RocksDNS

1. Quick Start

Navegadores

• Firefox: about:config → network.trr.uri = https://dns.rocksdns.ovh/dns-query
• Chrome / Chromium / Brave: Configuración → DNS seguro → Personalizado → https://dns.rocksdns.ovh/dns-query

Android 9+

• Ajustes → Conexiones → DNS privado → dns.rocksdns.ovh

Verificación rápida

kdig @dns.rocksdns.ovh example.com A +https +tls-host=dns.rocksdns.ovh

2. Qué no hace RocksDNS

RocksDNS no es una VPN y no oculta tu dirección IP frente a las webs que visitas. El servicio se limita a resolver nombres de dominio mediante DNS cifrado y filtrado.

El cifrado DNS protege la consulta frente a terceros en la red — tu proveedor de internet, un router público, un atacante en la misma red — pero no anonimiza toda la conexión ni sustituye a una VPN.

3. Endpoints oficiales

4. Servidores disponibles

Los servidores están alojados íntegramente en infraestructura europea: DNS1 en España y DNS2 en Alemania.

DNS1 — Ionos España

DNS2 — Hetzner Alemania

5. Protocolos soportados

6. Arquitectura técnica

Cadena de resolución:

DoH / DoH3 / DoT / DoQ
Cliente → dnsdist → Unbound local / backends Unbound privados → Root Servers → TLD → Autoritativo

DNS-over-HTTPS, DNS-over-HTTPS/3, DNS-over-TLS y DNS-over-QUIC utilizan dnsdist como capa pública de entrada, protección, caché y absorción de picos. Desde ahí, la resolución se reparte internamente entre Unbound local y backends Unbound privados conectados mediante red interna. Unbound realiza la resolución recursiva completa, sin forwarding a terceros, y aplica el filtrado mediante OISD big y una lista propia de RocksDNS.

• Resolución recursiva completa mediante Unbound — sin forwarding a terceros.
• Backends Unbound privados para repartir carga y mejorar resiliencia interna.
• QNAME Minimization activo — los servidores raíz solo ven la parte mínima necesaria del dominio.
• DNSSEC validado localmente en cada servidor.
• Sin upstreams de fallback externos — resolución directa desde raíz en todo momento.
• Caché optimizada con precarga (prefetch) para reducir latencia en consultas recurrentes.

7. Privacidad y tratamiento de datos

RocksDNS no mantiene historial de consultas DNS, no crea perfiles de uso, no utiliza analíticas y no vende ni comparte datos de navegación.

Qué se procesa técnicamente para responder

• La dirección IP necesaria para devolver la respuesta DNS.
• El dominio consultado — procesado para resolver la petición, no almacenado como historial.
• Metadatos técnicos mínimos de la conexión TLS/QUIC.

Estos datos no se almacenan. Su tratamiento es estrictamente el necesario para resolver la petición.

Política de retención

Los logs de seguridad del sistema pueden existir para detectar ataques o abuso del servicio. No se utilizan para crear historial de resolución DNS ni para perfilar navegación.

8. Filtrado de publicidad y rastreadores

RocksDNS bloquea publicidad, rastreadores y dominios conocidos por abuso mediante listas públicas mantenidas por terceros y una lista propia de mantenimiento interno. El filtrado opera en la capa de resolución con Unbound y se aplica a todas las consultas.

Listas activas

• OISD big — lista principal amplia y mantenida activamente
• Lista propia de RocksDNS — dominios publicitarios, rastreadores y abuso recurrente observados en el servicio

9. Seguridad y antiabuso

Ambos servidores están protegidos con varias capas de seguridad:

• Unbound actúa como resolvedor recursivo completo en la ruta principal del servicio.
• dnsdist aplica rate limiting por IP y subred para reducir abuso y absorber picos de tráfico.
• dnsdist protege y optimiza DNS-over-HTTPS (DoH), DNS-over-HTTPS/3 (DoH3), DNS-over-TLS (DoT) y DNS-over-QUIC (DoQ), añadiendo caché de paquetes, health checks y reparto interno hacia backends Unbound.
• Protección antiabuso mediante fail2ban y CrowdSec, con bloqueo automático de patrones maliciosos y tráfico anómalo.
• Acceso administrativo restringido, con autenticación por clave y medidas adicionales de protección.
• Certificados TLS gestionados con Let's Encrypt y renovación automática.
• Panel de administración no accesible públicamente desde internet.

10. Configuración por dispositivo

Firefox

about:config
network.trr.mode = 3
network.trr.uri = https://dns.rocksdns.ovh/dns-query
network.trr.bootstrapAddress = 82.223.31.111
network.trr.early-AAAA = true

Chrome / Chromium / Brave

Configuración → Privacidad y seguridad → Seguridad
Activar "Usar DNS seguro" → Personalizado
https://dns.rocksdns.ovh/dns-query

Android 9+

Ajustes → Conexiones → Más ajustes de conexión → DNS privado
Nombre de host: dns.rocksdns.ovh

iOS 14+ / macOS

Instalar un perfil de configuración DNS con el endpoint:

https://dns.rocksdns.ovh/dns-query

Linux (systemd-resolved)

[Service]
Environment=SYSTEMD_RESOLVED_DNS_SERVERS=82.223.31.111#dns.rocksdns.ovh
Environment=SYSTEMD_RESOLVED_DNS_OVER_TLS=yes
Environment=SYSTEMD_RESOLVED_DNSSEC=yes

11. Verificación y pruebas

DoH DNS1

kdig @dns.rocksdns.ovh example.com A +https +tls-host=dns.rocksdns.ovh

DoH DNS2

kdig @dns2.rocksdns.ovh example.com A +https +tls-host=dns2.rocksdns.ovh

DoT DNS1

kdig @dns.rocksdns.ovh example.com A +tls +tls-host=dns.rocksdns.ovh

DoT DNS2

kdig @dns2.rocksdns.ovh example.com A +tls +tls-host=dns2.rocksdns.ovh

DoH3 DNS1 experimental

curl --http3-only -H "Accept: application/dns-message" \
"https://dns.rocksdns.ovh/dns-query?dns=AAABAAABAAAAAAAAB2V4YW1wbGUDY29tAAABAAE" \
--output /tmp/doh3-dns1-example.bin

DoH3 DNS2 experimental

curl --http3-only -H "Accept: application/dns-message" \
"https://dns2.rocksdns.ovh/dns-query?dns=AAABAAABAAAAAAAAB2V4YW1wbGUDY29tAAABAAE" \
--output /tmp/doh3-dns2-example.bin

DNSSEC

kdig @dns.rocksdns.ovh cloudflare.com A +dnssec
kdig @dns.rocksdns.ovh dnssec-failed.org A +dnssec  # debe devolver SERVFAIL

Herramientas online

12. Limitaciones conocidas

• DNS clásico por puerto 53 no disponible. Dispositivos o routers que solo soporten DNS tradicional son incompatibles.
• DNS-over-QUIC (DoQ) tiene soporte limitado en clientes más antiguos.
• DNS-over-HTTPS/3 (DoH3) está en fase experimental en DNS1 y DNS2.
• Algunos navegadores no soportan DoT de forma nativa.
• El filtrado de dominios puede provocar falsos positivos puntuales en sitios legítimos.
• Dominios con DNSSEC mal configurado pueden fallar la validación aunque el sitio sea legítimo.
• RocksDNS no es una VPN. No oculta la IP de origen ni anonimiza la conexión completa.

13. Estado del servicio

El estado actualizado de los servidores puede consultarse en:
https://dns-stats.rocksdns.ovh/status/rocksdns

Objetivo de disponibilidad: >99.5% mensual. RocksDNS es un servicio comunitario e independiente, sin garantía comercial de disponibilidad.

14. Contacto y reporte de problemas

Para incidencias técnicas, falsos positivos en el filtrado o problemas de resolución:

• Web: rocksdns.ovh
• Correo: TuiterRocks@proton.me

15. Roadmap

Completado

• Unbound como full resolver — Q2 2025
• Eliminación de upstreams externos — Q2 2025
• DNSSEC validación local — Q2 2025
• Unbound como resolvedor recursivo completo en la ruta principal — Q3 2025 / 2026
• Soporte IPv6 preparado en DNS1 — Q3 2025
• DNS2 en producción (Hetzner Alemania) — Q4 2025
• Acceso administrativo endurecido y restringido en ambos servidores — Abril 2026
• CrowdSec instalado en ambos servidores — Abril 2026
• OISD big y lista propia como base del filtrado DNS — Junio 2026
• Debian 13 (Trixie) en ambos servidores — 2026
• Rate limiting en dnsdist por IP y subred para DoH, DoT y DoQ — 2026
• DoH3 experimental activado en DNS2 sobre UDP/443 — Junio 2026
• DoH3 experimental activado en DNS1 sobre UDP/443 — Junio 2026
• DoH, DoH3, DoT y DoQ protegidos mediante dnsdist en DNS1 y DNS2 — Junio 2026

Pendiente

• Optimización continua de rate limiting, protección frente a abusos, caché y reparto interno entre backends Unbound privados.
• Dashboard de métricas con Grafana + Prometheus
• Perfil alternativo “malware-only” sin bloqueo de publicidad ni rastreadores
• Anycast BGP para optimización global (largo plazo)

16. Changelog