Test de fugas DNS: comprueba qué resolver responde por ti

Respuesta rápida: ¿tienes una fuga de DNS?

Si tu VPN está conectada y las consultas de dominios las sigue respondiendo el servidor de tu operador o el de tu router, eso es una fuga de DNS que conviene revisar. Lo decisivo es de quién es el resolver, no la etiqueta de país: el DNS usa anycast y las bases de geolocalización fallan a menudo. Esta página lee señales visibles de esta sesión, no todo el tráfico DNS del equipo.

Qué es una fuga de DNS y por qué importa

Cada vez que escribes un dominio, tu dispositivo todavía no sabe a qué dirección IP conectarse. Le pregunta a un servidor DNS —el resolver— y espera la respuesta antes de abrir la web. Ese resolver ve, uno por uno, todos los nombres que pides.

Con una VPN conectada, esa pregunta debería viajar dentro del túnel y la debería responder el resolver del proveedor. Hay una fuga de DNS cuando la pregunta sale por fuera: el túnel oculta tu dirección IP, pero tu operador —o el router, o el DNS seguro que el navegador activó por su cuenta— sigue viendo la lista de dominios que visitas. Es la parte de tu actividad que más se parece a un historial de navegación.

Por eso una fuga de DNS no se nota: la conexión funciona, las páginas cargan y la app dice «conectado». La única forma de detectarla es comprobar quién responde. Si además quieres ver qué dirección IP estás mostrando en ese mismo momento, la prueba de fugas de VPN reúne DNS, WebRTC e IPv6 en una sola pasada, y la herramienta cuál es mi IP muestra la ruta visible desde fuera.

Cómo hacer el test de fugas DNS antes y después de la VPN

Una sola ejecución dice poco. Lo que tiene valor es la comparación: la misma prueba, en el mismo navegador, antes y después de cambiar una sola cosa.

1. Ejecuta la prueba con la VPN desconectada y apunta las direcciones que aparecen en las filas «Cloudflare» y «Google». Ese es tu punto de partida y casi siempre será el resolver de tu operador.
2. Conecta la VPN, o cambia el DNS seguro del navegador. Cambia un solo ajuste en cada intento; si tocas tres a la vez, el resultado no te dirá cuál fue.
3. Vuelve a ejecutar la prueba en la misma pestaña y compara las direcciones de las filas «Cloudflare» y «Google» con las que apuntaste antes. Si cambian al conectar la VPN, la ruta de tus consultas cambió con ella.
4. Usa «Copiar informe seguro» si necesitas guardar el resultado. La exportación resume categorías y no incluye la IP completa del resolver ni otros identificadores sensibles.
5. Repite después de cada reconexión, cambio de red o actualización del navegador. Un resultado de la semana pasada no describe la sesión de hoy.

El orden importa más que la rapidez. La metodología en español explica cómo se etiqueta cada señal y por qué las etiquetas son conservadoras.

Cómo leer el resultado: una tarjeta, cuatro filas y una etiqueta

El resultado no es un aprobado ni un suspenso, y esta página tampoco clasifica a tu resolver por su dueño. Al terminar la prueba aparece exactamente una tarjeta, titulada «Señal DNS», con cuatro filas fijas y una etiqueta de estado. Saber qué hay en cada fila evita leer en el resultado más de lo que contiene.

• Cloudflare: la dirección con la que tu resolver DNS se presentó ante el servicio público de Cloudflare al resolver el nombre de prueba. Es la respuesta literal, sin interpretar. Si ese punto de consulta está bloqueado o no contesta, la fila dice «No disponible».
• Google: lo mismo contra el servicio público de Google, con su propio nombre de prueba. Se consulta por separado a propósito: dos servicios independientes pueden ver resolvers distintos si tu sistema reparte las consultas entre varios servidores.
• Control MyIPScan: una consulta de control que resuelve un dominio de ejemplo desde el servidor de MyIPScan, no desde tu navegador. La fila indica cuántas respuestas devolvió, o «No disponible» si no llegó ninguna.
• Límite: una fila de texto fijo que repite el alcance de la prueba: no es una captura autoritativa de todas las consultas DNS. Está ahí para que el resultado no se lea como una auditoría.

La etiqueta de la tarjeta solo puede tomar tres valores cuando la prueba termina, más uno transitorio mientras se ejecuta:

• Claro Al menos uno de los dos servicios devolvió una respuesta legible y no apareció ninguno de los patrones que la página marca para revisar. Significa «nada inesperado en lo poco que se pudo ver», no «no hay fuga».
• Requiere revisión La respuesta legible era una dirección IPv6, o incluía el bloque de subred del cliente que se conoce como edns0-client-subnet. Ninguna de las dos cosas es una fuga por sí misma; las dos merecen que mires el resto de la sesión.
• Sin revisar Es el estado de partida y también el que queda si ninguno de los dos servicios devolvió algo utilizable: red caída, extensión que bloquea, política de la empresa o un DNS cifrado que no deja pasar la consulta desde el navegador.
• Comprobando Estado momentáneo mientras la prueba está en curso; la tarjeta se titula entonces «Resultado DNS» y se sustituye al terminar. Si se queda ahí, vuelve a ejecutarla.

En la cabecera de la herramienta hay además un recuadro Estado con una cifra de 0 a 100 y un nivel: «Baja exposición» hasta 20, «Exposición moderada» hasta 50, «Alta exposición» hasta 80 y «Revisar con prioridad» por encima de esa cifra. Antes de ejecutar nada pone «Sin revisar». Es un resumen de exposición de esta sesión, no una nota puesta a tu proveedor.

Ninguna de esas etiquetas te dice de quién es el resolver: eso lo tienes que mirar tú a partir de la dirección que aparece en las filas. Las dos secciones siguientes explican qué significa esa dirección y cómo compararla con la ruta que esperabas.

Qué significa la dirección de las filas «Cloudflare» y «Google»

Las dos primeras filas no muestran tu dirección IP. Muestran la dirección que usó tu resolver para salir a internet y hacer la consulta en tu nombre. Es una diferencia importante: el número que ves ahí identifica al servidor que resuelve por ti, y por tanto al que ve la lista de dominios que pides.

Esa es la señal aprovechable de toda la prueba. Sin VPN, esa dirección suele pertenecer a tu operador de internet, porque el router reparte su resolver a toda la casa. Con la VPN conectada, lo esperable es que cambie y pase a pertenecer a la red del proveedor de VPN. Si no cambia, tus consultas de nombres siguen saliendo por donde salían antes aunque el túnel esté levantado.

Que las dos filas muestren direcciones distintas es normal y no indica un fallo. Los resolvers grandes salen por varias direcciones y reparten la carga entre ellas, y hay sistemas configurados con dos servidores DNS que alternan consultas. Lo que sí conviene mirar es si las dos direcciones pertenecen a organizaciones distintas: eso significa que tus consultas se están repartiendo entre dos rutas y basta con que una quede fuera del túnel.

Cuando una fila dice «No disponible» y la otra no, casi siempre es que ese punto de consulta concreto está bloqueado —por una extensión, por un filtro de red o por la política de la empresa— y no que el DNS haya fallado. La prueba sigue siendo válida con una sola respuesta, pero con menos margen para comparar.

Sobre los dos patrones que activan «Requiere revisión»: edns0-client-subnet es una extensión del DNS con la que tu resolver adjunta un trozo recortado de tu dirección de red al preguntar al servidor autoritativo, para que la respuesta apunte al nodo más cercano. Acelera la navegación, pero significa que parte de tu red viaja con cada consulta. Una respuesta en IPv6, por su parte, indica que la consulta salió por la ruta IPv6, y esa es precisamente la ruta que muchas VPN no encaminan. Ninguno de los dos casos demuestra una fuga: son motivos para seguir mirando.

Para qué sirve la fila «Control MyIPScan»

La tercera fila no pasa por tu resolver ni por tu navegador. Es una resolución hecha desde el servidor de MyIPScan sobre un dominio de ejemplo, y lo único que informa es cuántas respuestas obtuvo. Está ahí como control: sirve para separar dos situaciones que, sin ella, se confunden.

• Las dos filas públicas con datos y el control con respuestas. Es el caso corriente: la prueba pudo ver algo y el DNS funciona en las dos rutas. Interpreta la dirección como se explica arriba.
• Las dos filas públicas en «No disponible» y el control con respuestas. Tu navegador o tu red no dejaron llegar la consulta a los servicios públicos, pero el DNS funciona. La etiqueta será «Sin revisar», y eso no es un resultado limpio: es la ausencia de resultado. Prueba en otra red o con las extensiones desactivadas.
• El control en «No disponible». El servicio del propio MyIPScan no respondió, por bloqueo, por corte de conexión o por indisponibilidad puntual. Repite la prueba más tarde antes de sacar conclusiones de las otras filas.

Conviene tener claro el límite del control: como no usa tu resolver, nunca te dice quién resuelve por ti. Solo confirma que la resolución de nombres funciona por una vía independiente. Si lo que quieres es consultar registros concretos desde el servidor, la búsqueda de registros DNS resuelve A, AAAA, MX o NS sin depender del navegador.

Cómo comparar el resolver con tu IP visible

Esta página no muestra tu dirección IP, así que no puede hacer la comparación por ti. La tarjeta «Señal DNS» es la única que se dibuja aquí. Para completar la lectura, sigue cualquiera de estos caminos; los dos son cortos.

1. Copia la dirección de la fila «Cloudflare» o «Google» y pégala en la búsqueda ASN. Te devuelve el número de red y la organización que hay detrás: ahí es donde aparece si el resolver pertenece a tu operador, a tu proveedor de VPN o a un tercero.
2. Haz lo mismo con tu dirección visible desde la herramienta cuál es mi IP y compara las dos organizaciones.
3. Si prefieres verlo todo de una vez, ejecuta la prueba de fugas de VPN: es la única página en español que dibuja la tarjeta de IP visible y la tarjeta de señal DNS en la misma pasada, así que tienes los dos números en pantalla sin cambiar de pestaña.

Lo que buscas al comparar es una discrepancia de organización, no de país. Con la VPN conectada, un resolver que pertenece a tu operador doméstico junto a una IP de salida del proveedor de VPN es la combinación que hay que revisar: la dirección va por el túnel y los nombres no. Cuando las dos pertenecen a la red del proveedor, la ruta visible coincide con la que pretendías usar.

La etiqueta de país merece desconfianza por dos motivos. El primero es el anycast: la misma dirección de un resolver público se anuncia desde muchas ciudades a la vez y contesta el nodo más cercano, que no tiene por qué estar donde está el servidor VPN. El segundo es que las bases de geolocalización se equivocan con frecuencia, y más aún con rangos de infraestructura; la geolocalización de IP deja ver lo aproximado que es ese dato. Por eso la comparación útil es la del dueño.

Qué DNS deberías ver con NordVPN, ExpressVPN, Proton VPN, Mullvad y Surfshark

Cuando una VPN encamina bien el DNS, el resolver que aparece pertenece a la VPN y no al operador de tu casa. Lo que sigue describe el comportamiento documentado de algunos servicios habituales; es información descriptiva, no una recomendación ni una comparativa entre proveedores.

• NordVPN: DNS propio dentro del túnel (103.86.96.100 y 103.86.99.100) o un resolver de Nord. Señal a revisar: el resolver de tu operador mientras la app indica que estás conectado.
• ExpressVPN: DNS propio gestionado dentro del túnel, sin configuración aparte. Señal a revisar: DNS del operador, o Google y Cloudflare si no los pusiste tú.
• Proton VPN: resolver dentro del túnel (10.2.0.1). Señal a revisar: el DNS del operador, sobre todo en Windows después de un cambio de red.
• Mullvad: DNS de Mullvad (10.64.0.1) o un resolver público operado por Mullvad. Señal a revisar: cualquier otro resolver mientras estás conectado, incluido el del router.
• Surfshark: DNS privado dentro del túnel (162.252.172.57 y direcciones similares). Señal a revisar: DNS del operador o del router junto a la IP de salida de Surfshark.

Estas direcciones cambian cuando los proveedores actualizan su infraestructura, así que no las tomes como una lista fija. La señal fiable sigue siendo el propietario del resolver. Y una etiqueta de país distinta, por sí sola, suele deberse al enrutamiento anycast y no a una fuga.

Por qué IPv6 es la causa más frecuente de una fuga de DNS

Muchas VPN encaminan solo IPv4. Si tu red doméstica o móvil también tiene IPv6 y la aplicación no lo gestiona, el dispositivo puede mandar consultas DNS por IPv6 directamente a tu operador mientras el tráfico IPv4 sigue dentro del túnel. La fuga existe, pero una prueba que solo mire IPv4 no la ve.

Las señales típicas son estas: el resultado cambia entre wifi y datos móviles, cambia entre el perfil normal y una ventana privada, o la VPN se comporta distinto después de suspender y reanudar el equipo. Cuando ocurra, desactiva IPv6 en el sistema o usa una VPN que lo encamine, y vuelve a comprobar.

La prueba de visibilidad IPv6 confirma por separado si tu dirección IPv6 es visible. La prueba de fuga de WebRTC cubre el otro camino por el que el navegador puede revelar direcciones sin pasar por el DNS, y la prueba de huella del navegador muestra qué te distingue aunque el DNS y la IP estén donde esperabas.

Qué revisar cuando el DNS no coincide con lo que esperabas

Si el resolver no es el que pensabas, revisa en este orden y vuelve a ejecutar la prueba entre un paso y el siguiente.

1. Activa la protección contra fugas de DNS en la app de VPN, si existe esa opción.
2. Comprueba el túnel dividido. Una aplicación o un rango excluido puede sacar el DNS fuera del túnel sin que nada se desconecte.
3. Revisa el DNS seguro del navegador, también llamado DNS sobre HTTPS. Chrome, Edge y Firefox pueden activarlo por su cuenta y no siempre siguen el DNS del sistema.
4. Mira el DNS del adaptador de red en el sistema operativo. En Windows es donde más veces reaparece el DNS del operador después de un cambio de red.
5. Revisa el DNS del router. Si está fijado ahí, todos los dispositivos de la casa lo heredan sin avisar.
6. Reconecta la VPN después de cada cambio y repite la prueba antes de dar el ajuste por bueno.

Ningún ajuste convierte una sesión en anónima, y esta página no lo promete. Lo que sí puedes conseguir es que la ruta visible coincida con la que pretendías usar, y eso sí se puede comprobar.

Qué no puede ver esta comprobación

La herramienta consulta puntos públicos de DNS sobre HTTPS accesibles desde el navegador y una comprobación de control del lado de MyIPScan. Eso define con exactitud su alcance y también sus límites.

No ve las consultas DNS que tu sistema operativo hace fuera del navegador, ni las de otras aplicaciones, ni las del router, ni los registros de tu operador. Tampoco observa el DNS autoritativo con dominios de prueba aleatorios, que sería una evidencia más fuerte que una señal de resolver. Y no puede decir nada sobre conexiones futuras: describe esta sesión, en este navegador, ahora.

Por eso un resultado limpio no demuestra que no exista ninguna fuga. Demuestra que las señales visibles de esta sesión no mostraron un desajuste. Es útil, es repetible y es limitado. La metodología en español describe dónde se detiene cada señal, y la versión en inglés de esta prueba de fugas DNS aplica las mismas reglas.