Jeff Bruchado
Volver al blog

Quad9 Sale de Francia en 2026: Lo Que el Bloqueo de DNS Enseña Sobre Internet

Hola HaWkers, el 22 de octubre de 2026 Quad9 publicó un texto corto con un título que lo dice todo: "Au revoir, France". La fundación suiza que opera el resolvedor de DNS público 9.9.9.9 dejará de atender a usuarios en Francia a partir del 24 de noviembre de 2026. El motivo es una decisión del Tribunal Judicial de París, obtenida por la cadena beIN, que obliga al servicio a bloquear dominios acusados de transmitir deporte pirata.

El anuncio superó los 1.200 puntos en Hacker News en menos de un día, y no por casualidad. Es la segunda vez que un resolvedor público grande prefiere salir del país antes que obedecer una orden de bloqueo: OpenDNS, de Cisco, hizo lo mismo en junio de 2024. ¿Sabes qué ocurre entre que escribes una dirección y se abre la página, y por qué un tribunal quiere intervenir justo en ese punto? En este artículo vas a entender el caso, lo que revela sobre cómo se gobierna internet hoy y, en la práctica, cómo verificar, cambiar y probar el DNS que usas.

Lo Que Pasó, en Orden

La línea de tiempo ayuda a separar lo que es un hecho de lo que es opinión, porque el tema genera mucho de las dos cosas.

  • Noviembre de 2017: Quad9 entra en funcionamiento como resolvedor público sin ánimo de lucro, centrado en bloquear dominios de malware y phishing. Protege a usuarios franceses desde hace casi 9 años, según la propia fundación.
  • 2021 a 2023: Sony Music demanda a Quad9 en Alemania para forzar el bloqueo de un sitio. La fundación intenta bloquear por geolocalización, Sony accede al contenido mediante VPN y el tribunal multa a Quad9 por incumplimiento. Años después, en segunda instancia, el tribunal de Dresde entiende que un resolvedor DNS no es el autor de la infracción y Quad9 gana. El proceso costó "seis cifras", en palabras de la fundación.
  • Mayo y junio de 2024: Canal+ obtiene en París órdenes para que Google, Cloudflare y Cisco bloqueen dominios de piratería de fútbol en sus resolvedores públicos. Google y Cloudflare cumplen. Cisco retira OpenDNS de Francia y Portugal el 28 de junio de 2024.
  • 21 de octubre de 2026: la 3.ª Sala del Tribunal Judicial de París (proceso RG 26/11882) falla a favor de beIN contra Quad9. La multa por incumplimiento baja de 580 mil euros a mil euros por día, pero la obligación de bloquear se mantiene.
  • 22 de octubre de 2026: Quad9 anuncia que recurrirá y que deja Francia el 24 de noviembre.

La fundación también afirma tener unos 20 procesos pendientes más en el país, cada uno pidiendo el bloqueo de más dominios. Esa cifra pesa más en la decisión que la propia multa.

Qué Es un Resolvedor DNS y Por Qué Se Convirtió en Objetivo

Cuando accedes a jeffbruchado.com.br, tu ordenador no sabe a qué IP enviar la petición. Le pregunta a un resolvedor recursivo, que busca la respuesta en la cadena de servidores autoritativos (la raíz, luego .br, luego el servidor del dominio) y devuelve la dirección final. Por defecto, ese resolvedor es el de tu operador. Pero cualquiera puede cambiarlo por uno público, como 8.8.8.8 (Google), 1.1.1.1 (Cloudflare) o 9.9.9.9 (Quad9).

Aquí nace el conflicto. En Francia, la ley del deporte permite que los titulares de derechos pidan medidas de bloqueo a cualquier entidad capaz de ayudar a impedir la piratería. Los operadores ya estaban obligados a bloquear los sitios. Pero, para esquivar el bloqueo, bastaba con cambiar el DNS del operador por uno público. Así que los titulares de derechos fueron a por los resolvedores públicos.

Cloudflare y Cisco argumentaron en 2024 que un resolvedor tiene un papel pasivo, parecido a una guía telefónica. El tribunal no lo aceptó: si el bloqueo impide al menos a una parte de los usuarios llegar al sitio, se considera proporcional.

La mejor forma de entender el problema es ver el DNS funcionando. El ejemplo de abajo usa el módulo nativo de Node.js para preguntar el mismo nombre a resolvedores distintos:

// compara-resolvedores.mjs
// Pregunta el mismo dominio a varios resolvedores públicos y compara las respuestas.
import { Resolver } from 'node:dns/promises';

const resolvedores = {
  operadora: null, // null = usa el DNS configurado en el sistema
  google: '8.8.8.8',
  cloudflare: '1.1.1.1',
  quad9: '9.9.9.9',
};

async function consultar(nome, dominio, ip) {
  const resolver = new Resolver({ timeout: 3000, tries: 1 });
  if (ip) resolver.setServers([ip]);

  const inicio = performance.now();
  try {
    const enderecos = await resolver.resolve4(dominio);
    const ms = Math.round(performance.now() - inicio);
    return { nome, enderecos: enderecos.join(', '), ms };
  } catch (erro) {
    // NXDOMAIN, REFUSED o timeout pueden indicar bloqueo, pero no lo prueban por sí solos
    return { nome, enderecos: `erro: ${erro.code}`, ms: null };
  }
}

const dominio = process.argv[2] ?? 'example.com';
const resultados = await Promise.all(
  Object.entries(resolvedores).map(([nome, ip]) => consultar(nome, dominio, ip))
);

console.table(resultados);

Ejecútalo con node compara-resolvedores.mjs example.com. Si un resolvedor devuelve una IP y otro devuelve un error o una dirección distinta para el mismo dominio, alguien en el camino está alterando la respuesta. Es exactamente lo que exige una orden de bloqueo.

Por Qué Quad9 Prefiere Irse Antes Que Bloquear

La frase central del anuncio es esta: Quad9 se niega "categóricamente a alterar o mentir" sobre las respuestas de DNS que entrega. Parece retórica, pero hay tres argumentos técnicos detrás.

1. No sabe quién es francés. Quad9 no pide registro y dice no guardar datos que vinculen a un usuario con una jurisdicción. Para bloquear solo en Francia, tendría que identificar el origen de cada consulta por geolocalización de IP, que es imprecisa y, como Sony demostró en Alemania, se esquiva con una VPN en segundos.

2. Bloquear para todos exportaría la ley francesa. La forma más sencilla de cumplir la orden sería añadir los dominios a la lista de bloqueo global. Entonces un usuario en Brasil, Japón o Canadá pasaría a obedecer una decisión de un tribunal de París. Quad9 rechaza esa salida.

3. El bloqueo no funciona. La comparación de la fundación es buena: es como sostener un trozo de periódico delante de un estadio para tapar la vista de un concierto. Quien quiere verlo cambia de resolvedor, usa DNS sobre HTTPS, usa una VPN o accede directamente a la IP.

También está el argumento económico. Mil euros al día es poco para una empresa grande, pero Quad9 es una fundación que vive de donaciones. Veinte procesos simultáneos, cada uno con abogados en Francia, es lo que hace inviable el país. Y beIN pedía 580 mil euros al día.

Quién Sufre el Impacto

El efecto va mucho más allá de quien cambió el DNS en casa. Quad9 enumera entre los usuarios afectados organismos de gobierno, redes de investigación y educación, universidades, hospitales, empresas de energía y transporte, proveedores y operadores móviles. Muchas de esas redes eligieron Quad9 precisamente por su capa de protección contra dominios maliciosos.

Y aquí está la ironía que el propio anuncio señala: la decisión, tomada para proteger derechos de retransmisión deportiva, quita a miles de redes francesas un filtro gratuito contra malware y phishing. Quad9 tiene tres versiones del servicio, y dos de ellas bloquean direcciones conocidas como peligrosas. Quien depende de esa protección tendrá que sustituirla, pagar por una alternativa o quedarse sin ella.

Para quien administra redes, la lección es práctica: un resolvedor público es una dependencia externa como cualquier otra, y puede desaparecer por decisión de terceros. Si tu empresa tiene una sede en Francia, o clientes allí, la checklist de abajo resume qué hacer antes del 24 de noviembre.

Situación Qué hacer
Equipos usando 9.9.9.9 por DHCP Cambiar el DNS que entrega el DHCP y renovar los leases
Servidores con DNS fijo en /etc/resolv.conf o systemd-resolved Actualizar la configuración y probar la resolución
Forwarders en Unbound, BIND o dnsmasq apuntando a Quad9 Cambiar el upstream y mantener al menos dos proveedores
Navegadores con DNS sobre HTTPS en Quad9 Revisar la política del navegador o del MDM
Dependencia de la protección contra malware Elegir otro filtro antes de apagar el actual

En la Práctica: Descubre Qué DNS Usas

Antes de cambiar nada, descubre qué tienes configurado hoy. Los comandos cambian según el sistema:

# macOS: lista los servidores DNS en uso por interfaz
scutil --dns | grep 'nameserver\[[0-9]*\]' | sort -u

# Linux con systemd-resolved: muestra el DNS de cada interfaz
resolvectl status | grep -E 'Link|DNS Servers'

# Linux sin systemd-resolved
cat /etc/resolv.conf

# Windows (PowerShell)
Get-DnsClientServerAddress -AddressFamily IPv4

# Cualquier sistema con dig: pregunta directamente a Quad9 y muestra quién respondió
dig @9.9.9.9 example.com +short
dig example.com | grep SERVER

Si aparece 9.9.9.9, 149.112.112.112, 2620:fe::fe o 2620:fe::9, estás usando Quad9. Esas son las direcciones oficiales del servicio.

En la Práctica: Cámbialo y Ten un Plan B

La regla es no depender nunca de un solo proveedor. En Linux con systemd-resolved, puedes configurar uno principal y uno de reserva de empresas distintas:

# /etc/systemd/resolved.conf
# Principal y reserva de proveedores distintos: si uno se cae
# (o sale del país), el otro sigue respondiendo.
[Resolve]
DNS=1.1.1.1#cloudflare-dns.com 8.8.8.8#dns.google
FallbackDNS=1.0.0.1#cloudflare-dns.com 8.8.4.4#dns.google
# Cifra las consultas con DNS sobre TLS cuando el servidor lo acepte
DNSOverTLS=opportunistic
DNSSEC=allow-downgrade

Después ejecuta sudo systemctl restart systemd-resolved y compruébalo con resolvectl status. En macOS, el equivalente por línea de comandos es:

# Define DNS principal y de reserva en la interfaz Wi-Fi de macOS
networksetup -setdnsservers Wi-Fi 1.1.1.1 8.8.8.8

# Vuelve al DNS que entrega la red (DHCP)
networksetup -setdnsservers Wi-Fi empty

# Limpia la caché local para que el cambio se aplique al momento
sudo dscacheutil -flushcache && sudo killall -HUP mDNSResponder

Fíjate en que el cambio no es neutral. Google y Cloudflare cumplen las órdenes francesas desde 2024, así que en Francia devuelven respuestas filtradas para los dominios de la lista. Quien elige resolvedor también está eligiendo la política de bloqueo que acepta.

En la Práctica: Monitoriza Si Tu DNS Está Respondiendo

Si te encargas de producción, conviene tener una prueba automatizada que avise cuando un resolvedor deja de responder o empieza a responder distinto. El script de abajo usa DNS sobre HTTPS en formato JSON, que funciona en cualquier entorno con fetch:

// monitora-doh.mjs
// Consulta el mismo nombre en varios endpoints DoH y alerta sobre divergencias.
const endpoints = {
  cloudflare: 'https://cloudflare-dns.com/dns-query',
  google: 'https://dns.google/resolve',
};

async function resolverDoh(nome, url, dominio) {
  const resposta = await fetch(`${url}?name=${dominio}&type=A`, {
    headers: { accept: 'application/dns-json' },
    signal: AbortSignal.timeout(4000),
  });
  const dados = await resposta.json();
  // Status 0 = NOERROR, 3 = NXDOMAIN, 5 = REFUSED
  const ips = (dados.Answer ?? [])
    .filter((r) => r.type === 1)
    .map((r) => r.data)
    .sort();
  return { nome, status: dados.Status, ips };
}

const dominio = process.argv[2] ?? 'example.com';
const resultados = await Promise.allSettled(
  Object.entries(endpoints).map(([nome, url]) => resolverDoh(nome, url, dominio))
);

const ok = resultados.filter((r) => r.status === 'fulfilled').map((r) => r.value);
const falhas = resultados.filter((r) => r.status === 'rejected');

if (falhas.length) console.warn(`⚠️ ${falhas.length} resolvedor(es) sem resposta`);

const conjuntos = new Set(ok.map((r) => `${r.status}:${r.ips.join(',')}`));
if (conjuntos.size > 1) {
  // Respuestas distintas pueden ser CDN por región, pero NXDOMAIN en uno solo es sospechoso
  console.warn('⚠️ Respostas divergentes:', ok);
} else {
  console.log('✅ Resolvedores concordam:', ok[0]);
}

Una advertencia honesta: los sitios detrás de una CDN devuelven IPs distintas según la región, así que una divergencia de IP no siempre es un bloqueo. La señal fuerte es que un resolvedor responda NXDOMAIN o REFUSED mientras los demás responden con normalidad.

El Patrón Mayor: Internet Fragmentándose por Capas

El caso Quad9 no es aislado. Forma parte de una tendencia en la que gobiernos y tribunales bajan cada vez más en la pila de red para imponer sus decisiones. Primero fueron los sitios, después los operadores, ahora los resolvedores. Canal+ ya ha dicho que el siguiente paso incluye el bloqueo por IP.

Brasil conoce bien este movimiento. En agosto de 2024, el STF ordenó la suspensión de X en el país y previó una multa de R$ 50 mil al día para quien usara VPN para acceder a la red. Anatel, por su parte, tumba con frecuencia servidores de IPTV pirata. La lógica es la misma que en Francia: cuando el bloqueo en una capa no basta, la presión pasa a la capa siguiente.

Y Francia vive un momento curioso. El mismo país que debate sustituir apps estadounidenses en nombre de la soberanía digital acaba de perder un resolvedor europeo, sin ánimo de lucro y con sede en Zúrich. Los que se quedan son justamente los grandes proveedores estadounidenses que aceptaron filtrar.

Para los desarrolladores, hay tres consecuencias concretas:

  1. La infraestructura tiene geografía. La misma configuración puede funcionar en Brasil y fallar en París. Las pruebas de disponibilidad tienen que ejecutarse desde más de una región.
  2. El DNS es una dependencia crítica. Tener dos proveedores de empresas distintas, como harías con una base de datos o una cola, ha dejado de ser una exageración.
  3. La neutralidad técnica tiene un coste. Quad9 pagó "seis cifras" para ganar en Alemania y ahora prefiere perder un país entero antes que mantener un sistema de bloqueo que considera inviable.

Perspectivas: Qué Puede Cambiar Antes del 24 de Noviembre

Quad9 va a recurrir, y el tribunal de apelación puede revertir la decisión, como ocurrió en Alemania. La fundación también ha pedido a los franceses que contacten con sus diputados y con Arcom, la autoridad reguladora del audiovisual y lo digital en el país. Si nada cambia, a partir del 24 de noviembre el servicio simplemente dejará de responder a quien esté en Francia.

Atento a tres cosas en las próximas semanas: el resultado del recurso, el avance de los otros 20 procesos y si algún otro resolvedor independiente sigue el mismo camino. Si dos de los mayores resolvedores neutrales salen de un país europeo en dos años, el debate sobre quién controla la capa de nombres de internet deja de ser teórico.

Mientras tanto, la tarea práctica es sencilla: comprueba qué DNS usas, ten uno de reserva de otro proveedor y automatiza la prueba. El DNS es invisible hasta el día en que desaparece.

¡Vamos con todo! 🦅

📚 ¿Quieres Seguir lo Que Viene Por Delante?

Este artículo cubrió la salida de Quad9 de Francia y lo que el bloqueo de DNS cambia para quien gestiona redes, pero el ecosistema cambia cada semana y no todo se convierte en artículo aquí.

En X comparto lo que estoy probando, los entresijos de los proyectos y las novedades que aparecen antes de convertirse en post.

Sígueme Allá

👉 Seguir a @jeffbruchado en X

💡 Contenido diario sobre desarrollo, carrera y las herramientas que de verdad uso

Comentarios (0)

Este artículo aún no tiene comentarios 😢. ¡Sé el primero! 🚀🦅

Añadir comentarios