PRIVACIDAD · DNSSEC · CIFRADO

Tu DNS. Más control.

DNS-BASE es un resolvedor DNS recursivo de acceso público con conexiones cifradas, validación DNSSEC y filtrado de dominios asociados con amenazas conocidas y seguimiento. Es gratuito y no requiere registro.

Configurar Información técnica

Datos de conexión

Configura uno de estos puntos de acceso en tu dispositivo o aplicación. Las direcciones IP por sí solas no ofrecen DNS clásico sin cifrar en el puerto 53.

DoH

DNS sobre HTTPS

https://dns-base.de/dns-query

TCP 443 · HTTP/2

DoT

DNS sobre TLS

dns-base.de

TCP 853 · TLS

DoQ

DNS sobre QUIC

quic://dns-base.de

UDP 853 · QUIC

Direcciones del servidor

IPv4: 152.53.119.59
IPv6: 2a0a:4cc0:c0:32e2:a44e:eeff:fe55:3e84

Ejemplos de configuración

Android

Android 9 o posterior: Ajustes → Red y conexiones → DNS privado → nombre de host del proveedor: dns-base.de. Los nombres exactos de los menús pueden variar.

Navegador

Firefox, Chrome o Edge: activa DNS seguro (DoH) e introduce la URL personalizada.

Router o resolvedor local

Utiliza DoT en el puerto 853 verificando el nombre TLS dns-base.de; también puedes usar DoH o DoQ si el dispositivo lo permite.

Qué ofrece DNS-BASE

Protección técnica basada en software de código abierto.

Transporte cifrado

DoH (HTTP/2), DoT (TLS) y DoQ (QUIC). No se ofrece un servicio DNS público sin cifrar en el puerto 53.

Validación DNSSEC

Se verifican las firmas DNS; las respuestas inválidas pueden rechazarse con SERVFAIL.

Filtrado de dominios

Listas HaGeZi PRO y TIF cargadas mediante RPZ. Los nombres bloqueados suelen recibir NXDOMAIN y el código de error extendido EDE 15.

Minimización QNAME

Cuando es posible, solo se comunican a los servidores autoritativos los componentes del nombre necesarios para cada consulta.

Funcionamiento

dnsdist recibe las consultas DNS cifradas y las reenvía localmente a PowerDNS Recursor. El resolvedor responde desde su caché o consulta los servidores DNS autoritativos. Durante el proceso se aplican la validación DNSSEC y las reglas de filtrado RPZ.

Cliente → TLS / QUIC → dnsdist → PowerDNS Recursor → DNSSEC + RPZ → Caché / DNS autoritativo

Protección y limitaciones

Los límites de frecuencia ayudan a mitigar abusos. El cifrado protege la conexión hasta el resolvedor, pero no todas las conexiones posteriores. Las listas de bloqueo pueden producir falsos positivos; DNS-BASE no sustituye a una solución completa de protección contra malware.

Aviso: DNS-BASE funciona actualmente en un único servidor, sin una segunda ubicación independiente.

Privacidad y registros

Según la configuración documentada, las consultas DNS individuales no se guardan de forma permanente en registros de consultas. dnsdist mantiene búferes circulares limitados y volátiles en memoria RAM con consultas y respuestas para la protección contra abusos; los registros del sistema pueden contener eventos técnicos. Prometheus expone métricas agregadas, no historiales de navegación. Los metadatos de conexión se procesan necesariamente para prestar el servicio.

Transparencia de la configuración

Publicamos ejemplos de configuración depurados. Describen la arquitectura, pero no son copias literales de los archivos activos ni constituyen una auditoría de seguridad independiente.

Consultar documentación y ejemplos

recursor.yml dnsdist.yml nftables.conf monitoring.md

Los textos legales y la política de privacidad oficiales están disponibles actualmente en alemán.