¿Qué muestra la consulta DNS?
El DNS traduce nombres en direcciones y guarda mucho más: adónde va el correo, qué servidores de nombres son responsables, qué CA pueden emitir certificados. La consulta pregunta los tipos más importantes a la vez, tal y como los ve ahora un resolutor público.
Los tipos de registro más importantes
- A / AAAA: dirección IPv4 e IPv6 de un nombre.
- CNAME: alias a otro nombre. Un nombre con CNAME no puede tener ningún otro registro; por eso un CNAME no funciona en el propio dominio.
- MX: servidores de correo del dominio; se prueba primero la prioridad más baja. Un MX que apunta a «.» (MX nulo) significa que el dominio no recibe correo.
- NS y SOA: servidores de nombres responsables y datos de gestión de la zona. El TTL negativo del SOA define cuánto tiempo se guarda «no existe».
- TXT: texto libre, hoy sobre todo SPF, DMARC, DKIM y verificaciones de dominio para servicios en la nube.
- CAA: qué autoridades de certificación pueden emitir certificados.
- SRV, HTTPS: servicios con puerto (p. ej. SIP, XMPP, Autodiscover) e indicaciones de conexión para navegadores.
DNS inverso y comprobación cruzada
Una dirección IP tiene un registro PTR bajo in-addr.arpa o ip6.arpa. Lo gestiona el propietario del rango de direcciones, normalmente el proveedor o el hosting. Para servidores de correo es obligatorio: muchos receptores rechazan el correo si la IP no tiene PTR o si el nombre PTR no apunta de nuevo a la misma IP. La herramienta hace esta comprobación (FCrDNS) automáticamente.
¿Por qué veo valores distintos a los de mi compañero?
Los resolutores guardan las respuestas hasta que expira el TTL. Tras un cambio, algunos siguen viendo el valor antiguo. La consulta aquí va a Google Public DNS. La columna TTL indica cuánto tiempo como máximo puede aparecer todavía un valor antiguo.
FAQ
¿Qué resolutores se usan?
Google Public DNS (dns.google) y, si falla, Cloudflare (1.1.1.1). Ambos validan DNSSEC. La consulta pasa por el servidor de hollop.net, así que los resolutores no ven tu dirección IP.
¿Puedo consultar nombres internos?
No. Los resolutores públicos solo conocen zonas públicas. Para nombres internos usa nslookup o Resolve-DnsName en tu propia red. Los comandos aparecen bajo cada resultado.
¿Por qué falta un registro que acabo de crear?
O el cambio aún no ha llegado a todos los servidores de nombres, o el resolutor tiene todavía la respuesta antigua en caché. Un «no existe» se guarda tanto tiempo como indica el TTL negativo del SOA.
¿Qué significa «DNSSEC validado»?
La zona está firmada y el resolutor ha comprobado la cadena de firmas hasta la raíz. Es decir, la respuesta no se ha manipulado por el camino. El DNS funciona también sin DNSSEC, pero sin esta protección.
¿Por qué «Todos los importantes» no muestra registros SRV?
Los registros SRV cuelgan de nombres propios como _sip._tcp.ejemplo.es. Introduce ese nombre y elige el tipo SRV.