Leer un registro
Todo registro DNS tiene la misma forma: nombre TTL clase tipo datos. La TTL (segundos) dice cuánto tiempo pueden guardarlo en caché los resolutores; la clase es casi siempre IN; el tipo determina cómo leer los datos. dig imprime exactamente este formato en su ANSWER SECTION, así que puedes pegarla tal cual.
El trío del correo
SPF (un registro TXT en el dominio) enumera qué servidores pueden enviar correo del dominio. Se evalúa de izquierda a derecha; el primer mecanismo que coincide decide, y el calificador que lo precede (- fail, ~ softfail, ? neutral, + pass) es el resultado. Solo se permiten diez mecanismos en total que provoquen consultas DNS (include, a, mx, ptr, exists, redirect), contando los include anidados; más produce un error permanente que inutiliza el registro. Termina con -all o ~all; +all autoriza a todo internet.
DKIM publica una clave pública en selector._domainkey.dominio; el servidor remitente firma cada mensaje con la clave privada. Las claves deberían ser RSA de 2048 bits o Ed25519; muchos receptores ya rechazan las de 1024 bits.
DMARC (_dmarc.dominio) dice a los receptores qué hacer cuando ni SPF ni DKIM coinciden con el dominio del From (p=none, quarantine, reject) y adónde enviar los informes agregados (rua=). Empieza con p=none e informes, corrige las fuentes que fallan y luego pasa a reject.
Otros registros que conviene conocer
- CAA: qué autoridades de certificación pueden emitir para el nombre.
0 issue "letsencrypt.org"bloquea a cualquier otra CA; sin registro CAA, todas pueden. - SRV: prioridad, peso, puerto y destino de un servicio como
_sip._tcpo_xmpp-client._tcp. Gana la prioridad más baja; el peso reparte la carga entre iguales. - SOA: el serial de la zona (increméntalo con cada cambio para que los secundarios lo noten), los temporizadores refresh/retry/expire para los secundarios y la TTL de caché negativa para las respuestas NXDOMAIN.
- HTTPS: indica a los navegadores que un sitio admite HTTP/3 (
alpn="h3,h2") y transporta las claves de Encrypted ClientHello.
Preguntas
¿Cómo obtengo los registros de mi dominio?
dig example.com ANY apenas funciona ya; consulta cada tipo por separado: dig example.com MX, dig TXT example.com, dig _dmarc.example.com TXT, dig +short example.com A. Pega aquí las líneas de respuesta.
¿Por qué SPF dice «demasiadas consultas DNS»?
Cada include:, a, mx, ptr, exists y redirect cuenta, también los que hay dentro de los registros incluidos. Google Workspace necesita varios por sí solo. Aplana los include poco usados a rangos ip4/ip6 o elimina los servicios que no uses.
¿Por qué mi CNAME no funciona en el dominio raíz?
Un CNAME no puede coexistir con otros registros en el mismo nombre, y el ápice siempre tiene registros SOA y NS. Usa la función ALIAS/ANAME/flattening del proveedor o registros A/AAAA.
¿Qué TTL debo usar?
3600 (una hora) es un valor normal por defecto. Bájala a 300 un día antes de un cambio planificado y súbela después. Las TTL muy bajas aumentan la carga en los servidores autoritativos y ralentizan ligeramente las consultas.