Uso de Encrypted ClientHello

Para qué sirve

Encrypted ClientHello, o ECH, cifra la parte interna del saludo inicial TLS, que puede incluir el nombre solicitado. Esta prueba separa la oferta publicada en DNS de su uso real. Tener TLS 1.3, un navegador reciente o una configuración ECH publicada no demuestra que ese intercambio haya utilizado ECH.

Cómo hacer la prueba

1. Abre la herramienta mediante HTTPS con el mismo navegador y perfil. Comprueba el nombre de dominio que estás inspeccionando.
2. Consulta DNS y conexión por separado. Otro dominio introducido en el campo no hereda la prueba TLS de esta página.
3. Lee configuración presente, estructura válida, compatibilidad del analizador y aceptación observada. No reduzcas esos pasos a una sola casilla.

Qué medimos

El servidor inspecciona registros DNS HTTPS y analiza ECH. Para la conexión utiliza señales explícitas de la terminación TLS, un intermediario aprobado o una traza correlacionada.

La consulta DNS llega al servicio configurado y puede utilizar caché. Nuestro servidor no ve por sí solo el saludo del navegador si otro sistema termina la conexión.

Cómo interpretar el resultado

ECH aceptado

Una señal explícita aplicable al tramo del navegador confirma la aceptación en esa conexión y origen. No describe otras visitas.

Configuración sin aceptación

El DNS ofrece ECH, pero falta evidencia de uso o aparece rechazo o conexión sin ECH. Publicar una oferta no equivale a ejecutarla.

Indeterminado o GREASE

Sin señal aplicable no se concluye. GREASE es un mecanismo de compatibilidad que no confirma ni descarta uso real.

Comparar antes y después

1. Guarda la referencia con el mismo origen HTTPS, dispositivo, navegador, perfil y fuentes. Conserva DNS y conexión separados.
2. Cambia un solo ajuste relevante, como el DNS seguro del navegador si corresponde, y abre una conexión nueva al mismo origen.
3. Compara señales de conexiones nuevas. Una actualización de la caché DNS puede cambiar la oferta sin demostrar un cambio de uso.

Límites de la prueba

• ECH no oculta todas las direcciones, tiempos, tamaños y demás metadatos del tráfico.
• Formatos o algoritmos desconocidos pueden quedar fuera del analizador aunque su estructura sea válida.

Qué puedes hacer

Hay configuración sin prueba de uso

Revisa compatibilidad y resolución DNS del navegador; repite sin asumir que una VPN habilita ECH.

Solo aparece una señal interna

Conserva el resultado del navegador como indeterminado hasta disponer de una señal de su terminación TLS.

Preguntas frecuentes

Fuentes y referencias

• RFC 9849 · ECH