Quad9 abandona Francia el 24 de noviembre: actualiza tu configuración de DNS ahora

Quad9, el resolver de DNS centrado en la privacidad, cesará sus operaciones para los usuarios en Francia el martes 24 de noviembre de 2026. Esta decisión sigue una orden judicial francesa que exige al servicio bloquear dominios específicos asociados con la piratería deportiva, un mandato que Quad9 se niega a implementar. Los administradores de sistemas y propietarios de homelabs en Francia deben auditar inmediatamente sus configuraciones de red para reemplazar las direcciones de Quad9 antes de que los servicios fallen.

Qué ha ocurrido

El 21 de octubre, un tribunal francés falló a favor de beIN, una cadena deportiva qatarí, ordenando a Quad9 dejar de resolver dominios que alojan transmisiones pirateadas para usuarios franceses. En lugar de cumplir con el requisito de censura, Quad9 anunció que se retiraría por completo del mercado francés. Aunque el tribunal redujo la penalización diaria a €1.000, Quad9 citó aproximadamente 20 demandas pendientes como la razón principal de su salida, afirmando que no puede sobrevivir a la acumulación de posibles multas.

La retirada afecta a una amplia gama de entidades, incluidas grandes instituciones francesas como EDF, SNCF y DINUM. También impacta a usuarios individuales que migraron recientemente a Quad9 tras el anuncio de Mullvad de que cerrará su servicio público de DNS cifrado el 2 de noviembre de 2026. Los usuarios que siguieron el consejo de Mullvad de cambiar a Quad9 ahora enfrentan una segunda migración en pocas semanas. Quad9 advirtió que el bloqueo geográfico basado en IP es ineficaz porque los usuarios pueden evadirlo mediante VPNs, lo que hace que el cumplimiento sea legalmente riesgoso sin un filtrado exhaustivo.

Detalles clave

• Fecha límite: Quad9 deja de atender a usuarios franceses el 24 de noviembre de 2026.
• IPs afectadas: 9.9.9.9, 149.112.112.112, 2620:fe::fe, 2620:fe::9 y 9.9.9.10 dejarán de funcionar para conexiones desde Francia.
• Contexto legal: Quad9 enfrenta aproximadamente 20 demandas pendientes relacionadas con órdenes de bloqueo de dominios en Francia.
• Impacto en Mullvad: Los usuarios que migren de Mullvad DNS (que cierra el 2 de noviembre) a Quad9 deberán migrar nuevamente poco después.
• Alternativas: Cloudflare y DNS4EU siguen disponibles pero cumplen con las órdenes judiciales francesas; Unbound autoalojado ofrece independencia pero carece de consultas upstream cifradas por defecto.
• Alcance de la configuración: Se requieren cambios en routers, Pi-hole, Unbound, systemd-resolved, Docker y ajustes de DNS-over-HTTPS en navegadores.

Antecedentes

DNS, o Sistema de Nombres de Dominio, traduce nombres de dominio legibles por humanos a direcciones IP. La mayoría de los usuarios dependen de resolvers públicos como Quad9, Cloudflare o Google en lugar de ejecutar sus propios resolvers recursivos. Los resolvers centrados en la privacidad, como Quad9, ganaron popularidad prometiendo no registrar datos de usuario y resistiéndose a solicitudes de censura. Sin embargo, cuando un resolver opera dentro de una jurisdicción, está sujeto a las leyes locales. En Francia, precedentes legales recientes han obligado a importantes proveedores a bloquear el acceso a sitios acusados de alojar contenido pirateado.

Ejecutar un resolver recursivo local, como Unbound, permite a una organización consultar directamente los servidores raíz. Este enfoque elimina la dependencia de proveedores de terceros que podrían verse obligados a filtrar resultados. No obstante, las consultas recursivas estándar no están cifradas, lo que significa que los Proveedores de Servicios de Internet (ISP) aún pueden ver qué dominios se están solicitando. Este equilibrio entre la privacidad frente al resolver y la visibilidad ante el ISP es una consideración clave para los equipos que deciden sobre una estrategia de reemplazo.

Por qué importa

Para los equipos que gestionan infraestructura autoalojada, las dependencias ocultas de DNS son una causa común de cortes súbitos. Un archivo de configuración escrito hace años puede seguir apuntando a 9.9.9.9, haciendo que los servicios internos o las llamadas a API externas fallen una vez que el resolver deje de responder. A diferencia de un fallo de servidor web, los errores de DNS pueden ser sutiles, provocando tiempos de espera lentos en lugar de errores inmediatos, lo que dificulta el diagnóstico durante un incidente.

Este evento destaca el riesgo de depender de puntos únicos de fallo para componentes críticos de la infraestructura. Incluso organizaciones sin fines de lucro con fuertes posturas de privacidad son vulnerables a la presión legal. Los equipos que asumían que Quad9 era una capa estable y neutral deben reconocer ahora que factores geopolíticos y legales pueden interrumpir estos servicios inesperadamente. La auditoría proactiva de la configuración de DNS es esencial para mantener la continuidad operativa.

Además, el momento coincide con la salida de Mullvad del espacio de DNS público, creando un desafío de migración compuesto. Los administradores que recientemente actualizaron sus sistemas para seguir las mejores prácticas de privacidad ahora encuentran esas configuraciones obsoletas. Esto subraya la necesidad de configuraciones de red flexibles y fácilmente ajustables, en lugar de dependencias codificadas en proveedores de terceros específicos.

Qué puedes hacer

• Auditar configuraciones: Ejecuta comandos grep en /etc, directorios home y archivos compose de Docker para encontrar instancias de 9.9.9.9, 149.112.112.112 o quad9.
• Comprobar resolvers activos: Usa resolvectl status en Linux o revisa los ajustes de NetworkManager para identificar los servidores DNS actualmente activos.
• Actualizar ajustes del router: Inicia sesión en tu gateway o dispositivo OpenWrt y reemplaza las IPs de Quad9 con alternativas como Cloudflare (1.1.1.1) o DNS4EU en los ajustes WAN o DHCP.
• Reconfigurar resolvers locales: Si usas Pi-hole o Unbound, elimina las forward-zones que apunten a Quad9 y establece nuevos servidores upstream o habilita la resolución recursiva.
• Actualizar DoH del navegador: Revisa los ajustes de Firefox y Chrome para plantillas de DNS-over-HTTPS y reemplaza las URLs personalizadas de Quad9 con alternativas compatibles.
• Verificar cambios: Después de actualizar, vacía las cachés de DNS y prueba la resolución de dominios críticos para asegurar que la conectividad se haya restablecido.