Caja de herramientas DNS

¿Por qué usar herramientas DNS?

El DNS es el primer paso de toda conexión a Internet. Un problema DNS = sitio inaccesible, emails no entregados, certificados SSL imposibles de validar. Sin visibilidad sobre tu configuración DNS, trabajas a ciegas.

Tres situaciones donde estas herramientas son indispensables:

• Migración de servidor → Verificar que el nuevo A/AAAA esté propagado antes de apagar el antiguo
• Problema de correo → Confirmar que MX, SPF, DKIM, DMARC están correctamente publicados
• Sitio inaccesible → Diagnosticar si el problema viene del DNS, del servidor o de la red
• DNSSEC roto → Verificar la cadena de confianza, detectar DS huérfanos o firmas expiradas

Cómo diagnosticar un problema DNS en 3 pasos

Paso 1: Ejecutar una búsqueda DNS

Accede al DNS Lookup, introduce tu dominio y selecciona el tipo de registro:

• A: dirección IPv4 del servidor
• AAAA: dirección IPv6
• MX: servidores de correo
• TXT: SPF, DKIM, DMARC, verificaciones
• NS: servidores de nombres autoritativos

Compara las respuestas de Google DNS, Cloudflare, Quad9 y del servidor autoritativo.

Paso 2: Auditar la salud DNS

Usa la Auditoría DNS para un análisis completo:

• Coherencia padre/zona
• Delegación y glue records
• Accesibilidad IPv4 e IPv6
• Soporte TCP (obligatorio para respuestas voluminosas)
• Sincronización SOA entre servidores

Paso 3: Seguir la propagación

Después de una modificación, el Test de propagación compara las respuestas de decenas de resolvers públicos. Ves instantáneamente quién tiene el nuevo valor y quién mantiene el antiguo.

¿Qué es el DNS?

El DNS (Domain Name System) traduce los nombres de dominio en direcciones IP. Cuando escribes captaindns.com, tu navegador consulta un resolver DNS que sigue la cadena:

1. Servidores raíz → Indican dónde encontrar el TLD (.com)
2. Servidores TLD → Indican los NS del dominio
3. Servidores autoritativos → Proporcionan la respuesta final

Ejemplo de resolución:

Consulta: captaindns.com A
→ Raíz: "El .com está gestionado por a.gtld-servers.net"
→ TLD: "captaindns.com está delegado a ns1.provider.com"
→ Autoritativo: "A = 203.0.113.50, TTL 3600"

Tipos de registros DNS analizados

DNSSEC: asegurar la cadena de resolución DNS

DNSSEC (Domain Name System Security Extensions) agrega una capa de firmas criptográficas al DNS. Sin DNSSEC, un atacante puede interceptar y modificar las respuestas DNS (DNS spoofing, cache poisoning) para redirigir el tráfico a un servidor malicioso.

Cómo funciona DNSSEC:

1. Cada zona DNS firma sus registros con una clave privada
2. La clave pública se publica en el DNS (registro DNSKEY)
3. El padre publica un registro DS (Delegation Signer) que vincula la clave de la zona hija
4. El resolver verifica cada firma remontándose hasta la raíz

Lo que verifica el DNSSEC Checker:

DNSSEC es indispensable para DANE/TLSA (seguridad SMTP) y se convierte en requisito para cada vez más servicios. Microsoft 365 exigirá DNSSEC para dominios de correo en 2026.

RDAP: datos de registro de dominios

RDAP (Registration Data Access Protocol) reemplaza a WHOIS para consultar los datos de registro de un dominio. Desde el 28 de enero de 2025, la ICANN ya no exige WHOIS para los gTLDs. 374 TLDs ya han cerrado su servicio WHOIS.

Lo que revela un RDAP Lookup:

• Registrar: quién gestiona el dominio (nombre, identificador IANA, contacto de abuso)
• Fechas: creación, expiración, última modificación, antigüedad del dominio
• Códigos EPP: bloqueos activos (transferProhibited, deleteProhibited), suspensiones, estados transitorios
• DNSSEC: ¿el dominio está firmado con DNSSEC a nivel del registrar?
• Contactos: titular, administrativo, técnico (si no están ocultos por el RGPD)

Por qué es importante:

• Un dominio sin clientTransferProhibited es vulnerable al robo (domain hijacking)
• Un dominio en pendingDelete será eliminado en 30 días
• Un dominio creado hace menos de 30 días es potencialmente sospechoso (phishing)
• La ausencia de DNSSEC expone el dominio al DNS spoofing

La herramienta detecta automáticamente el protocolo (RDAP o WHOIS) y normaliza los resultados en el mismo formato, sin importar el TLD.

Casos de uso concretos

Incidente 1: Sitio inaccesible después de migración

Síntoma: El sitio funciona para algunos usuarios, no para otros.

Diagnóstico:

• Ejecuta un DNS Lookup en el registro A
• Compara las respuestas: Google tiene la nueva IP, algunos ISP mantienen la antigua

Acción: Esperar la expiración del TTL o bajar el TTL antes de la próxima migración.

Incidente 2: Emails rechazados después de cambio de proveedor

Síntoma: Los emails salientes son rechazados con "SPF fail".

Diagnóstico:

• Verifica el TXT con DNS Lookup
• El antiguo include sigue presente, el nuevo falta

Acción: Corregir el registro SPF, esperar la propagación, volver a probar.

Incidente 3: Certificado SSL imposible de generar

Síntoma: Let's Encrypt falla con "DNS problem".

Diagnóstico:

• Ejecuta la auditoría DNS del dominio
• Un NS está en lame delegation (no responde como autoritativo)

Acción: Corregir la delegación en el registrar, esperar la propagación.

FAQ - Preguntas frecuentes

P: ¿Cómo funciona la búsqueda DNS?

R: La herramienta consulta el resolver seleccionado (Google, Cloudflare o el servidor autoritativo) y muestra la respuesta bruta con TTL, secciones answer/authority/additional y latencia. Puedes activar la traza iterativa para ver cada paso de la resolución.

P: ¿Qué es la propagación DNS?

R: La "propagación" se refiere al tiempo necesario para que los caches de los resolvers expiren y obtengan el nuevo valor. Depende del TTL: un TTL de 3600 significa que algunos resolvers pueden mantener el valor antiguo hasta 1 hora después de tu cambio.

P: ¿Por qué los resultados difieren entre resolvers?

R: Cada resolver tiene su propio cache. Si un resolver consultó tu zona antes de tu cambio, mantiene la respuesta en cache hasta que expire el TTL. Por eso los cambios no son instantáneos en todas partes.

P: ¿Qué verifica la auditoría DNS?

R: La auditoría controla la coherencia entre padre (registro) y zona, verifica que cada NS responda como autoritativo, prueba IPv4/IPv6, valida TCP, compara los serial SOA y detecta lame delegations o glue obsoletos.

P: ¿Cómo reducir el tiempo de propagación?

R: Baja el TTL del registro a modificar 24-48h antes del cambio (por ejemplo, a 300 segundos). Realiza la modificación. Una vez estable, sube el TTL a su valor normal para optimizar el rendimiento.

P: ¿Qué es DNSSEC y por qué activarlo?

R: DNSSEC agrega firmas criptográficas a las respuestas DNS para impedir el spoofing y el cache poisoning. Sin DNSSEC, un atacante puede redirigir tu tráfico a un servidor malicioso. DNSSEC es indispensable para DANE/TLSA y será exigido por Microsoft 365 en 2026. Verifica tu cadena de confianza con el DNSSEC Checker.

P: ¿Cómo verificar los datos de registro de un dominio?

R: Usa el RDAP Lookup para consultar el registrar, fechas (creación, expiración), códigos EPP y estado DNSSEC de un dominio. RDAP reemplaza a WHOIS desde enero de 2025. La herramienta cambia automáticamente a WHOIS para los TLDs no cubiertos (.de, .cn, .eu, .ru).

Herramientas complementarias

Recursos útiles

• RFC 1035 - Domain Names (especificación DNS original)
• RFC 8499 - DNS Terminology (glosario DNS oficial)
• Google Public DNS Documentation (guía de uso)
• Cloudflare DNS Learning Center (tutoriales DNS)