Registros TXT y verificación de dominios

Módulo 4: Registros para el correo electrónico · Tiempo de lectura: 7 minutos

Objetivo de aprendizaje: Después de esta lección podrá crear un registro TXT para verificar su dominio ante un servicio, y sabrá cuándo pueden coexistir varios registros TXT y cuándo no.

Conceptos clave: registro TXT, código de verificación, nombre con guion bajo, comillas, fragmentos de texto de 255 caracteres, SPF/DMARC como registros TXT especiales

Una nota en su DNS

Un registro TXT es el registro más sencillo que existe: un fragmento de texto junto a un nombre. El DNS no hace nada con él. Está pensado para que otros programas vengan a leer ese texto.

Por eso el TXT es el registro favorito de los servicios que quieren saber si un dominio es realmente suyo. Google Search Console, Microsoft 365, Google Workspace, Facebook, Apple, GitHub, servicios de boletines y plataformas de tiendas online funcionan todos así:

1. El servicio le da un código, por ejemplo google-site-verification=Ab12Cd34... o MS=ms12345678.
2. Usted añade ese código como registro TXT en el DNS de su dominio.
3. El servicio consulta el registro TXT de su dominio. Si el código está presente, sabe que quien pudo colocar ese código administra este dominio.

Solo quien puede modificar el DNS de un dominio puede colocar un registro así. Por eso es un control fiable.

¿Cómo es un registro TXT?

example.com.   3600  IN  TXT  "google-site-verification=Ab12Cd34Ef56"
example.com.   3600  IN  TXT  "MS=ms12345678"
example.com.   3600  IN  TXT  "v=spf1 mx include:spf.service.example ~all"

Algunas cosas que debe saber:

• Comillas. En un archivo de zona el texto va entre comillas. En la mayoría de los paneles no hace falta escribirlas: el panel las añade automáticamente. Si aun así las escribe, compruebe después de guardar que no haya comillas dobles.
• Fragmentos de 255 caracteres. Un fragmento de texto dentro de un registro TXT puede tener como máximo 255 caracteres (RFC 1035). Los textos más largos, como una clave DKIM, se dividen en varios fragmentos dentro del mismo registro: "primera parte" "segunda parte". Los programas que leen el TXT vuelven a unir esos fragmentos. Los buenos paneles los dividen automáticamente; en algunos hay que hacerlo usted mismo.
• Las mayúsculas y los espacios cuentan. Copie el código con exactitud, preferiblemente copiando y pegando. Un espacio al final o un carácter que falte bastan para que la verificación falle.

¿En qué nombre?

El servicio siempre indica en qué nombre debe colocarse el registro:

• En el propio dominio. El servicio dirá entonces «@», «root», «host vacío», o simplemente mencionará example.com. En la mayoría de los paneles escribirá @ o dejará el campo vacío.
• En un nombre propio. Algunos servicios piden un nombre independiente que empieza con un guion bajo, como _github-challenge-empresaejemplo o _acme-challenge. El guion bajo indica que no es un hostname normal (no puede abrir ninguna web ahí). En su panel escriba solo esa primera parte; su nombre de dominio ya se añade detrás.

Un error habitual: introducir el nombre completo en un panel que ya añade el nombre de dominio por su cuenta. Entonces se genera _github-challenge-empresaejemplo.example.com.example.com, y el servicio no encuentra nada. Compruebe después de guardar qué nombre completo muestra el panel.

¿Se pueden tener varios registros TXT?

Sí. En un mismo nombre pueden coexistir tantos registros TXT como desee. Una verificación para Google y otra para Microsoft no se interfieren. Cada servicio busca su propio código entre todos los registros TXT.

Hay dos excepciones, y son importantes:

• SPF (empieza por v=spf1): como máximo uno por nombre. Dos registros SPF invalidan su SPF (lección 4.3).
• DMARC (en _dmarc, empieza por v=DMARC1): como máximo uno. Con dos registros, el destinatario actúa como si usted no tuviera DMARC (lección 4.5).

Si un servicio le pide «añada este registro SPF», no cree un segundo registro SPF, sino amplíe el existente.

¿Se puede retirar la verificación?

Eso depende del servicio. Muchos servicios (como Google Search Console y Microsoft 365) vuelven a comprobarlo más adelante. Si elimina el registro, su dominio puede pasar a considerarse «no verificado» al cabo de un tiempo. Por eso, déjelo tal cual, salvo que el servicio indique que puede retirarse. Un registro de verificación antiguo de un servicio que ya no utiliza sí puede eliminarlo.

No funciona de inmediato

¿Acaba de crear el registro y el servicio dice «no encontrado»? Suele deberse a la caché (módulo 6). Si el servicio ya consultó su dominio antes de que existiera el registro, recordará durante un tiempo que no había nada. Espere un cuarto de hora e inténtelo de nuevo. Mientras tanto, compruebe usted mismo con una herramienta de consulta DNS en línea si el registro está presente (lecciones 8.2 y 8.3).

En la práctica: así se ve en un panel

En este ejemplo utilizamos Mi WebOké. Vaya al dominio, pestaña DNS, y haga clic en Añadir Registro. Elija el tipo TXT, escriba en Nombre @ (o el nombre que indique el servicio) y pegue el código en el valor. No hace falta escribir las comillas. En DirectAdmin funciona de forma similar en Administración de DNS; allí deje Tipo de registro TXT en Sencillo.

En otros paneles los campos a veces se llaman Host, Hostname o Name y Value, Content o Data, pero el principio es el mismo.

Resumen

• Un registro TXT es texto junto a un nombre. Los servicios lo usan para comprobar si un dominio es suyo.
• Copie el código con exactitud y colóquelo en el nombre que indique el servicio (a menudo @, a veces un nombre con guion bajo).
• Pueden coexistir varios registros TXT en un mismo nombre, salvo con SPF y DMARC: de esos, como máximo uno.
• Si la verificación no funciona de inmediato, espere un poco: la respuesta puede estar todavía en una caché.

Cuestionario

Ejercicio

Ejercicio Z4.2: Buscar un código de verificación. Busque los registros TXT de wikipedia.org. Allí encontrará, entre otros, un código de verificación de Google. Pegue el texto completo de verificación que empieza por google-site-verification=.

Ejercicio O4.2: Configurarlo usted mismo en su zona de práctica. En la zona de práctica utilizará un servicio ficticio; en su dominio real utilizará, por supuesto, el código real que le proporcione el servicio. Recibirá para este ejercicio un código personal <su código> (con un aspecto como oefen-<code>-<letters>). Cree en su zona de práctica <code>.dnspractice.eu dos registros TXT:

1. en el nombre de la propia zona (@): dnscursus-verificatie=<su código>
2. en el nombre _cursus-challenge: solo <su código>

Para saber más

Los pasos de estos artículos corresponden a los paneles de WebOké; en otros paneles el funcionamiento es parecido.

• Manual de DirectAdmin 5.6: Registros TXT para verificación (Google, Microsoft y otros)
• Gestionar registros DNS en Mi WebOké (con ejemplos de CNAME, TXT y servicios externos)
• Manual de WebOké 5.4: Gestionar el DNS: añadir, modificar y eliminar registros
• RFC 1035 apartado 3.3.14 (TXT), RFC 7208 apartado 3.3 (textos SPF largos divididos en varios fragmentos)