Consulta DNS

Los tipos de registros

NetCheck consulta en directo el resolvedor DNS público de Google (mediante DNS-over-HTTPS) y muestra la respuesta tal cual. Cada tipo de registro tiene una función concreta:

El TTL, o por qué un cambio no es inmediato

Cada respuesta DNS lleva un TTL (time to live), en segundos. Es el tiempo durante el que los resolvedores de todo el mundo pueden guardar la respuesta en memoria sin volver a preguntar. Un TTL de 3600 significa que un cambio puede tardar hasta una hora en verse en todas partes. Antes de una migración, baja el TTL a 300 (cinco minutos) el día anterior, haz el cambio y vuelve a subirlo cuando todo esté comprobado. Para seguir un cambio en curso, usa la herramienta Propagación DNS.

Correo: SPF, DKIM y DMARC

La mayoría de los correos que acaban en spam se explican por los registros TXT.

• SPF enumera los servidores autorizados a enviar correo en nombre del dominio. Debe haber uno solo por dominio, que empiece por v=spf1. Dos registros SPF distintos invalidan ambos: fusiónalos.
• DKIM publica una clave que permite al destinatario verificar la firma de cada mensaje. Está en un subdominio del tipo selector._domainkey.ejemplo.es, que te indica tu proveedor de correo.
• DMARC, publicado en _dmarc.ejemplo.es, indica qué hacer con los mensajes que no superan esos controles: dejarlos pasar (p=none), enviarlos a spam (p=quarantine) o rechazarlos (p=reject). Gmail y Yahoo ya lo exigen a los remitentes masivos.

Para leer un registro DKIM o DMARC, escribe directamente el subdominio correspondiente, por ejemplo _dmarc.ejemplo.es, y elige el tipo TXT.

Errores de configuración habituales

• Un CNAME en la raíz: la norma prohíbe un CNAME en el dominio desnudo (ejemplo.es), porque entraría en conflicto con los registros NS y SOA. Algunos proveedores DNS ofrecen «CNAME flattening» o un tipo ALIAS para sortear la regla.
• Un MX que apunta a una IP: un MX debe indicar un nombre de host, que a su vez tenga un registro A.
• Servidores de nombres incoherentes: si los NS declarados en el registrador difieren de los de la zona, parte de los visitantes puede recibir respuestas antiguas.
• Un AAAA olvidado: si un registro IPv6 sigue apuntando al servidor antiguo, los visitantes en IPv6 llegan al sitio antiguo. Tenlo en cuenta al migrar.

Cómo leer una respuesta vacía

«Ningún registro» no significa necesariamente que haya un problema: muchos dominios no tienen AAAA ni CAA, y es normal. En cambio, un dominio sin A ni AAAA no puede mostrar un sitio, y un dominio sin MX no puede recibir correo. Si el resolvedor responde que el dominio no existe (código 3, llamado NXDOMAIN), comprueba la ortografía y después su estado con la herramienta WHOIS.

Preguntas frecuentes

¿Los resultados están actualizados?

Sí: la consulta va en directo al resolvedor público de Google, mediante DNS-over-HTTPS. Pero ese resolvedor, como todos, respeta el TTL: justo después de un cambio puede seguir devolviendo el valor antiguo. La herramienta Propagación DNS compara varios resolvedores a la vez.

¿Qué diferencia hay entre un registro A y un CNAME?

El A da directamente una dirección IP. El CNAME remite a otro nombre, que a su vez se resuelve. Es práctico cuando la dirección de destino cambia a menudo (plataformas, CDN), pero añade un paso y no puede convivir con otros registros en el mismo nombre.

¿Qué significa el número delante de un registro MX?

Es la prioridad: cuanto más bajo, más prioritario es el servidor. Los remitentes prueban primero el de menor valor y pasan a los siguientes si no responde.

¿Para qué sirve el registro CAA?

Restringe qué autoridades de certificación pueden emitir un certificado para tu dominio. Sin CAA, cualquiera puede hacerlo; con él, una autoridad no incluida debe negarse, lo que reduce el riesgo de un certificado fraudulento.