Simple = una consulta al resolver · Traza = descenso desde la raíz
opcionesOpciones avanzadas
Puntos clave de la herramienta
Respuesta CAA del nombre consultado
Muestra los registros CAA devueltos para el nombre introducido, con sus valores (Let's Encrypt, DigiCert, etc.) y su TTL.
Multi-resolvedor
Compara las respuestas de Google, Cloudflare y Quad9 para detectar problemas de propagación.
Etiquetas issue e issuewild
Las secciones de abajo explican el papel de cada etiqueta. La herramienta muestra los valores tal como se devuelven, sin interpretarlos.
Etiqueta iodef
Lee la dirección de notificación iodef si el dominio publica una. La herramienta no comprueba si es accesible y no garantiza ninguna notificación.
Gratuito e ilimitado
Prueba tantos dominios como necesites. Sin registro requerido.
¿Cómo usar correctamente las diferentes opciones de la consulta DNS?
¿Qué es la traza iterativa?
La traza ejecuta la resolución paso a paso. El resolvedor consulta primero a los servidores raíz, luego a los del TLD (.com, .es, .eu) y finalmente a los servidores autoritativos de la zona objetivo. En cada etapa la página muestra el servidor consultado, la respuesta, el RCODE y la latencia.
1. Raíz
Descubrimiento de los servidores del TLD para el nombre solicitado.
2. TLD
Referencia a los NS de la zona (delegación).
3. Autoritativos
Respuesta final (o error) con TTL y latencia.
¿Para qué sirve?
Comparar respuestas según los resolvedores
Detectar una caché caliente, un TTL demasiado largo o una delegación incompleta
Explicar una diferencia de latencia o un RCODE inesperado
Truco: deja la traza desactivada para las comprobaciones rápidas; actívala cuando investigues o prepares un ticket/post-mortem.
¿Qué es la traza clásica?
La traza clásica consulta únicamente el resolvedor seleccionado (UDP o DoH) y muestra la respuesta tal como se percibe desde ese punto de la red. Obtienes el RCODE, las secciones de la respuesta y la latencia del tramo cliente → resolvedor.
1. Resolvedor elegido
Utiliza el ajuste predefinido o la configuración personalizada para lanzar la consulta exactamente como lo haría tu servicio.
2. Protocolo conservado
Respeta el transporte seleccionado (UDP, TCP o DoH) para reproducir el comportamiento real.
3. Respuesta detallada
Muestra las secciones question, answer y authority/additional cuando existen, con TTL y metadatos útiles.
¿Por qué usarla?
Comprobar la visión de un resolvedor específico antes de sospechar de la delegación
Confirmar los valores en caché y el impacto de un TTL o de un vaciado
Documentar una resolución tal como la ve un cliente o un microservicio
Truco: deja desactivada la opción de traza iterativa cuando audites un resolvedor concreto; actívala después para compararla con el recorrido raíz → TLD → autoritativo.
¿Cómo funciona la prueba de propagación?
La prueba de propagación es una herramienta dedicada que consulta en paralelo un conjunto de resolvedores públicos (Google, Cloudflare, Quad9, AdGuard, CleanBrowsing, DNS4EU, NextDNS, Surfshark) y agrupa las respuestas por contenido y RCODE. Ves al instante quién ya aplicó la actualización.
1. Varios resolvedores
Consulta los resolvedores públicos del catálogo en una sola prueba, desde nuestros servidores en Europa.
2. Comparación automática
Agrupa las respuestas idénticas y señala las divergencias o los errores propios de cada resolvedor.
3. Resumen accionable
Ofrece un resumen claro, la lista de resolvedores, sus latencias y el estado de cada grupo.
¿Cuándo usarla?
Seguir la difusión de un cambio DNS en los principales resolvedores públicos
Identificar cachés aún antiguas y decidir un vaciado específico
Compartir un estado de propagación en un ticket o post-mortem
Truco: la prueba de propagación es una herramienta aparte. Usa el DNS Lookup (modo Simple o Traza) para el diagnóstico unitario de un resolvedor.
Un registro CAA (Certificate Authority Authorization) define qué autoridades de certificación (CA) están autorizadas a emitir certificados SSL/TLS para un dominio. Es una medida de seguridad que previene la emisión no autorizada de certificados.
La política de un nombre no viene necesariamente del apex. La búsqueda sigue los alias. Si la resolución termina bien sin devolver CAA, continúa en el padre del nombre solicitado y después en el primer ancestro que devuelva un conjunto CAA, hasta el TLD incluido. No sube por los padres del destino del alias y no consulta la raíz. Un error de consulta deja el resultado como desconocido.
La CA rechaza emitir. A menudo, el conjunto CAA aplicable contiene etiquetas issue, o issuewild para un wildcard, que no autorizan a esa CA. No es la única causa: un parámetro accounturi o validationmethods también puede bloquear, y una CA puede negarse mientras falle la consulta CAA.
Localiza el conjunto CAA aplicable: nombre solicitado, alias y luego padres
Cada comando consulta un solo nombre y no sube hacia los padres. Mira primero el estado: SERVFAIL, REFUSED o un tiempo agotado no permiten ninguna conclusión. Si el estado es NOERROR sin ninguna línea CAA y la respuesta solo muestra una cadena de alias, consulta también su último nombre de destino, sin ascender por sus nombres padre. Sin conjunto CAA, consulta después el padre del nombre solicitado y luego los siguientes hasta el TLD. La guía completa de los registros CAA detalla este procedimiento, alias incluidos.
; Autorizar Let's Encrypt para todos los certificados
captaindns.com. 3600 IN CAA 0 issue "letsencrypt.org"
captaindns.com. 3600 IN CAA 0 issuewild "letsencrypt.org"
; Notificaciones de seguridad
captaindns.com. 3600 IN CAA 0 iodef "mailto:security@captaindns.com"