Lista de verificación para su propio dominio

Módulo 8: Seguridad y resolución de problemas · Tiempo de lectura: 10 minutos

Objetivo de la lección: Después de esta lección revisará su propio dominio de arriba a abajo con una lista de verificación fija, y sabrá por qué punto empezar si el sitio web o el correo no funcionan.

Conceptos clave: registro, servidores de nombres, A/AAAA, www, certificado, MX, SPF, DKIM, DMARC, CAA, DNSSEC, TTL, copia de seguridad

¿Por qué de arriba a abajo?

El DNS es una cadena: sin registro no hay servidores de nombres, sin servidores de nombres que funcionen no hay registros, sin registro A no hay sitio web. Un error arriba del todo provoca todo tipo de quejas más abajo. Por eso debe recorrer la lista siempre en este orden y detenerse en el primer punto que no sea correcto. Solucione eso primero y empiece de nuevo desde arriba.

En la lista aparece example.com: sustitúyalo por su propio dominio. En cada punto se indica un comando dig; también puede usar un dig en línea (lección 8.3). Una comprobación de salud del dominio, como la de su proveedor de hosting o la herramienta gratuita Salud del dominio, cubre gran parte de esta lista de una sola vez, pero es útil saber qué hay detrás.

Parte A: la base

1. ¿Está el dominio registrado y activo?

• Cómo: una búsqueda whois o RDAP (por ejemplo, a través de la web del registro de dominios, como sidn.nl para .nl), o whois example.com.
• Bien: estado activo (en .nl: "active"), no "en cuarentena", no caducado. El titular del dominio es correcto.

2. ¿Qué servidores de nombres tiene el dominio y son al menos dos?

• Cómo: dig +short NS example.com, y para ver lo que indica el registro de dominios, dig +trace example.com.
• Bien: al menos dos servidores de nombres, de la empresa donde gestiona su DNS.

3. ¿Responden todos los servidores de nombres y dan la misma información?

• Cómo: dig +short SOA example.com @<nameserver> para cada servidor de nombres.
• Bien: cada servidor de nombres responde (sin tiempo de espera agotado, sin REFUSED) y el número de serie (tercer campo del SOA) es igual en todos. Un servidor de nombres que no responde para su dominio se denomina lame.

4. ¿Es correcto el DNSSEC (si está activado)?

• Cómo: dig +short DS example.com y dig example.com A @1.1.1.1 (fíjese en el estado y en la bandera ad); en caso de duda, DNSViz.
• Bien: o no hay DS (DNSSEC desactivado, lo cual funciona sin problemas), o hay un DS con estado NOERROR y la bandera ad. Incorrecto: SERVFAIL.

Parte B: el sitio web

5. ¿Apunta el dominio al servidor correcto?

• Cómo: dig +short A example.com y dig +short AAAA example.com.
• Bien: la dirección IPv4 (y, si tiene una, la dirección IPv6) del servidor donde está su sitio web. Sin un AAAA antiguo de un servidor anterior.

6. ¿Funciona www?

• Cómo: dig +short A www.example.com (o CNAME).
• Bien: un registro A, registro AAAA o CNAME que lleve al mismo sitio. Si falta www, las personas que escriban www recibirán un mensaje de error.

7. ¿Tiene el sitio un certificado válido para ambos nombres?

• Cómo: abra https://example.com y https://www.example.com y haga clic en el candado, o utilice la prueba de sitios web de internet.nl.
• Bien: sin advertencias, el certificado sigue siendo válido al menos un par de semanas y cubre ambos nombres.

8. ¿Puede su emisor de certificados emitir certificados (CAA)?

• Cómo: dig +short CAA example.com.
• Bien: no hay registro CAA (cualquiera puede emitir), o hay un registro CAA con issue para la entidad que emite su certificado. Incorrecto: un CAA que no menciona a su emisor.

Parte C: el correo electrónico

9. ¿Dónde llega su correo?

• Cómo: dig +short MX example.com, y después dig +short A <mailserver> para el primer nombre.
• Bien: los registros MX de su proveedor de correo actual, y ningún MX residual de un proveedor anterior. Cada nombre de servidor de correo tiene un registro A o AAAA. Si no utiliza el dominio para correo, un MX nulo (0 .) puede dejar claro que no llega ningún correo.

10. ¿Hay exactamente un registro SPF correcto?

• Cómo: dig +short TXT example.com y fíjese en las líneas que empiezan por v=spf1; una comprobación de correo electrónico cuenta las búsquedas.
• Bien: exactamente un registro SPF, con todos los servicios que envían correo en nombre de su dominio, terminado en ~all o -all (nunca +all), y no más de diez búsquedas DNS.

11. ¿Está configurado DKIM para cada servicio que envía correo?

• Cómo: dig +short TXT <selector>._domainkey.example.com (o CNAME) para cada selector que conozca, como el de su proveedor de correo y su servicio de boletines. El selector lo encuentra en las instrucciones del servicio o en la cabecera DKIM-Signature: ... s=<selector> de un correo enviado.
• Bien: cada registro da una clave (v=DKIM1; ... p=...) o un CNAME hacia el servicio, y un correo de prueba muestra PASS en DKIM.

12. ¿Hay un registro DMARC?

• Cómo: dig +short TXT _dmarc.example.com.
• Bien: exactamente un registro que empieza por v=DMARC1 y tiene una política válida (p=none, p=quarantine o p=reject). ¿Ha empezado con p=none? Planifique entonces endurecerla.

13. ¿Llega bien un correo real?

• Cómo: envíe un correo a mail-tester.com o a una dirección de Gmail y consulte "Mostrar original".
• Bien: SPF, DKIM y DMARC en PASS.

Parte D: mantenimiento

14. ¿Son adecuados los TTL?

• Cómo: dig example.com A @<su servidor de nombres> y fíjese en el TTL.
• Bien: normalmente entre 3600 y 86400 (una hora a un día). Solo baje a 300 temporalmente en torno a un cambio planificado. Olvidarse de restablecerlo después de una migración no es grave, pero genera tráfico innecesario.

15. ¿Tiene una copia de seguridad de su zona?

• Cómo: el botón de copia de seguridad o exportación de su panel de DNS, o dig registro por registro si no dispone de ello.
• Bien: una copia reciente de todos los registros, guardada fuera del panel.

16. ¿No hay registros olvidados?

• Cómo: repase todos los registros de su panel.
• Bien: sin registros de verificación ni subdominios de servicios que ya no utiliza. Un CNAME hacia un servicio dado de baja puede ser "reclamado" por otra persona (subdomain takeover): elimínelo.

¿Por dónde empezar ante una queja?

En la práctica: así se ve en un panel

Una comprobación de salud del dominio realiza automáticamente gran parte de esta lista. En Mi WebOké aparece en la página del dominio como tarjeta Salud de Dominio / Email, con verde, naranja y rojo por punto; la versión pública funciona para cualquier dominio. Otros proveedores de hosting, registradores y empresas de DNS tienen comprobaciones similares, e internet.nl prueba de forma independiente gran parte de las partes B y C. Utilice una comprobación así como punto de partida y esta lista para entender qué aparece en rojo.

Resumen

• Recorra la lista de arriba a abajo y deténgase en el primer punto que no sea correcto.
• Base: registro, servidores de nombres, respuestas iguales, DNSSEC.
• Sitio web: A/AAAA, www, certificado, CAA.
• Correo: MX con dirección, un SPF, DKIM por servicio, un DMARC, correo de prueba.
• Mantenimiento: TTL, copia de seguridad, limpieza.

Cuestionario

Ejercicio

Ejercicio Z8.5: Ejercicio final: su propio dominio. Revise su propio dominio con esta lista de verificación. Introduzca su nombre de dominio en el entorno del curso y responda para cada punto de las partes A, B y C lo que ha encontrado (por ejemplo, sus servidores de nombres, su MX, su registro SPF y su política DMARC). El programa realiza las mismas comprobaciones y las compara. Si algo no es correcto en su dominio, recibirá una explicación con una referencia a la lección. Si no tiene un dominio propio, utilice sidn.nl.

Para seguir leyendo

Estos artículos describen las comprobaciones en WebOké; la lista de verificación funciona para cualquier dominio.

• Manual de WebOké 5.17: Salud del dominio y el correo: comprobar y solucionar
• La página web o el correo electrónico no funciona tras una migración o un cambio de DNS: compruebe su dominio
• Manual de WebOké 5.7: Restablecer el DNS y crear una copia de seguridad del DNS
• Hacer y restaurar una copia de seguridad de su DNS
• Herramienta gratuita Salud del dominio: https://www.weboke.es/salud-del-dominio
• Comprobación gratuita de correo electrónico: https://www.weboke.es/comprobar-correo