Qué muestra la ventana emergente
La extensión lee el nombre del sitio de la pestaña activa y sube hasta el dominio raíz: en www.example.com o app.example.com, consulta example.com, salvo en los casos descritos más abajo. Después pide tres registros al DNS. El MX indica qué servidores reciben el correo del dominio. El SPF enumera los servidores autorizados a enviar en su nombre. El DMARC fija qué deben hacer los proveedores de correo con un mensaje que no supera esas comprobaciones.
Cada línea recibe un color según reglas fijas:
| Registro | Verde | Naranja | Rojo | Gris |
|---|---|---|---|---|
| MX | al menos un servidor de correo | ningún MX publicado, o un Null MX mezclado con otros MX | Null MX (0 .): el dominio rechaza todo el correo | |
| SPF | ~all o -all | ?all, sin all, o delegación con redirect= | ausente, varios registros, o +all | |
| DMARC | p=quarantine o p=reject | p=none | ausente, varios registros, p= ausente o desconocido |
Un SPF dividido en varias cadenas de 255 caracteres se vuelve a unir antes de leerlo, igual que hacen los servidores de correo.
Qué no comprueba
DKIM necesita un selector que la ventana emergente no puede adivinar. MTA-STS, BIMI, las listas negras y la cadena de include: del SPF piden más consultas de las que debería lanzar una ventana emergente. El botón de abajo abre la auditoría completa del dominio en CaptainDNS, con el dominio ya rellenado.
En una página interna del navegador (chrome://, about:), un archivo local, una dirección IP o localhost, la ventana emergente muestra un mensaje en lugar de resultados. Lo mismo ocurre si el dominio no existe en el DNS público (NXDOMAIN) o si el resolutor no responde (SERVFAIL), con un botón para reintentar.
Hay dos límites conocidos, porque la extensión no incluye la lista de sufijos públicos, que habría que actualizar en cada versión. Un subdominio delegado en su propia zona DNS, con su propio SOA, se trata como dominio raíz: si app.example.com tiene su propia zona, la ventana emergente comprueba app.example.com y no example.com. En un sitio alojado bajo el dominio de una plataforma, como usuario.github.io o proyecto.vercel.app, muestra los registros de la plataforma (github.io, vercel.app) y no los del sitio.
Navegadores compatibles
El mismo código funciona en Chrome, Microsoft Edge y Firefox 140 o posterior. La ventana emergente está en francés y en inglés; con un navegador en español aparece en inglés. El código no está compilado ni minificado: lo que se instala se puede leer tal cual.
Privacidad
La extensión pide un único permiso, activeTab. Lee la dirección de la pestaña activa cuando haces clic en su icono, y solo entonces. No tiene script en segundo plano y no lee ni el contenido de las páginas ni tu historial de navegación.
Para consultar el DNS, envía el nombre completo del sitio (subdominios incluidos, por ejemplo staging.example.com) al resolutor público de Cloudflare (1.1.1.1), mediante DNS over HTTPS en cloudflare-dns.com. La ruta de la página nunca se envía. Como en cualquier petición de red, Cloudflare también ve tu dirección IP. Cloudflare describe sus compromisos para este resolutor en la política de privacidad del resolutor 1.1.1.1 (en inglés), entre ellos borrar los registros del resolutor en un plazo de 25 horas.
A CaptainDNS no llega nada: ni telemetría, ni cuenta, ni datos guardados en tu ordenador. Si haces clic en el botón de auditoría, tu navegador abre captaindns.com con el dominio en la dirección y se aplica la política de privacidad del sitio.
Por eso las fichas de las tiendas declaran datos de navegación («Web history» en el formulario de Chrome, «browsing activity» en Firefox): la extensión no lee tu historial, pero el nombre completo del sitio que visitas sale del navegador hacia Cloudflare.