Módulo 8 · 8.3
Herramientas DNS en línea
Módulo 8: Seguridad y resolución de problemas · Tiempo de lectura: 7 minutos
Objetivo de aprendizaje: Después de esta lección sabrá elegir la herramienta en línea adecuada para cada pregunta sobre su DNS y cómo interpretar el resultado.
Conceptos clave: dig en línea, comprobador de DNS por país, internet.nl, DNSViz, Zonemaster, MXToolbox, mail-tester, comprobación de correo electrónico, salud del dominio
¿Por qué herramientas en línea?
Una herramienta en línea realiza su consulta desde un lugar distinto de su ordenador. Esto tiene dos ventajas. No se ve afectado por la caché de su propio ordenador o router, y ve lo mismo que ve el resto de internet. Además, muchas herramientas combinan decenas de comprobaciones en un solo clic, mientras que con dig debe hacer cada consulta por separado.
No existe una única herramienta que lo haga todo mejor. Elija en función de su pregunta.
¿Qué herramienta para qué pregunta?
| Su pregunta | Herramienta adecuada | Lo que ve |
|---|---|---|
| "¿Qué devuelve exactamente el DNS ahora mismo?" | Google Admin Toolbox Dig (toolbox.googleapps.com/apps/dig), u otro dig en línea | Lo mismo que dig, sin instalar nada |
| "¿Ya ve todo el mundo mi cambio?" | dnschecker.org (u otros "comprobadores de propagación DNS" similares) | La respuesta de decenas de resolvers en distintos países, lado a lado |
| "¿Está mi dominio configurado de forma moderna y segura?" | internet.nl (de la plataforma neerlandesa Internetstandaarden Platform) | Puntuación para sitio web (IPv6, DNSSEC, https) y correo electrónico (DNSSEC, SPF, DKIM, DMARC, STARTTLS/DANE) |
| "¿Es correcta mi cadena DNSSEC?" | DNSViz (dnsviz.net) | Una imagen de la cadena desde la raíz hasta su dominio, con los errores en rojo |
| "¿Está mi zona configurada correctamente a nivel técnico?" | Zonemaster (zonemaster.net) | Comprobación exhaustiva de servidores de nombres, delegación, SOA y DNSSEC |
| "¿Cómo están mis registros de correo?" | MXToolbox, una comprobación de correo (por ejemplo, la Comprobación de correo de WebOké), o las comprobaciones de su proveedor de correo | MX, SPF (con número de consultas), DMARC, listas negras |
| "¿Llega bien mi correo enviado?" | mail-tester.com, o un correo de prueba a Gmail con "Mostrar original" | Si SPF, DKIM y DMARC se superan para un correo real |
| "¿Funcionan juntos el sitio web y el correo, todo en una sola vista?" | Una comprobación de salud del dominio (por ejemplo, Salud del dominio de WebOké) | Servidores de nombres, registro A, www, certificado, MX, SPF, DMARC, DNSSEC y CAA en una sola lista |
Las herramientas de WebOké se mencionan aquí como ejemplo de una comprobación "todo en uno"; otros proveedores de hosting y registradores tienen herramientas similares. En caso de duda, use dos a la vez: si dos herramientas independientes dicen lo mismo, es prácticamente seguro que es correcto.
Usar un dig en línea
Un dig en línea hace exactamente lo que aprendió en la lección 8.2. Introduce el nombre (por ejemplo, _dmarc.example.com), elige el tipo (TXT) y obtiene la salida en bruto. La toolbox de Google también muestra el estado (NOERROR, NXDOMAIN, SERVFAIL) y el TTL. Use esta herramienta cuando quiera saber qué hay exactamente configurado, por ejemplo para comprobar que su registro SPF aparece exactamente una vez.
Leer un comprobador de DNS por país
Tras un cambio, en un comprobador como dnschecker.org suele verse una mezcla: en algunos países aparece la nueva dirección con una marca verde, en otros todavía la antigua. Esto no es un error. Cada resolver ha obtenido el registro en un momento distinto y cuenta su propio TTL (lección 6.2).
Dos cosas a tener en cuenta:
- ¿Ve en todas partes la respuesta antigua, incluso mucho después del TTL? Entonces el cambio probablemente no está en el servidor de nombres que usa el mundo. Compruebe qué servidores de nombres tiene su dominio (lección 2.1).
- ¿No ve nada en algunos resolvers (una cruz)? Puede tratarse de un SERVFAIL, a menudo por DNSSEC. Compruébelo entonces con DNSViz.
internet.nl
internet.nl es una prueba independiente de la plataforma neerlandesa Internetstandaarden Platform (entre otros, SIDN, NLnet Labs y el gobierno de los Países Bajos). Hay tres pruebas: sitio web, correo electrónico y su propia conexión. El resultado es un porcentaje con explicación por apartado y un "Cómo mejorar".
Interprete el resultado con criterio: no todo apartado en rojo es una incidencia. Si falta, por ejemplo, DANE o IPv6, su correo o sitio web siguen funcionando, pero no cumple con el estándar más reciente. Un rojo en "DNSSEC válido" o "SPF" sí es importante.
DNSViz
DNSViz dibuja la cadena de confianza de la lección 8.1: bloques para la raíz, el TLD y su dominio, con flechas para DS y DNSKEY. El azul es seguro, el negro significa no firmado (no es un error) y el rojo está roto; cómo leer la imagen se explica en la lección 8.1. Las líneas o bloques rojos señalan exactamente dónde se rompe la cadena, por ejemplo "DS no tiene DNSKEY coincidente". Es la herramienta a usar cuando recibe SERVFAIL y dig +cd sí devuelve una respuesta.
Zonemaster
Zonemaster (creada, entre otros, por los registros de dominios de .se y .fr) comprueba su zona tal como lo haría un registro de dominios: si hay al menos dos servidores de nombres, si todos dan la misma respuesta, si el número de serie del SOA coincide en todas partes, si los servidores de nombres son accesibles por IPv4 e IPv6. Útil antes de cambiar servidores de nombres en un registro de dominios que comprueba de forma estricta. También puede probar servidores de nombres que aún no están vinculados al dominio ("undelegated test").
Herramientas de correo
Una comprobación de correo analiza el lado DNS: si hay un MX, si hay exactamente un registro SPF, si se mantiene dentro de las diez consultas, si hay un registro DMARC. No puede ver si DKIM funciona, porque para eso necesita conocer el selector. Eso se comprueba con un correo real: envíe uno a mail-tester.com o a una dirección de Gmail, y compruebe en "Mostrar original" si SPF, DKIM y DMARC aparecen como PASS.
En la práctica: así se ve en un panel
Muchos paneles tienen su propia comprobación. En Mi WebOké, en la página del dominio, aparece la tarjeta Salud del dominio / Email, con puntos verdes, naranjas y rojos y, en ocasiones, un botón de reparación. En Cloudflare se ven avisos en la parte superior del resumen de DNS; en Google Workspace y Microsoft 365, una página de comprobación en el centro de administración. Este tipo de comprobaciones conocen mejor su situación; una herramienta independiente muestra lo que ve el mundo exterior. Úselas en conjunto.
Resumen
- Las herramientas en línea consultan desde otro lugar y no se ven afectadas por su caché.
- Dig en línea: qué hay exactamente configurado. Comprobador de DNS por país: si el mundo ya lo ve. DNSViz: si la cadena DNSSEC es correcta. Zonemaster: si la zona es técnicamente correcta. internet.nl: si está configurado de forma moderna y segura.
- Una comprobación de correo analiza los registros; un correo de prueba real comprueba si SPF, DKIM y DMARC se superan.
- Use dos herramientas a la vez si tiene dudas.
Cuestionario
Ejercicio
Ejercicio Z8.3: Herramientas en línea. Pruebe internet.nl con la prueba de sitio web y la prueba de correo electrónico de internet.nl. Anote, en la prueba de correo electrónico, si DNSSEC es válido para los servidores de correo (MX), y busque en DNSViz qué número de algoritmo usan los registros DS de internet.nl. A continuación, compruebe con un dig en línea qué política (p=) tiene el registro DMARC de internet.nl. Introduzca las respuestas.
Para saber más
Estos artículos describen las comprobaciones de WebOké; las herramientas independientes funcionan para cualquier dominio.
- Manual de WebOké 5.17: Salud del dominio y el correo: comprobar y solucionar
- La página web o el correo electrónico no funciona tras una migración o un cambio de DNS: compruebe su dominio
- Herramienta gratuita Salud del dominio: https://www.weboke.es/salud-del-dominio
- Comprobación gratuita de correo electrónico: https://www.weboke.es/comprobar-correo