Quad9 abandona Francia el 24 de noviembre de 2026 y los usuarios franceses deben elegir otro resolvedor DNS antes de esa fecha. Para una pyme, Cloudflare 1.1.1.2 constituye una opción sencilla con filtrado antimalware. DNS4EU Protective es más adecuado para particulares que buscan una infraestructura europea. Google Public DNS y Cloudflare 1.1.1.1 ofrecen una resolución generalista, sin un filtro antimalware generalizado.
¿Por qué abandona Quad9 Francia el 24 de noviembre de 2026?
Quad9 abandona Francia tras una decisión del tribunal judicial de París que impone el bloqueo de servicios que difunden ilegalmente competiciones deportivas. El 21 de octubre de 2026, el tribunal estableció una penalización de 1 000 € al día. Quad9 prefiere dejar de prestar servicio a los usuarios franceses antes que aplicar estos bloqueos.
El caso tiene su origen en una orden del 13 de mayo de 2026. Google y Quad9 debían bloquear, desde Francia, dominios y servicios IPTV que difundían sin autorización partidos de tenis de la WTA. La orden era ejecutiva pese al recurso de Quad9 y debía surtir efecto hasta el 14 de noviembre de 2026.
El fundamento jurídico va más allá de este litigio concreto. En 2026, el artículo L333-10 del Código del deporte permite a los titulares de derechos solicitar medidas proporcionadas a cualquier intermediario capaz de poner fin a la difusión reiterada y grave de eventos deportivos. Las listas de dominios pueden actualizarse rápidamente durante una retransmisión en directo.
Quad9 también afirma enfrentarse a unos 20 procedimientos franceses que afectan a cientos de nombres de dominio. Sin embargo, esta cifra, publicada por Quad9 el 22 de octubre de 2026, no está respaldada por un recuento independiente. El recurso sigue en curso, pero no suspende automáticamente la ejecución de la decisión.
¿Qué significa la salida de Quad9 para una pyme?
Le départ de Quad9 peut empêcher les postes, serveurs ou équipements réseau configurés avec ce résolveur d’accéder normalement aux sites et services en ligne. Quad9 n’a pas précisé si les requêtes françaises subiront un refus explicite, une absence de réponse ou une autre erreur après le 24 novembre 2026. Attendre la coupure crée donc un risque évitable.
Un DNS recursivo es un servicio que traduce un nombre legible, como un dominio web, en una dirección de red utilizable por las máquinas. Si este servicio deja de responder, la conexión a internet puede parecer activa mientoras los sitios, las herramientas SaaS, las API y los servicios de mensajería dejan de ser accesibles.
El riesgo no afecta únicamente al router de la oficina. Una dirección de Quad9 puede estar configurada en un servidor, un cortafuegos, una VPN, un navegador que utilice DNS cifrado, un perfil móvil o un contenedor Docker. Los entornos en contenedores merecen una comprobación específica, al igual que las medidas presentadas para proteger un NAS y sus contenedores Docker.
En los proyectos que llevamos a cabo, a menudo vemos DNS definidos en varios niveles con reglas contradictorias. El router utiliza un proveedor, la VPN impone un segundo y el navegador evita ambos mediante DNS over HTTPS, es decir, consultas DNS cifradas dentro de una conexión web.
¿Qué DNS elegir para sustituir a Quad9 en Francia?
El mejor sustituto de Quad9 depende de la necesidad prioritaria. Cloudflare 1.1.1.2 ofrece un filtrado antimalware sencillo. DNS4EU Protective combina el filtrado de amenazas con la resolución en una infraestructura europea para particulares. Cloudflare 1.1.1.1 y Google Public DNS son adecuados para una resolución generalista, pero no sustituyen de forma idéntica la política de seguridad de Quad9.
| Servicio | Direcciones principales | Filtrado | DNS cifrado | Punto a tener en cuenta |
|---|---|---|---|---|
| Cloudflare estándar | 1.1.1.1 y 1.0.0.1 | Sin filtro antimalware general | DoH y DoT | Resolución generalista |
| Cloudflare malware | 1.1.1.2 y 1.0.0.2 | Dominios maliciosos | DoH y DoT | Filtrado sencillo para puestos y redes |
| Google Public DNS | 8.8.8.8 y 8.8.4.4 | Sin filtro antimalware general | DoH y DoT | Validación DNSSEC |
| DNS4EU Protective | 86.54.11.1 y 86.54.11.201 | Malwares, hameçonnage et serveurs de commande | Sí | Servicio público limitado en velocidad y destinado a particulares |
| DNS4EU sin filtrar | 86.54.11.100 y 86.54.11.200 | Sin filtro de seguridad general | Sí | Los bloqueos judiciales siguen siendo aplicables |
DNS over HTTPS (DoH) y DNS over TLS (DoT) cifran el transorte de las consultas DNS. DNSSEC, compatible entre otros con Google Public DNS, verifica por su parte la autenticidad de las respuestas firmadas. Estos mecanismos responden a riesgos diferentes y no bloquean automáticamente un dominio malicioso.
En cuanto a la privacidad, Cloudflare declara en 2026 que no vende los datos personales de su resolvedor público con fines publicitarios. La empresa indica que normalmente no conserva de forma persistente las direcciones IP de origen, salvo en muestras que representan como máximo el 0,05 % del tráfico para fines de diagnóstico y lucha contra los ataques.
Google indica en 2026 que normalmente elimina en un plazo de 24 a 48 horas los registros que asocian la dirección IP de un cliente con sus consultas, aunque puede conservarlos durante más tiempo en determinados eventos de seguridad. Google aclara que los datos de Google Public DNS no se utilizan para la segmentación publicitaria. Para profundizar en la diferencia entre transorte cifrado y privacidad global, el análisis sobre los límites de una VPN frente a los datos de las aplicaciones ofrece una comparación útil.
Sinceramente, el DNS4EU público no es la opción adecuada para la red completa de una empresa. Su operador lo destina a usuarios particulares, aplica una limitación de velocidad y recomienda a las organizaciones evaluar una oferta profesional o un resolvedor administrado internamente.
Filtrado antimalware y bloqueo judicial: ¿qué diferencia hay?
El filtrado antimalware bloquea dominios asociados a software malicioso, phishing o infraestructuras delictivas de comando. El bloqueo judicial prohíbe el acceso a dominios designados por una resolución judicial. Por tanto, un DNS presentado como «sin filtrar» puede seguir sujeto a las obligaciones legales del país en el que opera el servicio.
Esta distinción cambia la decisión. Elegir Cloudflare 1.1.1.1 o Google Public DNS para evitar un filtro de seguridad no garantiza la ausencia de bloqueos legales. De hecho, Google indica que puede bloquear dominios por motivos de seguridad o en aplicación de obligaciones jurídicas.
Por el contrario, Cloudflare 1.1.1.2 añade una capa de protección contra dominios maliciosos, mientras que 1.1.1.3 también filtra contenidos para adultos. El filtro DNS sigue siendo una primera barrera. No sustituye ni a las actualizaciones, ni a la protección de los dispositivos, ni a la corcción de vulnerabilidades como las detalladas en nuestro artículo sobre los riesgos relacionados con las vulnerabilidades de PHP y los equipos de red.
Un error habitual consiste en configurar un DNS filtrante como servidor principal y un DNS no filtrante como servidor secundario. Un dispositivo puede consultar indistintamente uno u otro: el segundo servidor no espera pasivamente a que se produzca una avería. Según la documentación de Google Public DNS de 2026, los resolutores declarados conjuntamente deben aplicar políticas equivalentes de filtrado y validación DNSSEC.
¿Cómo migrar antes de que Quad9 abandone Francia?
La migración hors de Quad9 debe comenzar con un inventario y continuar con una prueba controlada en algunos dispositivos antes del despliegue general. En una estructura pequeña y bien documentada, la operación puede realizarse durante una intervención planificada. Una red con VPN, servidores internos y DNS cifrado requiere una validación más completa y un procedimiento de reversión preparado.
La siguiente lista de comprobación cubre los puntos que provocan con mayor frecuencia una avería o un sorteo involuntario del filtrado:
- Anote las direcciones y los nombres de host de Quad9 presentes en los routers, servidores DHCP, cortafuegos, VPN, servidores, navegadores, perfiles móviles, contenedores y herramientas de supervisión.
- Registre la configuración existente mediante capturas, exports y la lista de dispositivos afectados antes de realizar cualquier modificación.
- Elija por separado sus criterios: jurisdicción, privacidad, DNSSEC, DNS over HTTPS o DNS over TLS, filtrado antimalware, administración centralizada y aceptación de los bloqueos judiciales franceses.
- Configure dos direcciones del mismo proveedor o dos resolutores que apliquen políticas realmente equivalentes.
- Pruebe los sitios ordinarios, los errores de DNSSEC, el transporte cifrado, los nombres internos en split DNS, es decir, diferentes según se esté dentro o fors de la empresa, así como la VPN.
- Compruebe el filtrado con una página de prueba oficial del proveedor, sin descargar ningún archivo peligroso.
- Conserve los parámetros antiguos y una configuración de respaldo ya probada para poder volver rápidamente al estado anterior.
Le point délicat est souvent le split DNS. Un serveur public ne connaît pas les noms internes de l’entreprise ; le remplacer directement peut donc casser l’accès à un intranet, à une imprimante ou à une application métier. Dans ce cas, les postes doivent continuer à interroger le résolveur interne, lequel transmet seulement les demandes publiques au nouveau fournisseur.
En la agencia, lo habitual es modificar primero un grupo piloto representativo: un equipo fijo, un ordinador remoto con VPN, un móvil y un servidor no crítico. Una validación durante una jornada laboral permite detectar errores que una simple prueba de apertura de un sitio no muestra.
¿Hay que esperar al resultado del recurso de Quad9?
Esperar al resultado del recurso de Quad9 expone innecesariamente a los usuarios franceses a una interrupción el 24 de noviembre de 2026. El recurso sigue pendiente, pero la decisión es ejecutiva y Quad9 mantiene públicamente su calendario de retirada. Por tanto, la preparación y las pruebas deben finalizar antes de la fecha límite, aunque siga siendo posible un cambio jurídico.
Quad9 no ha hecho público el comportamiento técnico exacto previsto para las conexiones procedentes de Francia. Por tanto, una interrupción total no es el único escenario: también son posibles un rechazo explícito o la ausencia de respuesta. En cualquier caso, un cambio no probado puede afectar a la navegación, las API, las actualizaciones de software y determinados controles de seguridad.
Preparar la migración no significa necesariamente cambiar todos los equipos el mismo día. Puede validar el nuevo resolutor desde ahora, documentar los ajustes y programar el cambio definitivo durante una ventana de mantenimiento. En esta fase, es preferible dedicar unas horas a la preparación que improvisar un diagnóstico después del corte.
Planificar este cambio con antelación evita la mayoría de las interrupciones y de las políticas de seguridad incoherentes. Una opinión externa puede resultar útil corndo el DNS se combina con la VPN, los servidores internos, los navegadores administrados y las obligaciones de conformidencialidad.
Preguntas frecuentes sobre la sustitución de Quad9
¿Seguirá funcionando Quad9 en Francia después del 24 de noviembre de 2026?
Quad9 anuncia el cese de sus servicios para los usuarios situados en Francia a partir del 24 de noviembre de 2026. El servicio no ha precisado si las solicitudes serán rechazadas, expirarán o producirán otro error.
¿Cambiar el DNS modifica la dirección IP pública de la empresa?
Cambiar de resolvedor DNS no modifica la dirección IP pública proporcionada por el operador de internet. El cambio afecta a la traducción de los nombres de dominio en direcciones de red, no a la identidad de la conexión.
¿Cloudflare 1.1.1.1 bloquea los sitios maliciosos?
Cloudflare 1.1.1.1 no es la variante general de filtrado antimalware. Cloudflare reserva este filtrado para las direcciones 1.1.1.2 y 1.0.0.2 en 2026.
¿DNS4EU es adecuado para una red empresarial?
El servicio público gratuito DNS4EU está destinado a particulares y tendrá una velocidad limitada en 2026. DNS4EU recomienda a las organisations estudiar una oferta empresarial o un resolvedor administrado internamente.
¿El DNS cifrado impide un bloqueo judicial?
El DNS over HTTPS y el DNS over TLS cifran la consulta entre el dispositivo y el resolvedor. El DNS cifrado no impide que el proveedor elegido aplique un bloqueo or ordenado por la justicia.