¿Qué es el DNS y cómo funciona?

IPAddress-Lookup.com · June 28, 2025

Cada vez que escribes el nombre de una página web en tu navegador, un sistema invisible se pone en marcha para averiguar dónde se encuentra realmente ese sitio. Ese sistema es el Sistema de Nombres de Dominio, o DNS, y constituye uno de los elementos más importantes de la infraestructura de Internet. Sin él, tendrías que memorizar largas cadenas de números para cada página web que visitaras, en lugar de nombres fáciles de recordar como example.com. En esta guía te explicaremos exactamente qué es el DNS, analizaremos una búsqueda real de principio a fin, desglosaremos los principales tipos de registros y te mostraremos cómo inspeccionar y solucionar problemas del DNS por ti mismo.

¿Qué es el DNS?

El DNS es la guía telefónica de Internet. Los ordenadores no se comunican utilizando nombres legibles para los humanos, sino que lo hacen mediante direcciones numéricas. Cuando quieres llamar a un amigo por teléfono, no marcas su nombre, sino su número, aunque probablemente recuerdes el nombre y dejes que tu agenda de contactos lo convierta en dígitos. El DNS hace lo mismo en Internet: traduce un nombre de dominio que las personas pueden recordar, como www.example.com, a la dirección IP numérica que las máquinas utilizan realmente para enrutar el tráfico, como 93.184.216.34 para IPv4 o una cadena hexadecimal más larga para IPv6.

Esta traducción es importante porque las direcciones IP cambian. Un sitio web puede trasladarse a un nuevo servidor, cambiar de proveedor de alojamiento o distribuir su contenido entre docenas de centros de datos de todo el mundo. Los nombres nos proporcionan una etiqueta estable y fácil de recordar que permanece igual incluso cuando la dirección subyacente cambia. El DNS es la capa que cumple esa promesa, resolviendo nombres en direcciones miles de millones de veces por segundo en todo el mundo. También es un sistema distribuido, lo que significa que ningún ordenador por sí solo contiene toda la lista de nombres. En su lugar, la responsabilidad se distribuye entre una vasta jerarquía de servidores, que es precisamente lo que hace que el DNS sea rápido, resistente y capaz de escalar a escala planetaria.

Los actores que intervienen en una consulta de DNS

Antes de seguir el recorrido de una consulta, conviene conocer a los participantes. Cada uno tiene una función específica, y una sola consulta puede involucrar a todos ellos:

• Resolutor stub: el pequeño programa integrado en tu sistema operativo. Cuando una aplicación necesita una dirección, el resolutor stub reenvía la solicitud. Por sí mismo, apenas realiza operaciones de procesamiento.
• Resolutor recursivo: el motor principal, normalmente gestionado por tu proveedor de servicios de Internet o por un proveedor público, como los conocidos servicios 8.8.8.8 o 1.1.1.1. Recibe tu consulta y realiza todas las gestiones necesarias para encontrar la respuesta definitiva, para luego devolvértela.
• Servidores de nombres raíz: la cúspide de la jerarquía. No conocen la dirección de ningún sitio web, pero saben dónde encontrar los servidores responsables de cada dominio de nivel superior.
• Servidores de nombres de dominio de primer nivel (TLD): son los responsables de un dominio de primer nivel como .com, .org o .net. Saben qué servidores autoritativos gestionan cada dominio registrado bajo su dominio.
• Servidores de nombres autoritativos: la fuente definitiva de información. Estos servidores contienen los registros reales de un dominio específico y proporcionan la respuesta definitiva.

Seguimiento de una consulta real: resolución de www.example.com

Sigamos paso a paso una única solicitud. Imagina que escribes www.example.com en tu navegador y pulsas Intro. Esto es lo que ocurre entre bastidores, suponiendo que aún no haya nada almacenado en la caché:

1. El navegador envía la solicitud al resolutor stub. El resolutor stub de tu sistema operativo recibe la solicitud de www.example.com. En primer lugar, comprueba su propia caché local. Si ha consultado este nombre recientemente, devuelve la respuesta de inmediato y el proceso termina aquí.
2. El resolutor stub se pone en contacto con el resolutor recursivo. Al no haber ninguna respuesta almacenada en caché, el resolutor stub reenvía la consulta al resolutor recursivo que tengas configurado.
3. El resolutor recursivo consulta a un servidor raíz. El resolutor recursivo aún no sabe dónde se encuentra .com, por lo que pregunta a uno de los servidores raíz. El servidor raíz no conoce www.example.com, pero responde con una remisión: «No tengo esa respuesta, pero aquí están los servidores responsables de .com».
4. El resolutor recursivo consulta al servidor del TLD .com. Siguiendo esa remisión, el resolutor pregunta a un servidor del TLD .com por www.example.com. El servidor del TLD responde con otra remisión: «No conozco la dirección, pero aquí están los servidores de nombres autoritativos para example.com».
5. El resolutor recursivo consulta al servidor autoritativo. Finalmente, el resolutor pregunta al servidor de nombres autoritativo de example.com. Este servidor contiene los registros reales y responde de forma definitiva: «www.example.com se encuentra en 93.184.216.34».
6. La respuesta te llega. El resolutor recursivo almacena esta respuesta en caché, se la pasa a tu resolutor stub y tu navegador establece una conexión con esa dirección IP. Todo el proceso suele completarse en unas decenas de milisegundos.

Consultas recursivas frente a iterativas

El ejemplo anterior ilustra dos estilos diferentes de consulta, y comprender la distinción aclara muchas dudas. Cuando tu dispositivo formula una pregunta al resolutor recursivo, espera una respuesta final completa. Esa es una consulta recursiva: el resolutor asume la responsabilidad de hacer lo que sea necesario para devolver un resultado completo. Tu dispositivo se limita a esperar.

Las comunicaciones que el resolutor recursivo mantiene con los servidores raíz, de dominio de nivel superior (TLD) y autoritativos son consultas iterativas. Ninguno de esos servidores busca la respuesta en tu nombre. En su lugar, responden con la mejor información de la que disponen, que suele ser una referencia que te acerca un paso más al destino. A continuación, el resolutor recursivo repite el proceso, descendiendo por la jerarquía hasta alcanzar una respuesta autoritativa. En resumen: tu dispositivo pregunta de forma recursiva y el resolutor trabaja de forma iterativa.

Almacenamiento en caché y TTL en cada capa

Si cada consulta tuviera que recorrer todo el camino hasta un servidor autoritativo, Internet sería terriblemente lento y los servidores raíz colapsarían bajo la carga. El almacenamiento en caché evita que eso ocurra. En casi todas las capas, las respuestas se almacenan temporalmente para que puedan reutilizarse. Tu navegador almacena en caché, tu sistema operativo almacena en caché y el resolutor recursivo lo hace de forma intensiva.

El tiempo que un registro puede permanecer en caché viene determinado por su TTL (tiempo de vida), que se mide en segundos y lo establece el propietario del dominio. Un registro con un TTL de 3600 puede permanecer en caché durante una hora antes de que un resolutor tenga que obtener una copia actualizada. Los TTL cortos permiten modificar los registros rápidamente, lo cual resulta útil durante la migración de un servidor, pero aumentan el volumen de consultas. Los TTL largos mejoran el rendimiento y reducen la carga, pero implican que los cambios tardan más en propagarse por todo el mundo. Por eso, los administradores suelen reducir el TTL de un registro un día antes de un cambio planificado y volver a aumentarlo después.

La jerarquía del DNS y los servidores raíz

El DNS está organizado como un árbol invertido. En la parte más alta se encuentra la raíz, representada por un único punto que suele ser invisible. Por debajo de la raíz se encuentran los dominios de nivel superior (TLD), como .com, .org y códigos de país como .uk o .de. Por debajo de cada TLD están los dominios de segundo nivel que registran particulares y organizaciones, como example.com. Por debajo de estos se encuentran los subdominios, como www o mail. Al leer un nombre de dominio de derecha a izquierda, se recorre la jerarquía de lo general a lo específico.

La raíz está gestionada por un sistema conocido como los «13 servidores raíz». En realidad, se trata de 13 clústeres denominados de la A a la M, cada uno de ellos gestionado por una organización diferente. Detrás de cada una de esas 13 direcciones hay cientos de servidores físicos distribuidos por todo el mundo mediante una técnica llamada «anycast», que redirige tu solicitud a la instancia disponible más cercana. Así es como un puñado de puntos de entrada designados puede responder de forma fiable a las consultas de todo el planeta con baja latencia y alta resiliencia frente a interrupciones y ataques.

Explicación de los tipos de registros DNS

La zona DNS de un dominio es un conjunto de registros, y cada tipo de registro tiene una finalidad distinta. Comprenderlos es esencial para cualquiera que gestione un sitio web o un servicio de correo electrónico. La tabla siguiente resume los tipos más importantes con un ejemplo de cada uno.

Registros A y AAAA

Son los pilares que conectan los nombres con las direcciones. Un registro A apunta a una dirección IPv4, mientras que un registro AAAA apunta a una dirección IPv6. Un dominio puede tener ambos para que los clientes de cualquiera de los dos protocolos puedan acceder a él. Cuando tu navegador pregunta «¿dónde está example.com?», suele ser uno de estos dos registros el que proporciona la respuesta definitiva.

Registros CNAME

Un CNAME crea un alias, redirigiendo un nombre a otro nombre canónico. Se utiliza habitualmente para apuntar «www» al dominio sin prefijo, o para apuntar un subdominio personalizado a la dirección de un proveedor de alojamiento. Una regla fundamental es que un CNAME no puede coexistir con otros registros en el mismo nombre, por lo que la raíz de un dominio suele utilizar registros A o AAAA en lugar de un CNAME.

Registros MX y de correo electrónico

Los registros MX indican a todo el mundo qué servidores aceptan correo para tu dominio, con un número de prioridad que determina el orden en el que se prueban. Se prefieren los números más bajos, por lo que se prueba primero un servidor con prioridad 10 antes que uno con prioridad 20. Pero los registros MX son solo una parte de la historia del DNS del correo electrónico.

Registros TXT: SPF, DKIM y DMARC

Los registros TXT almacenan texto de formato libre, y el mundo del correo electrónico depende en gran medida de ellos para tres mecanismos de autenticación interrelacionados. El SPF enumera los servidores autorizados para enviar correo en nombre de tu dominio, lo que ayuda a los destinatarios a rechazar los mensajes falsificados. DKIM publica una clave pública criptográfica para que los destinatarios puedan verificar que un mensaje ha sido firmado por tu dominio y no se ha alterado durante el tránsito. DMARC une ambos mecanismos, indicando a los destinatarios qué hacer con los mensajes que no superan las comprobaciones de SPF o DKIM y dónde enviar los informes. Juntos forman la columna vertebral de la entregabilidad moderna del correo electrónico.

Registros NS y SOA

Los registros NS delegan la autoridad, indicando los servidores responsables de una zona. El registro SOA se encuentra en la parte superior de cada zona y contiene detalles administrativos como el servidor de nombres principal, el contacto responsable, un número de serie que cambia cuando se edita la zona y temporizadores que regulan cómo los servidores secundarios actualizan sus copias de la zona.

Registros CAA y PTR

Un registro CAA restringe qué autoridades de certificación están autorizadas a emitir certificados para tu dominio, lo que añade una capa de protección contra los certificados no autorizados. Si quieres comprender cómo esos certificados protegen tu tráfico, consulta nuestra guía explicativa sobre los certificados SSL. Un registro PTR gestiona el DNS inverso, asignando una dirección IP a un nombre de host, lo cual suelen comprobar los servidores de correo para evaluar la legitimidad del remitente.

DNS y entregabilidad del correo electrónico

Podría decirse que el DNS es tan importante para el correo electrónico como lo es para la web. Cuando un servidor de correo quiere entregar un mensaje a tu dominio, consulta tus registros MX para encontrar el destino correcto. Cuando un servidor receptor quiere decidir si un mensaje entrante es fiable, comprueba tus registros SPF, DKIM y DMARC, y a menudo también verifica el registro PTR del servidor remitente. Si falta alguno de ellos o está mal configurado, el correo legítimo puede acabar en las carpetas de spam o ser rechazado directamente. Asegurarte de que tus registros DNS de correo electrónico estén correctos es una de las medidas más eficaces que puedes tomar para que tus mensajes lleguen a la bandeja de entrada en lugar de desaparecer en una carpeta de correo no deseado.

Seguridad del DNS

Dado que el DNS es tan fundamental, se ha convertido en un objetivo, y existen varias tecnologías para reforzarlo:

• DNSSEC añade firmas criptográficas a los registros DNS para que los resolutores puedan verificar que una respuesta procede realmente de la fuente autorizada y no ha sido manipulada. Protege la integridad de los datos, pero no los cifra.
• El DNS sobre HTTPS (DoH) y el DNS sobre TLS (DoT) cifran la comunicación entre tu dispositivo y el resolutor recursivo. Tradicionalmente, las consultas DNS se transmitían en texto sin cifrar, lo que permitía a cualquier persona en la ruta de la red verlas e incluso alterarlas. DoH y DoT subsanan esa vulnerabilidad al cifrar las consultas.
• El envenenamiento de caché es un ataque clásico en el que un actor malintencionado engaña a un resolutor para que almacene en caché una respuesta falsa, redirigiendo a las víctimas a un servidor fraudulento. DNSSEC y las protecciones modernas de los resolutores, como los puertos de origen aleatorios, hacen que este ataque sea mucho más difícil de llevar a cabo.

Problemas comunes del DNS y solución de problemas

Cuando una página web no se carga, el DNS suele ser el culpable. Algunos de los problemas más frecuentes son:

• Retrasos en la propagación. Tras modificar un registro, los valores antiguos almacenados en caché pueden persistir hasta que caduque su TTL. Por eso, un cambio puede aparecer ya activo para ti, pero aún no para los demás.
• Errores tipográficos y registros que faltan. Un nombre de host mal escrito o un registro A olvidado provocan fallos que son fáciles de pasar por alto.
• Servidores de nombres no coincidentes. Si tu registrador apunta el dominio a servidores de nombres incorrectos, ninguno de tus registros, elaborados con tanto esmero, será consultado jamás.
• Conflictos de CNAME. Colocar un CNAME junto a otros registros con el mismo nombre impide la resolución.
• Caché del resolutor. A veces, el problema es una entrada obsoleta en tu propio dispositivo o router, lo cual se resuelve vaciando la caché.

Cómo comprobar tú mismo los registros DNS

No hace falta ser ingeniero de redes para consultar los registros DNS. Las herramientas de línea de comandos como «dig» y «nslookup», disponibles en la mayoría de los sistemas, te permiten consultar directamente cualquier tipo de registro. Por ejemplo, al solicitar el registro A de un dominio se obtiene su dirección IPv4, mientras que al solicitar los registros MX se revelan sus servidores de correo. Si no te gusta la línea de comandos, una herramienta de consulta de DNS en línea te permite consultar los registros de cualquier dominio desde tu navegador sin necesidad de instalar ningún software, lo que facilita confirmar si un cambio reciente se ha propagado o diagnosticar una configuración errónea.

Adquirir el hábito de comprobar los registros DNS desmitifica todo el sistema. Una vez que puedas ver los registros A, MX y TXT de tu propio dominio, esa «agenda telefónica» abstracta se convierte en un conjunto concreto y comprensible de entradas que tú controlas. A partir de ahí, diagnosticar un sitio web lento, un correo electrónico devuelto o una advertencia de certificado se convierte en una cuestión de leer los registros en lugar de hacer conjeturas.

Preguntas frecuentes

¿Qué significa DNS?

DNS son las siglas de Domain Name System (Sistema de Nombres de Dominio). Es el sistema distribuido que traduce los nombres de dominio legibles para los humanos en las direcciones IP numéricas que utilizan los ordenadores para comunicarse entre sí.

¿Por qué se dice que el DNS es la guía telefónica de Internet?

Al igual que una guía telefónica te permite buscar el número de teléfono de una persona a partir de su nombre, el DNS permite que tu ordenador busque la dirección IP de un sitio web a partir de su nombre de dominio. Tú recuerdas el nombre fácil y el DNS se encarga de la traducción al número que las máquinas realmente necesitan.

¿Cuánto tardan en surtir efecto los cambios en el DNS?

Depende del TTL del registro y de la intensidad con la que los resolutores a lo largo de la ruta lo hayan almacenado en caché. Los cambios pueden aparecer en cuestión de minutos si el TTL es corto, pero pueden tardar entre 24 y 48 horas en propagarse por completo a nivel mundial cuando aún se están utilizando valores almacenados en caché más antiguos.

¿Cuál es la diferencia entre un resolutor recursivo y un servidor autoritativo?

Un resolutor recursivo se encarga de buscar una respuesta consultando a otros servidores en tu nombre y almacenando el resultado en caché. Un servidor autoritativo es la fuente definitiva que realmente contiene los registros de un dominio y proporciona la respuesta final.

¿Está cifrado el DNS?

El DNS tradicional no está cifrado, lo que significa que las consultas se transmiten en texto sin cifrar. Los estándares más recientes, como el DNS sobre HTTPS y el DNS sobre TLS, cifran el tráfico entre tu dispositivo y el resolutor, mientras que el DNSSEC añade firmas que verifican la autenticidad de las respuestas.

¿Cómo puedo consultar los registros DNS de un dominio?

Puedes utilizar herramientas de línea de comandos como «dig» o «nslookup», o un servicio de búsqueda de DNS basado en navegador. Estas herramientas te permiten solicitar tipos de registros específicos, como A, AAAA, MX y TXT, para que puedas verificar la configuración o solucionar problemas.