambi\u00e9n corre el riesgo de entrar en conflicto con los compromisos de privacidad y neutralidad de muchos operadores de resolvedores p\u00fablicos. Servicios como los resolvedores p\u00fablicos de Cloudflare o Quad9 se promocionan expl\u00edcitamente como alternativas globales, consistentes y respetuosas de la privacidad frente a los resolvedores operados por los ISP[14]<\/a><\/sup>.\u00a0Esto incluye pol\u00edticas como no registrar, elaborar perfiles ni modificar las consultas al DNS de los usuarios seg\u00fan qui\u00e9nes sean o d\u00f3nde se encuentren. Por el contrario, el filtrado basado en la ubicaci\u00f3n obligar\u00eda a los resolvedores a recopilar o inferir este tipo de informaci\u00f3n para cada consulta, lo que socavar\u00eda tanto la neutralidad como la privacidad.<\/p>\n\n\n\n Dado que el DNS es un sistema global, las medidas de bloqueo suelen entrar en conflicto con numerosos marcos legales nacionales. Lo que puede estar prohibido en una jurisdicci\u00f3n puede ser l\u00edcito en otra y una orden de bloqueo dictada a nivel nacional no puede conciliarse f\u00e1cilmente con estas diferencias. Este problema es particularmente grave para los resolvedores p\u00fablicos que prestan servicios a usuarios de todo el mundo y m\u00e1s all\u00e1 de las fronteras. Cuando un regulador o un tribunal nacional ordena al operador de un resolvedor p\u00fablico que implemente un bloqueo, en la pr\u00e1ctica le est\u00e1 pidiendo que aplique leyes nacionales a usuarios en el extranjero. El operador podr\u00eda entonces enfrentarse a un dilema jur\u00eddico: cumplir con la orden y arriesgarse a infringir los derechos de los usuarios o las leyes de otra jurisdicci\u00f3n, o negarse y exponerse a sanciones en la jurisdicci\u00f3n que impone el bloqueo[15]<\/a><\/sup>.<\/p>\n\n\n\n Adem\u00e1s, implementar un bloqueo por DNS puede resultar costoso tanto para los operadores como para los usuarios. Hacerlo, especialmente cuando se aplica selectivamente por jurisdicci\u00f3n, exige no solo cambios t\u00e9cnicos en la infraestructura del resolvedor sino tambi\u00e9n una inversi\u00f3n operativa continua. Configurar una lista de bloqueo simple de aplicaci\u00f3n global es relativamente f\u00e1cil. Sin embargo, implementar un bloqueo dirigido basado en la ubicaci\u00f3n del usuario o la jurisdicci\u00f3n aumenta significativamente la complejidad y los costos. Cuanto m\u00e1s fragmentadas sean las reglas, mayor ser\u00e1 la carga operativa para los operadores de DNS y mayor la probabilidad de errores por bloqueo excesivo o insuficiente. Si bien el costo incremental de implementar una regla de bloqueo adicional puede ser moderado, los costos se multiplican a medida que m\u00e1s jurisdicciones imponen requisitos diferentes. El resultado podr\u00eda ser una consolidaci\u00f3n del mercado donde solo los grandes operadores puedan operar a gran escala, reduciendo la competencia y la diversidad en la prestaci\u00f3n de servicios de DNS[16]<\/a><\/sup>.<\/p>\n\n\n\n Desde la perspectiva del usuario, un bloqueo tambi\u00e9n conlleva el riesgo de afectar la calidad del servicio, ya que integrar verificaciones de geolocalizaci\u00f3n en la resoluci\u00f3n DNS podr\u00eda aumentar la latencia. Aunque retrasos de tan solo unos milisegundos puedan parecer insignificantes, a escala de Internet impactan la experiencia del usuario porque las p\u00e1ginas complejas se cargan mucho m\u00e1s lentamente debido a que a cada componente se accede a trav\u00e9s del DNS y se somete, por ejemplo, a una verificaci\u00f3n de geolocalizaci\u00f3n. Esto tambi\u00e9n puede llevar a los usuarios a cambiar de resolvedores, lo que socava tanto el cumplimiento como los objetivos comerciales.<\/p>\n\n\n\n Como herramienta de pol\u00edtica p\u00fablica, los bloqueos por DNS resultan ineficaces, perjudiciales y poco pr\u00e1cticos.<\/p>\n\n\n\n No funcionan porque se pueden eludir f\u00e1cilmente y no eliminan el contenido objetivo, que sigue siendo accesible, incluso bajo un nuevo nombre de dominio. Provocan problemas ya que bloquean excesivamente contenidos leg\u00edtimos, fragmentan la resoluci\u00f3n global de nombres y provocan fallas colaterales en servicios interconectados, incluida la seguridad. Son poco pr\u00e1cticos porque el DNS no est\u00e1 limitado geogr\u00e1ficamente y la existencia de resolvedores globales significa que las \u00f3rdenes de bloqueo nacionales producen efectos extraterritoriales.<\/p>\n\n\n\n Por todas estas razones, la imposici\u00f3n de bloqueos por DNS no es la herramienta adecuada para la aplicaci\u00f3n de pol\u00edticas p\u00fablicas, una funci\u00f3n para la que nunca fue dise\u00f1ado.<\/p>\n\n\n\n Si es necesario abordar da\u00f1os en l\u00ednea, las intervenciones deben enfocarse en el contenido, en los actores responsables y en medidas basadas en el debido proceso y la cooperaci\u00f3n internacional. El DNS existe para facilitar el uso de Internet, no para servir como mecanismo de control. Preservar su universalidad, confiabilidad y seguridad es fundamental para mantener una Internet abierta, resiliente y global.<\/p>\n\n\n\n Abecassis, David, Andrew Daly, et Dalya Glickman. The Economic Cost of Network Blocking. Analysys Mason, 2025. https:\/\/www.analysysmason.com\/consulting\/reports\/network-blocking-economic-impact-jul25\/<\/a><\/p>\n\n\n\n Badiei, Farzaneh, et Sebastian Castro. Resolving the Future \u2013 The DNS Layer and the Power to Navigate the Internet. Digital Medusa, 2025. https:\/\/digitalmedusa.org\/wp-content\/uploads\/2025\/04\/DNS-Resolvers-2025-Final.pdf<\/a><\/p>\n\n\n\n Barnes, Richard, Alissa Cooper, Olaf Kolkman, Dave Thaler, et Erik Nordmark. RFC 7754 Technical Considerations for Internet Service Blocking and Filtering. 2016. https:\/\/datatracker.ietf.org\/doc\/rfc7754\/<\/a><\/p>\n\n\n\n Documents Cloudflare \u20181.1.1.1 Public DNS Resolver\u2019. 13 ao\u00fbt 2024. https:\/\/developers.cloudflare.com\/1.1.1.1\/privacy\/public-dns-resolver\/<\/a><\/p>\n\n\n\n Crocker, Steve, David Dagon, Dan Kaminsky, Danny McPherson, et Paul Vixie. Security and Other Technical Concerns Raised by the DNS Filtering Requirements in the PROTECT IP Bill. Auteurs (Affiliations fournies \u00e0 des fins d\u2019identification uniquement), 2011. https:\/\/www.circleid.com\/pdf\/PROTECT-IP-Technical-Whitepaper-Final.pdf<\/a><\/p>\n\n\n\n ICANN SSAC. DNS Blocking Revisited. SAC127. 2025. https:\/\/itp.cdn.icann.org\/en\/files\/security-and-stability-advisory-committee-ssac-reports\/sac127-dns-blocking-revisited-16-05-2025-en.pdf<\/a><\/p>\n\n\n\n ICANN SSAC. SSAC Advisory on Impacts of Content Blocking via the DNS. SAC056. 2012. https:\/\/itp.cdn.icann.org\/en\/files\/security-and-stability-advisory-committee-ssac-reports\/sac-056-en.pdf<\/a><\/p>\n\n\n\n Internet Society. Introduction to DNS Privacy. 2018. https:\/\/www.internetsociety.org\/resources\/doc\/2018\/introduction-to-dns-privacy\/<\/a><\/p>\n\n\n\n Internet Society. Perspectives sur le blocage de contenu sur Internet : tour d\u2019horizon. 2017. https:\/\/www.internetsociety.org\/resources\/doc\/2017\/perspectives-on-internet-content-blocking\/<\/a><\/p>\n\n\n\n MaxMind. \u2018Geolocation Accuracy\u2019. 12 mars 2025. https:\/\/support.maxmind.com\/hc\/en-us\/articles\/4407630607131-Geolocation-Accuracy<\/a><\/p>\n\n\n\n Documents Web MDN \u2018Populating the Page: How Browsers Work – Performance | MDN\u2019. 11 ao\u00fbt 2025. https:\/\/developer.mozilla.org\/en-US\/docs\/Web\/Performance\/Guides\/How_browsers_work<\/a><\/p>\n\n\n\n Quad9. \u2018Quad9 | A Public and Free DNS Service for a Better Security and Privacy\u2019. Consult\u00e9 le 2 septembre 2025. https:\/\/quad9.net\/<\/a><\/p>\n\n\n\n Sar, Ernesto van der. \u2018French Piracy Blocking Order Goes Global, DNS Service Quad9 Vows to Fight\u2019. TorrentFreak, 12 d\u00e9cembre 2024. https:\/\/torrentfreak.com\/french-piracy-blocking-order-goes-global-dns-service-quad9-vows-to-fight-241212\/<\/a><\/p>\n\n\n\n Souppouris, Aaron. \u2018Turkish Citizens Use Google to Fight Twitter Ban\u2019. The Verge, 21 mars 2014. https:\/\/www.theverge.com\/2014\/3\/21\/5532522\/turkey-twitter-ban-google-dns-workaround<\/a><\/p>\n\n\n\n Worley, Jon. \u2018IP Geolocation: The Good, The Bad, & The Frustrating\u2019. 11 juin 2018. https:\/\/www.arin.net\/vault\/blog\/2018\/06\/11\/ip-geolocation-the-good-the-bad-the-frustrating\/<\/a><\/p>\n\n\n\n Notas<\/strong><\/p>\n\n\n\n [1]<\/a> El camino de una p\u00e1gina web es la parte de la URL que sigue al nombre de dominio e identifica un recurso espec\u00edfico en el servidor web. Por ejemplo, en \u201chttps:\/\/example.com\/articles\/2025\/DNSblocking.html\u201d, el nombre de dominio es \u201cexample.com\u201d, mientras que \u201c\/articles\/2025\/DNS blocking.html\u201d es el camino de la p\u00e1gina. La resoluci\u00f3n DNS ignora todo lo que no sea el dominio.<\/p>\n\n\n\n [2]<\/a> Internet Society, Introduction to DNS Privacy<\/em> (2018), https:\/\/www.internetsociety.org\/resources\/doc\/2018\/introduction-to-dns-privacy\/.<\/a><\/p>\n\n\n\n [3]<\/a> Farzaneh Badiei and Sebastian Castro, Resolving the Future \u2013 The DNS Layer and the Power to Navigate the Internet<\/em> (Digital Medusa, 2025), https:\/\/digitalmedusa.org\/wp-content\/uploads\/2025\/04\/DNS-Resolvers-2025-Final.pdf.<\/a><\/p>\n\n\n\n [4]<\/a> Richard Barnes et al., RFC 7754 Technical Considerations for Internet Service Blocking and Filtering<\/em> (2016), 77, https:\/\/datatracker.ietf.org\/doc\/rfc7754\/<\/a>.<\/p>\n\n\n\n [5]<\/a> Internet Society, Policy Brief: Perspectives on Internet Content Blocking<\/em> (2025), https:\/\/www.internetsociety.org\/resources\/policybriefs\/2025\/perspectives-on-internet-content-blocking\/<\/a>.<\/p>\n\n\n\n [6]<\/a> Aaron Souppouris, \u2018Turkish Citizens Use Google to Fight Twitter Ban\u2019, The Verge, 21 March 2014, https:\/\/www.theverge.com\/2014\/3\/21\/5532522\/turkey-twitter-ban-google-dns-workaround<\/a>.<\/p>\n\n\n\n [7]<\/a> ICANN SSAC, DNS Blocking Revisited<\/em>, SAC127 (2025), https:\/\/itp.cdn.icann.org\/en\/files\/security-and-stability-advisory-committee-ssac-reports\/sac127-dns-blocking-revisited-16-05-2025-en.pdf.<\/a><\/p>\n\n\n\n [8]<\/a> Barnes et al., RFC 7754 Technical Considerations for Internet Service Blocking and Filtering<\/em>.<\/p>\n\n\n\n [9]<\/a> ICANN SSAC, SSAC Advisory on Impacts of Content Blocking via the DNS<\/em>, SAC056 (2012), https:\/\/itp.cdn.icann.org\/en\/files\/security-and-stability-advisory-committee-ssac-reports\/sac-056-en.pdf.<\/a><\/p>\n\n\n\n [10]<\/a> Populating the Page: How Browsers Work – Performance | MDN\u2019, MDN Web Docs, 11 August 2025, https:\/\/developer.mozilla.org\/en-US\/docs\/Web\/Performance\/Guides\/How_browsers_work.<\/a><\/p>\n\n\n\n [11]<\/a> ICANN SSAC, DNS Blocking Revisited<\/em>.<\/p>\n\n\n\n [12]<\/a> Steve Crocker et al.,\u00a0Security and Other Technical Concerns Raised by the DNS Filtering Requirements in the PROTECT IP Bill<\/em>\u00a0(Authors (Affiliations provided for identification only), 2011),\u00a0https:\/\/www.circleid.com\/pdf\/PROTECT-IP-Technical-Whitepaper-Final.pdf.<\/a><\/p>\n\n\n\n [13]<\/a> \u2018Geolocation Accuracy\u2019, MaxMind, 12 March 2025, https:\/\/support.maxmind.com\/hc\/en-us\/articles\/4407630607131-Geolocation-Accuracy<\/a>; Jon Worley, \u2018IP Geolocation: The Good, The Bad, & The Frustrating\u2019, 11 June 2018, https:\/\/www.arin.net\/vault\/blog\/2018\/06\/11\/ip-geolocation-the-good-the-bad-the-frustrating\/.<\/a><\/p>\n\n\n\n [14]<\/a> \u2018Quad9 | A Public and Free DNS Service for a Better Security and Privacy\u2019, Quad9, accessed 2 September 2025, https:\/\/quad9.net\/;<\/a> \u20181.1.1.1 Public DNS Resolver\u2019, Cloudflare Docs, 13 August 2024, https:\/\/developers.cloudflare.com\/1.1.1.1\/privacy\/public-dns-resolver\/<\/a>.<\/p>\n\n\n\n [15]<\/a> Ernesto van der Sar, \u2018French Piracy Blocking Order Goes Global, DNS Service Quad9 Vows to Fight\u2019, TorrentFreak<\/em>, 12 December 2024, https:\/\/torrentfreak.com\/french-piracy-blocking-order-goes-global-dns-service-quad9-vows-to-fight-241212\/<\/a>.<\/p>\n\n\n\n [16]<\/a> David Abecassis et al., The Economic Cost of Network Blocking<\/em> (Analysys Mason, 2025), https:\/\/www.analysysmason.com\/consulting\/reports\/network-blocking-economic-impact-jul25\/<\/a>.<\/p>\n\n\n\n <\/p>\n\n\n\n <\/p>\n\n\n\n <\/p>\n","protected":false},"excerpt":{"rendered":" El DNS existe para facilitar el uso de Internet, no para servir como mecanismo de control. Preservar su universalidad, confiabilidad y seguridad es fundamental para mantener una Internet abierta, resiliente y global.<\/p>\n","protected":false},"author":1969,"featured_media":0,"template":"","categories":[6188,173,4910,147],"tags":[6238],"region_news_regions":[6030],"content_category":[6106],"ppma_author":[6341],"class_list":["post-247909","resources","type-resources","status-publish","hentry","category-como-funciona-internet","category-politicas-publicas","category-fortalecimiento-de-internet","category-deploy360-es","tag-sistema-de-nombres-de-dominio-dns","region_news_regions-global","resource_types-resource","content_category-resources-type"],"acf":[],"uagb_featured_image_src":{"full":false,"thumbnail":false,"medium":false,"medium_large":false,"large":false,"1536x1536":false,"2048x2048":false,"post-thumbnail":false,"square":false,"gform-image-choice-sm":false,"gform-image-choice-md":false,"gform-image-choice-lg":false},"uagb_author_info":{"display_name":"Mint Web Design","author_link":"https:\/\/www.internetsociety.org\/es\/author\/mintwebdesign\/"},"uagb_comment_info":0,"uagb_excerpt":"El DNS existe para facilitar el uso de Internet, no para servir como mecanismo de control. Preservar su universalidad, confiabilidad y seguridad es fundamental para mantener una Internet abierta, resiliente y global.","_links":{"self":[{"href":"https:\/\/www.internetsociety.org\/es\/wp-json\/wp\/v2\/resources\/247909","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.internetsociety.org\/es\/wp-json\/wp\/v2\/resources"}],"about":[{"href":"https:\/\/www.internetsociety.org\/es\/wp-json\/wp\/v2\/types\/resources"}],"author":[{"embeddable":true,"href":"https:\/\/www.internetsociety.org\/es\/wp-json\/wp\/v2\/users\/1969"}],"wp:attachment":[{"href":"https:\/\/www.internetsociety.org\/es\/wp-json\/wp\/v2\/media?parent=247909"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.internetsociety.org\/es\/wp-json\/wp\/v2\/categories?post=247909"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.internetsociety.org\/es\/wp-json\/wp\/v2\/tags?post=247909"},{"taxonomy":"region_news_regions","embeddable":true,"href":"https:\/\/www.internetsociety.org\/es\/wp-json\/wp\/v2\/region_news_regions?post=247909"},{"taxonomy":"content_category","embeddable":true,"href":"https:\/\/www.internetsociety.org\/es\/wp-json\/wp\/v2\/content_category?post=247909"},{"taxonomy":"author","embeddable":true,"href":"https:\/\/www.internetsociety.org\/es\/wp-json\/wp\/v2\/ppma_author?post=247909"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}Introducci\u00f3n<\/h2>\n\n\n\n
Breve introducci\u00f3n al DNS<\/h2>\n\n\n\n
\n
Resolvedores DNS recursivos privados vs. p\u00fablicos<\/h2>\n\n\n\n
Bloqueo por DNS<\/h2>\n\n\n\n
\u00bfPor qu\u00e9 los bloqueos por DNS son una herramienta poco precisa?<\/h2>\n\n\n\n
Los bloqueos por DNS son f\u00e1ciles de eludir<\/h3>\n\n\n\n
No eliminan el contenido objetivo<\/h3>\n\n\n\n
Los bloqueos por DNS provocan problemas<\/h3>\n\n\n\n
Los bloqueos por DNS son poco pr\u00e1cticos<\/h3>\n\n\n\n
Conclusi\u00f3n<\/h2>\n\n\n\n
Referencias<\/h2>\n\n\n\n
\n\n\n\n