Reseña de NextDNS: Protección DNS en la Nube que Realmente Funciona

Esta es mi reseña de NextDNS tras casi dos años usando NextDNS en toda mi red. Sin anuncios en las apps de mi teléfono, sin scripts de rastreo cargando en segundo plano, y mi ISP solo ve consultas cifradas a los servidores de NextDNS. Este es el repaso de 2026: qué hay de nuevo desde mi primer análisis, cómo configurarlo, cuánto cuesta y dónde falla.

Qué Hace NextDNS

NextDNS se sitúa entre tus dispositivos e internet. Cada vez que visitas un sitio web, tu dispositivo pregunta “¿dónde está example.com?” y NextDNS responde. La diferencia con el DNS predeterminado de tu ISP es que NextDNS cifra estas consultas y las comprueba contra listas de bloqueo antes de responder. Eso es la protección DNS en la nube en una frase: bloqueo de anuncios a nivel DNS, dominios de malware que devuelven respuestas vacías y ningún registro de consultas en texto plano en manos de tu ISP.

Como la comprobación ocurre en el resolver, cubre todos los dispositivos de la red. Smart TVs, consolas, impresoras, gadgets IoT. Cosas que jamás ejecutarán una extensión de navegador reciben el mismo filtrado que tu portátil.

Diagrama de cómo NextDNS gestiona una consulta DNS: los dispositivos envían una consulta cifrada DoH o DoT, NextDNS comprueba las listas de bloqueo y las fuentes de seguridad, y luego bloquea el dominio con una respuesta vacía o lo reenvía a un resolver upstream

Novedades de NextDNS (2025–2026)

Todo lo que aparece aquí se lanzó después de mi artículo original. Todavía no he probado a fondo cada interruptor, así que trata esto como un changelog con indicaciones de dónde vive cada ajuste.

Omitir la Verificación de Edad (Bypass Age Verification)

Se lanzó en agosto de 2025 y está disponible en todos los planes, incluido el gratuito. NextDNS lo describe como una forma de saltarse los muros de verificación de edad, esas comprobaciones de DNI o selfie que algunos sitios exigen ahora, usando trucos de DNS sobre una lista predefinida de dominios. El argumento de privacidad es directo: no deberías tener que subir un pasaporte para leer una web, y esto hace frente a la ola de mandatos de identificación como la UK Online Safety Act.

El interruptor está en los Ajustes del perfil en my.nextdns.io/$id/settings. Quienes administran perfiles familiares deberían saber que existe. Si quieres que las comprobaciones de edad sigan funcionando en el perfil de un niño, déjalo desactivado. Es por perfil, así que una configuración puede usarlo mientras otra no.

Residencia de Datos de los Registros

Ahora eliges dónde almacena NextDNS tus registros: Estados Unidos, la Unión Europea, Reino Unido o Suiza. Si has estado rellenando papeleo de GDPR o respondiendo a preguntas de “¿dónde viven estos datos?”, esto cierra una brecha real en la historia de la protección DNS en la nube. Tus registros de consultas filtradas pueden quedarse en tu jurisdicción.

Tracker Insights y Analíticas Ampliadas

Las analíticas ahora incluyen Tracker Insights. NextDNS dice que muestra quién te está rastreando y cuánto de tu tráfico web capturan esos rastreadores. Se suma a las vistas que ya me gustaban: dominios más bloqueados, consultas por dispositivo y el desglose GAFAM. Cubro el panel en la sección de funciones más abajo.

Funciones de NextDNS

Esto es lo que obtienes y qué hace realmente cada función.

Funciones de Seguridad

La pestaña de seguridad tiene ahora 11 interruptores. Tres son nuevos desde mi primera reseña (Parked Domains, Top-Level Domains y la protección CSAM).

Funciones de Privacidad y Listas de Bloqueo

Para las listas de bloqueo, el catálogo es grande (84 listas y con mantenimiento activo en nextdns/blocklists). No necesitas la mayoría. Dos o tres listas con buen solapamiento superan a diez listas que añaden falsos positivos sin más cobertura.

Mis elegidas, de más segura a más agresiva:

• NextDNS Recommended - el conjunto curado del propio proveedor. El punto de partida correcto si no quieres pensar.
• OISD - la lista comunitaria de referencia. Bloquea la mayoría de anuncios y rastreadores sin romper sitios.
• AdGuard DNS filter - bien mantenida, buen equilibrio.
• Steven Black’s Unified Hosts - otra opción sólida con múltiples variantes.
• HaGeZi Multi - viene en Normal, Pro, Pro Plus y Ultimate. Esta es la escalera a subir si quieres más bloqueo y estás dispuesto a admitir más roturas en la lista blanca.

Bajo Native Tracking Protection, activa el bloqueo para los tipos de dispositivo que tengas. Dispositivos Apple, activa Apple. PCs con Windows, activa Windows.

Controles Parentales

Denylist y Allowlist

Puedes bloquear o permitir dominios específicos manualmente. La allowlist prevalece sobre las listas de bloqueo cuando servicios legítimos quedan atrapados. La denylist te permite bloquear dominios que no están en ninguna lista. Es el primer lugar al que ir cuando algo se rompe (o cuando algo molesto no lo hace).

Analíticas

El panel muestra consultas totales y porcentaje bloqueado, dominios más bloqueados, dominios más permitidos, consultas por dispositivo (si les pones nombre), consultas a lo largo del tiempo y el desglose de tráfico GAFAM. Tracker Insights (la novedad de 2026) superpone la vista de “quién te rastrea” sobre todo eso.

Registros, Retención y Residencia de Datos

Los registros de consultas muestran cada petición DNS con marcas de tiempo, información del dispositivo y si fue bloqueada o permitida. La retención se puede elegir desde una hora hasta dos años, o puedes desactivar el registro por completo. La ubicación de almacenamiento es tu elección: Estados Unidos, Unión Europea, Reino Unido o Suiza.

Nota de honestidad sobre “sin registros”: incluso con el registro desactivado, la vista de consultas en vivo del panel sigue mostrando peticiones mientras la miras. Eso no es retención, pero tampoco es invisible.

Más Ajustes que Conviene Conocer

Algunos ajustes que no encajan en las tablas pero importan:

• DNSSEC - validación automática de respuestas DNS.
• Rewrites - sobrescribe la respuesta DNS de cualquier dominio. Es la herramienta de split-horizon para home labs. Apunta home.example.com a 192.168.1.10 sin montar un servidor DNS local.
• Block Page - muestra una página cuando se bloquean dominios (yo lo desactivo).
• Anonymized EDNS Client Subnet - oculta tu IP a los resolvers upstream.
• Cache Boost - mejora los tiempos de respuesta.
• Query Name Minimisation - obligatorio, envía solo lo necesario en cada consulta.

Handshake (un sistema de nombres peer-to-peer experimental) también está ahí si quieres trastear con él.

Cómo Configurar NextDNS

El camino feliz completo son siete pasos. Reserva diez minutos.

Paso 1: Crea tu Cuenta

1. Ve a NextDNS y haz clic en Try it now
2. Regístrate con tu email
3. Obtendrás un Configuration ID único (algo como abc123)

Ese ID es tu perfil. Puedes crear múltiples perfiles para distintos casos de uso.

Paso 2: Configura tus Ajustes de Seguridad

En la pestaña Security, activa las protecciones que quieras:

Recommended settings:
- Threat Intelligence Feeds: ON
- Google Safe Browsing: ON
- Cryptojacking Protection: ON
- DNS Rebinding Protection: ON
- IDN Homograph Attacks Protection: ON
- Typosquatting Protection: ON

El bloqueo de NRD (Newly Registered Domains) es agresivo. Puede romper servicios nuevos legítimos, así que lo dejo desactivado a menos que esté configurando una red para usuarios no técnicos. Lo mismo con los bloqueos de TLD enteros y HaGeZi Ultimate. Ajústalos más tarde, no el primer día.

Paso 3: Añade tus Listas de Bloqueo

En la pestaña Privacy, haz clic en Add a blocklist y elige de la lista. Empieza con NextDNS Recommended si quieres cero decisiones, o añade dos o tres del conjunto OISD / AdGuard DNS filter / Steven Black. Si quieres más bloqueo y no te importa mantener una lista blanca, sube la escalera de HaGeZi Multi (Normal, luego Pro).

Bajo Native Tracking Protection, activa el bloqueo para los tipos de dispositivo que tengas.

Paso 4: Configura los Controles Parentales (Opcional)

Sáltate esto si no hay niños en la red. Si los hay, la pestaña Parental Control te permite:

1. Bloquear categorías (pornografía, juegos de azar, redes sociales, etc.)
2. Definir horarios de recreo en los que se levantan los bloqueos
3. Forzar la búsqueda segura en los buscadores
4. Bloquear métodos de evasión para que las VPNs y los proxies no funcionen

Si las usas, revisa también el interruptor de Bypass Age Verification en Ajustes y decide si lo quieres activado.

Paso 5: Conecta tus Dispositivos

NextDNS te da varios métodos de conexión. Elige según lo que estés protegiendo.

DNS-over-HTTPS: https://dns.nextdns.io/YOUR_CONFIG_ID

sh https://nextdns.io/install

YOUR_CONFIG_ID.dns.nextdns.io

Paso 6: Verifica que Funciona

1. Visita test.nextdns.io. Deberías ver “All good! You are using NextDNS”
2. Desde un terminal, la misma comprobación devuelve JSON:

curl -s https://test.nextdns.io
{"status":"ok","protocol":"DOH","profile":"abc123",...}   # using NextDNS
{"status":"unconfigured",...}                             # NOT using NextDNS

3. Revisa tu panel. Las consultas deberían empezar a aparecer en los registros en un minuto.

Si la prueba falla: revisa bien tus ajustes DNS. En algunas redes, el ISP impone su DNS y necesitarás DoH, DoT o la app nativa para saltártelo. El DoH del navegador no cubre las apps externas. Una VPN que sobrescriba el DNS también enviará las consultas fuera de NextDNS hasta que apuntes el DNS de la VPN a tu configuración.

Paso 7: Afina tus Ajustes

Tras unos días de uso, revisa tus registros:

• Si sitios legítimos se rompen, añádelos a tu allowlist
• Si se cuelan dominios molestos, añádelos a tu denylist
• Ajusta las listas de bloqueo si ves demasiados falsos positivos

La pestaña Settings tiene el resto: retención de registros (de una hora a dos años, o desactivada), residencia de datos de los registros, DNSSEC, Rewrites, Block Page, Anonymized EDNS Client Subnet y Cache Boost. Los cubro en la sección de funciones de arriba en lugar de repetir la lista.

NextDNS en el Día a Día (Resolución de Problemas y Operación)

Esta es la sección que la mayoría de las reseñas se saltan, y es la parte que importa una vez NextDNS se convierte en una dependencia.

Agotamiento de la Cuota del Plan Gratuito (Degradación Silenciosa)

El plan gratuito te da 300.000 consultas al mes. Cuando llegas al límite, NextDNS no da error. Sigue resolviendo, pero el bloqueo se detiene en silencio. Los anuncios reaparecen sin ningún aviso en la interfaz. Es la peor experiencia de usuario del plan gratuito, y la razón por la que revisar el panel es lo primero que hacer cuando “el bloqueo dejó de funcionar”.

Para vigilarlo antes del precipicio: la API pública de NextDNS expone contadores de consultas y datos de configuración. Un script de diez líneas consultándola semanalmente basta para recibir un aviso en lugar de una sorpresa.

Cuando el Propio NextDNS Está Caído

Para un router Linux o un VPS, el camino con la CLI es:

sh https://nextdns.io/install

Tiene licencia MIT, desarrollo activo (v1.47.x, mediados de 2026) y caché local, así que un tropiezo de NextDNS no tira tu resolver de inmediato.

Falsos Positivos y Sitios Rotos

De vez en cuando un servicio legítimo queda atrapado por una lista de bloqueo. Los culpables habituales son los agresivos: el bloqueo NRD, HaGeZi Ultimate, los bloqueos de TLD enteros. Vuelve al Paso 7. Baja la lista un peldaño en lugar de abandonar el bloqueo, y mete en la allowlist el dominio concreto desde los registros.

Lo Que Me Gusta de NextDNS

La Configuración Lleva Cinco Minutos

Crea una cuenta, obtén un ID de configuración y apunta tus dispositivos a los servidores de NextDNS. Eso es todo. Sin servidor que administrar, sin contenedores Docker que mantener, sin reglas de firewall que configurar.

Para protección a nivel de router, solo cambias los ajustes DNS una vez y cada dispositivo de tu red queda cubierto automáticamente. Smart TVs, consolas, dispositivos IoT, teléfonos, portátiles. Todo.

El Bloqueo Funciona Bien

Llevo casi dos años con OISD, AdGuard DNS filter y la lista de Steven Black en mi perfil principal. YouTube sigue mostrando algunos anuncios (son más difíciles de bloquear a nivel DNS porque vienen de los mismos dominios que los vídeos), pero todo lo demás está limpio:

• Anuncios dentro de las apps en juegos móviles: desaparecidos
• Banners en sitios web: desaparecidos
• Scripts de rastreo de Facebook, Google Analytics, etc.: bloqueados
• Esos molestos popups de consentimiento de cookies en algunos sitios: reducidos

El panel muestra lo que se está bloqueando en tiempo real. Ver a mi smart TV intentar llamar a los servidores de analíticas solo para ser bloqueada es extrañamente satisfactorio.

Ajustes de Privacidad con Sentido

Puedes configurar NextDNS para que no guarde ningún registro. Cero retención de datos de consultas, cero almacenamiento de IPs, nada. O puedes mantener registros para depuración (útil cuando algo se rompe) y borrarlos tras un período fijo. Y ahora puedes elegir en qué jurisdicción viven esos registros.

La opción de EDNS anonimizado oculta tu IP a los resolvers DNS upstream. Combinada con los protocolos DNS cifrados, esto significa que ni tu ISP ni los servidores de destino saben exactamente qué estás haciendo.

Múltiples Configuraciones

Puedes crear perfiles separados para distintos casos de uso. Yo tengo uno para mi red principal con bloqueo agresivo, otro para casa de mis padres con valores más seguros, y un tercero para pruebas cuando necesito saltarme los filtros temporalmente. Los Rewrites también son por perfil, lo que hace posible el truco de split-horizon del home lab sin tocar nada global.

Lo Que Podría Mejorar

El Límite del Plan Gratuito

300.000 consultas al mes suena a mucho hasta que te das cuenta de lo parlanchines que son los dispositivos modernos. Un hogar con unos cuantos teléfonos, una smart TV y algunos dispositivos IoT puede quemar eso en dos semanas.

Cuando llegas al límite, NextDNS deja de filtrar y simplemente deja pasar las consultas. Sigues teniendo servicio DNS, pero sin el bloqueo, y sin ningún aviso de que ocurrió. Si estás en el plan gratuito y te importa el bloqueo, vigila tu contador de consultas (la API lo hace fácil, mira la sección de operación). El plan Pro elimina el límite por completo.

Los Anuncios de YouTube Siguen Colándose

El bloqueo a nivel DNS no puede tocar los anuncios de YouTube porque se sirven desde los mismos dominios que el contenido de vídeo real. Bloquear esos dominios rompería YouTube por completo. Seguirás necesitando una extensión de navegador junto a NextDNS para YouTube en concreto. En Chrome eso significa uBlock Origin Lite, ahora que el uBlock Origin clásico desapareció con Manifest V2.

Algunos Sitios se Rompen

Ocasionalmente un servicio legítimo queda atrapado por las listas de bloqueo. Enlaces de afiliado, ciertos CDNs o dominios de rastreo oscuros que las webs necesitan de verdad para funcionar. La función de allowlist lo resuelve, pero primero tienes que notar el problema y averiguar qué dominio desbloquear.

Precios de NextDNS (2026): Plan Gratuito, Pro, Business y Education

Los precios de NextDNS caben en una sola tabla. Esto es lo que muestra la página de precios a septiembre de 2026 (se renderiza por geolocalización, así que los visitantes de la UE ven EUR; las cifras son más o menos las mismas en otros sitios).

Todos los precios están en EUR en la página renderizada para la UE. Se aceptan tarjetas, PayPal y cripto. Pro a 1,99 €/mes (unos 2 $, facturado en tu moneda local) sale por menos de 24 € al año para todos los dispositivos de tu red. Es más barato que la mayoría de las VPNs y, para la navegación diaria, posiblemente más útil.

El plan gratuito sirve para probar o para uso personal ligero. La mayoría de los hogares necesitan Pro. Los planes Business y Education (que antes eran presupuestos “personalizados”) ahora tienen precios públicos con escalado por usuario.

Mi Configuración (2026)

Esto es lo que estoy usando:

Pestaña Security: Threat Intelligence Feeds, Google Safe Browsing, Cryptojacking, DNS Rebinding, IDN Homographs y Typosquatting, todo activado. NRD desactivado, bloqueo de TLD desactivado, Parked Domains activado.

Pestaña Privacy (listas de bloqueo): OISD, AdGuard DNS filter y Steven Black’s Unified Hosts en el perfil principal. HaGeZi Multi Pro en el perfil de pruebas cuando quiero ver qué atrapan las listas más estrictas.

Settings: Registros con retención de 1 hora (suficiente para depurar, sin cola larga), residencia de registros en la UE, Anonymized EDNS activado, Cache Boost activado.

Esto atrapa la mayoría de anuncios y rastreadores sin romper demasiadas webs. Reviso los registros de vez en cuando y meto dominios en la allowlist cuando algo legítimo queda bloqueado.

Quién Debería Usar NextDNS

Quién Debería Mirar a Otro Lado (NextDNS vs AdGuard Home y Otros)

Si quieres control total sobre tu infraestructura DNS, la cuestión NextDNS vs AdGuard Home es en realidad comodidad gestionada frente a propiedad. NextDNS te da cobertura en cualquier red y alguien que mantiene el servicio por ti por unos 2 €/mes. AdGuard Home te da consultas ilimitadas, reglas personalizadas y ninguna suscripción, y tú te haces cargo del uptime, las actualizaciones y la curación de listas de bloqueo.

AdGuard Home necesita hardware donde ejecutarse. Un VPS barato de Hetzner (una máquina de 4-5 €/mes es de sobra) funciona si lo quieres accesible desde cualquier sitio. Para algo en casa, mira los mejores mini PCs para servidor doméstico; un mini PC ASUS como el DC510 es más que suficiente, o ejecútalo en un NAS o una máquina Proxmox de homelab que ya tengas.

También compara Control D si quieres políticas por dispositivo; no lo he reseñado, así que no fingiré decirte cómo se compara. Y ten en cuenta que las alternativas europeas se han reducido: DNS0.EU cerró en octubre de 2025 por falta de financiación, así que no cuentes con él como opción viva.

La contrapartida del autoalojamiento es el mantenimiento. Tú gestionas las actualizaciones, monitorizas el uptime y resuelves problemas cuando algo se rompe. NextDNS se encarga de todo eso por ti.

FAQ de NextDNS

Conclusión

Tras casi dos años, NextDNS sigue siendo la capa DNS que uso en todas partes. Las novedades de 2025 y 2026 (residencia de datos de los registros, Bypass Age Verification, Tracker Insights) en su mayoría amplían la ventaja sobre montar tu propio resolver. El plan gratuito es una demo útil, pero Pro es el producto real a precio de calderilla.

Esta reseña de NextDNS mantiene los mismos asteriscos honestos de antes: los anuncios de YouTube siguen colándose, los falsos positivos ocasionales necesitan allowlist, y no hay página de estado pública que vigilar durante un incidente. Son problemas pequeños frente a la comodidad de un DNS cifrado y filtrado en cada dispositivo que tienes, incluidos los que no pueden ejecutar una extensión.

Si quieres bloqueo de anuncios a nivel de red sin el dolor de cabeza de la infraestructura, merece la pena probarlo.

Artículos Relacionados:

• ¿Manifest V3 Rompió tu Bloqueador de Anuncios? Bloquea Anuncios en Todas Partes con NextDNS
• Cómo Bloquear Anuncios, Malware y Detener el Rastreo del ISP con NextDNS y AdGuard Home
• Los Mejores 125+ Contenedores Docker para Servidor Doméstico en 2026
• Cómo Autoalojar SearXNG - Metabuscador Enfocado en Privacidad