Qué es Pi-hole: bloqueo de anuncios para toda la red, explicado de forma sencilla

Pi-hole — es un servidor DNS con filtrado que bloquea publicidad y rastreadores para todos los dispositivos de la red: ordenadores, teléfonos, televisores y dispositivos inteligentes en los que no se puede instalar una extensión de navegador. Pi-hole se instala en un ordenador pequeño o en una máquina virtual en la red local y se configura como servidor DNS en el router. Tras eso, las consultas a dominios publicitarios y de rastreo reciben una respuesta “vacía”, y las demás se procesan como de costumbre.

Pi-hole es un proyecto abierto; se puede ejecutar en Raspberry Pi, en una máquina virtual o en un contenedor Docker.

Cómo funciona

Antes de abrir un sitio o descargar un banner publicitario, el dispositivo pregunta al servidor DNS la dirección IP del dominio. Si el servidor DNS es Pi-hole, este:

1. Comprueba el dominio contra las listas de bloqueo.
2. Si el dominio está en la lista, devuelve una respuesta “vacía” y el dispositivo no puede cargar la publicidad ni enviar datos al rastreador.
3. Si el dominio no está en las listas, reenvía la consulta al servidor DNS ascendente y cachea la respuesta.

La interfaz web de Pi-hole muestra qué dispositivos consultan qué dominios, cuántas consultas se han bloqueado y permite permitir o bloquear dominios manualmente.

Qué cambió en Pi-hole v6

En febrero de 2025 salió la sexta versión, que simplificó notablemente el dispositivo Pi-hole:

• El servidor web integrado y la API REST ahora forman parte de pihole-FTL. Ya no son necesarios lighttpd ni PHP por separado.
• La configuración está en un solo archivo /etc/pihole/pihole.toml con comentarios detallados. La configuración de la versión cinco se migra automáticamente.
• Las suscripciones a listas de permitidos (allowlists) funcionan igual que las suscripciones a las listas de bloqueo, pero permiten dominios.
• HTTPS para la interfaz web — con su propio certificado o con uno creado automáticamente.
• La imagen Docker está basada en Alpine y es notablemente más pequeña.
• La interfaz web se ha rehecho: la configuración se divide en modos básico y experto.

Si has leído guías para versiones antiguas con lighttpd, setupVars.conf y PHP, esas instrucciones ya no son válidas para v6.

Instalación

Necesitarás un dispositivo con Linux en la red local, disponible las 24 horas, con una dirección IP fija: ya sea estática o reservada por DHCP en el router.

La forma oficial de instalación es con un único comando:

curl -sSL https://install.pi-hole.net | bash

La documentación de Pi-hole advierte que ejecutar el script con | bash no permite leer el código antes de la ejecución. Es más prudente descargar el script, revisarlo y ejecutarlo por separado:

wget -O basic-install.sh https://install.pi-hole.net
less basic-install.sh
sudo bash basic-install.sh

El instalador preguntará por el servidor DNS ascendente, la interfaz de red y las listas de bloqueo iniciales, y al final mostrará la contraseña de la interfaz web. Para Docker hay una imagen oficial — el procedimiento para ejecutarla está descrito en la sección Docker de la documentación de Pi-hole.

Cómo encaminar la red a través de Pi-hole

Para que el filtrado funcione en todos los dispositivos sin configurarlos manualmente, en el router hay que indicar la dirección de Pi-hole como servidor DNS que DHCP entregue a los clientes. Si el router no permite cambiar el DNS para los clientes, hay dos opciones: activar el servidor DHCP de Pi-hole, desactivando previamente el DHCP del router, o configurar el DNS manualmente en cada dispositivo.

Verifica tras la configuración:

• IPv6. Si el proveedor y el router asignan IPv6 a los dispositivos, el router puede comunicarles también su propia dirección IPv6 de DNS. Entonces parte de las consultas irá fuera de Pi-hole. En la configuración IPv6 del router hay que o bien indicar la dirección de Pi-hole, o bien desactivar la provisión de su propio DNS.
• DNS de reserva. Si se pone como segundo servidor DNS un resolvedor público, los dispositivos consultarán periódicamente ese servidor y eludirá el filtrado. Es más fiable desplegar una segunda instancia de Pi-hole.
• DNS dentro de aplicaciones y navegadores. Navegadores y aplicaciones con DNS-over-HTTPS activado consultan a sus propios servidores directamente, y Pi-hole no ve esas consultas.

Si en la red hay un Keenetic, sus capacidades de DNS y filtrado están descritas en el artículo «Keenetic: Parte 1 — Router con KeeneticOS modular».

Servidores DNS ascendentes

Pi-hole reenvía las consultas no bloqueadas al resolvedor elegido. Opciones:

• Resolvedor público del proveedor o de un servicio grande — la opción más sencilla.
• Tu propio resolvedor recursivo Unbound en la misma máquina. La guía oficial de Pi-hole configura Unbound en el puerto 5335, y en Pi-hole se indica el servidor DNS personalizado 127.0.0.1#5335. De este modo las consultas no pasan por un servicio DNS de terceros.
• DNS cifrado (DoH, DoT) hacia un servidor ascendente. Pi-hole no lo soporta por sí mismo — se necesita un programa intermediario que acepte consultas DNS normales localmente y las envíe a través del canal cifrado.

Limitaciones

• Pi-hole bloquea dominios, no el contenido de las páginas. La publicidad que se sirve desde el mismo dominio que el contenido principal, por ejemplo en vídeos de grandes plataformas, no se bloquea así.
• A veces las listas de bloqueo afectan a sitios necesarios. Esos dominios se añaden a los permitidos manualmente o mediante una suscripción a una lista de permitidos.
• Si el dispositivo con Pi-hole se apaga, los clientes se quedarán sin DNS. Para una oficina o una familia con muchos dispositivos conviene mantener dos instancias.
• Las listas y el propio programa requieren actualizaciones: pihole -up actualiza Pi-hole, pihole -g actualiza las listas de bloqueo.

Pi-hole o AdGuard Home

La alternativa más cercana es AdGuard Home (licencia GPLv3). Frente a Pi-hole, permite de serie trabajar con servidores ascendentes cifrados (DoH, DoT, DNSCrypt) y puede actuar él mismo como servidor DoH y DoT para los clientes. También incluye DHCP integrado y control parental. Pi-hole atrae por la transparencia de sus registros, una comunidad amplia y por ser familiar para quienes ya lo usan. Para una red doméstica ambos sirven; si necesitas DNS cifrado sin programas adicionales, es más sencillo empezar con AdGuard Home.

Errores típicos

• No tener una IP fija. La dirección de Pi-hole cambia y la red pierde DNS.
• Tener un DNS público como servidor secundario en el router. Parte de las consultas elude el filtrado y parece que Pi-hole “no funciona”.
• Olvidar IPv6. Los dispositivos reciben el DNS del router vía IPv6.
• Interfaz web de Pi-hole accesible desde Internet. La interfaz y el servidor DNS deben estar accesibles solamente desde la red local o mediante VPN.
• Demasiadas listas de bloqueo. Más listas — más falsos positivos. Empieza con el conjunto estándar y añade listas según sea necesario.

Resumen

Pi-hole es una forma sencilla de eliminar publicidad y rastreadores de todos los dispositivos de la red a la vez y ver qué dispositivos consultan qué dominios. Para su funcionamiento se necesita un dispositivo encendido permanentemente, una configuración correcta del DNS en el router teniendo en cuenta IPv6 y entender que el filtrado opera a nivel de dominios.

Enlaces

• Sitio oficial de Pi-hole
• Anuncio de Pi-hole v6
• Documentación de Pi-hole
• Pi-hole y Unbound
• AdGuard Home