¿Qué es el DNS?

Detrás de una consulta casi instantánea hay una cadena de servidores, cachés y registros. Esta guía explica cómo ocurre una consulta DNS, qué función cumplen los servidores y las zonas, cómo funcionan las consultas y la caché, y cómo abordar errores comunes y riesgos de seguridad.

¿Qué hace el DNS?

Cuando escribes un nombre de dominio en la barra del navegador, el DNS comienza a traducirlo a una dirección IP.

Por ejemplo, si escribes www.google.com, el DNS busca la dirección IP asociada y se la devuelve al navegador. Con esa dirección, el navegador puede conectarse al servidor correspondiente y cargar el sitio.

¿Cómo funciona el DNS?

Pasar de una URL al sitio correcto requiere varios pasos, pero una conexión rápida y la caché permiten completarlos normalmente en milisegundos.

Esto ocurre detrás de una consulta DNS recursiva:

1. El cliente DNS, normalmente el sistema operativo, recibe el nombre que escribiste y pide su dirección a un resolutor recursivo.
2. El resolutor revisa su propia caché. Si no encuentra una respuesta vigente, consulta a un servidor de nombres raíz. Este no entrega la IP del sitio: remite al resolutor a los servidores de la extensión del dominio.
3. El resolutor pregunta al servidor del dominio de nivel superior o TLD, como .com. La respuesta lo dirige a los servidores autoritativos del dominio.
4. El resolutor consulta al servidor autoritativo, que contiene los registros de la zona.
5. El servidor autoritativo devuelve el registro solicitado, por ejemplo un registro A con una dirección IPv4.
6. El resolutor guarda la respuesta durante el tiempo indicado por su TTL y entrega la dirección IP al cliente.
7. El navegador usa esa dirección para conectarse al servidor y cargar el sitio.

En una respuesta almacenada en caché se omiten varias de estas consultas. En las siguientes secciones se explica el papel de cada servidor.

¿Por qué es importante el DNS?

El DNS permite usar nombres breves y reconocibles en vez de memorizar direcciones IP. Esto importa porque una dirección puede cambiar cuando un sitio se muda de servidor, cambia de proveedor de internet o adopta otra infraestructura, mientras el nombre de dominio permanece igual.

Para quien administra un sitio, esa separación permite cambiar de proveedor de alojamiento web sin obligar a los visitantes a aprender otra dirección. Por eso el DNS es una pieza básica tanto de una internet fácil de usar como de la continuidad de un negocio en línea.

¿Qué es un servidor DNS?

Un servidor DNS responde consultas sobre nombres, direcciones y otros datos publicados en el sistema. No existe una sola base de datos que contenga toda internet: los distintos servidores colaboran dentro de una jerarquía distribuida.

Cuando el navegador recibe la dirección final, puede conectarse a un servidor de origen o a un nodo de una red de entrega de contenido (CDN). El DNS ayudó a localizar el destino, pero no transporta la página.

Tipos principales de servidores DNS

Una consulta sin caché suele implicar cuatro funciones: el resolutor recursivo y los servidores raíz, del TLD y autoritativo.

Resolutores recursivos

El resolutor recursivo recibe una consulta del cliente y se responsabiliza de obtener una respuesta completa. Primero revisa su caché y, si hace falta, sigue las referencias de otros servidores. Se parece a una persona bibliotecaria que busca un libro por ti y vuelve con el ejemplar o con una respuesta de que no existe.

Servidores raíz

Los servidores raíz atienden la parte superior de la jerarquía DNS. No guardan las direcciones de todos los sitios: conocen qué servidores administran cada TLD y devuelven una referencia hacia ellos.

Siguiendo la comparación de la biblioteca, la raíz es el índice que indica en qué sección debe continuar la búsqueda.

Servidores de TLD

Los servidores de un dominio de nivel superior contienen las delegaciones que indican qué servidores autoritativos responden por cada dominio bajo la extensión. La Autoridad de Números Asignados en Internet (IANA) coordina la delegación de los TLD.

Entre las categorías habituales están:

• TLD genéricos (gTLD), como .com, .org y .net.
• TLD de código de país (ccTLD), como .es, .mx y .fr.
• TLD nuevos (nTLD), como .agency, .bio y .charity.

Algunas extensiones tienen requisitos específicos; por ejemplo, .edu y .gov están reservadas para entidades que cumplen sus reglas. El servidor del TLD es la siguiente sección del índice: señala la ubicación de los servidores autoritativos, pero no suele responder con la dirección del sitio.

Servidores autoritativos

Un servidor autoritativo publica los registros de una zona y ofrece la respuesta definitiva para los nombres que esa zona controla. Quien administra el dominio o su proveedor de DNS debe mantener correctos esos registros.

Una vez que el resolutor recibe la dirección del servidor autoritativo y se la entrega al navegador, el navegador puede conectarse al destino sin pedir al DNS que transporte ningún contenido adicional.

¿Qué son las zonas DNS?

Las zonas dividen la estructura jerárquica del DNS en áreas administrables. Una zona contiene los registros de los nombres que controla, por ejemplo SOA, que identifica información administrativa; NS, que declara los servidores autoritativos; y A, que relaciona un nombre con una dirección IPv4.

No necesitas conocer todas estas variantes para llevar un sitio pequeño, pero son importantes en redes, operaciones, DevOps y administración de sistemas.

Zona raíz

La zona raíz es el nivel superior del DNS. La atienden 13 identidades de servidores raíz gestionadas por 12 organizaciones, con más de 1.900 instancias distribuidas por el mundo mediante anycast. Cada identidad no representa una sola máquina física.

Los servidores raíz responden a resolutores recursivos y los remiten al TLD adecuado según la extensión solicitada; no conocen los sitios individuales.

Zonas de búsqueda directa e inversa

Una zona de búsqueda directa permite obtener datos como una dirección IP a partir de un nombre. Una zona inversa hace lo contrario: usa registros PTR para relacionar una dirección IP con un nombre.

La búsqueda inversa se usa, entre otras cosas, en sistemas de correo que evalúan la identidad de servidores remitentes. También ayuda a diagnosticar redes, investigar amenazas y revisar tráfico. Una dirección puede tener un PTR que no coincida con todos los nombres que apuntan a ella, por lo que la relación no siempre es uno a uno.

Zonas stub y secundarias

Una zona stub conserva solo los datos necesarios para localizar los servidores autoritativos de otra zona: el registro SOA, los registros NS y las direcciones asociadas a esos servidores. Así evita copiar todos los registros.

Una zona secundaria mantiene una copia de solo lectura de una zona autoritativa. Esa réplica aporta redundancia si el servidor primario deja de estar disponible.

Zona primaria

La zona primaria, antes llamada zona maestra, es la fuente editable de los registros. La administra la organización o la persona responsable del DNS del dominio y debe mantenerse actualizada.

Cuando se modifica, los servidores secundarios pueden copiar la nueva versión y los resolutores ven los datos actualizados a medida que caducan las copias anteriores. Esta actualización escalonada suele llamarse propagación DNS, aunque el cambio no se difunde de forma instantánea a cada servidor.

Zona secundaria

La zona secundaria es una copia autoritativa de respaldo obtenida mediante una transferencia de zona. Puede estar en la misma organización o en otro proveedor. Si el servidor primario falla, el secundario continúa respondiendo; no obstante, necesita recibir actualizaciones correctas y proteger el mecanismo de transferencia.

Reenvío de consultas

Un reenviador es una configuración de servidor DNS que entrega a otro resolutor las consultas que no puede responder. Las redes lo usan para centralizar el tráfico DNS, aplicar políticas y aprovechar una caché ascendente mayor.

Por ejemplo, una organización puede configurar sus servidores internos para que reenvíen las consultas externas a un resolutor de confianza, sin convertir cada servidor local en un resolutor recursivo abierto.

¿Qué es una consulta DNS?

Una consulta es una solicitud de información enviada por un cliente a un servidor DNS. Puede pedir una dirección IP, los servidores de correo, los servidores autoritativos u otro tipo de registro.

Tipos de consulta DNS

En una consulta recursiva, el cliente pide una respuesta completa y deja que el resolutor haga el trabajo. El resolutor devuelve el dato, un error o una respuesta de que el nombre no existe.

En una consulta iterativa, quien pregunta sigue referencias una a una: raíz, TLD y servidor autoritativo. Una consulta no recursiva puede responderse de inmediato con datos autoritativos o con una copia válida de la caché, sin consultar a otros servidores.

La consulta y el resolutor no son lo mismo. La consulta es la petición; el resolutor es el sistema que la recibe y busca la respuesta. En una resolución sin caché suele haber una petición recursiva del cliente al resolutor y varias consultas iterativas del resolutor a otros servidores.

¿Qué es la caché DNS?

La caché DNS guarda temporalmente respuestas recientes para reducir consultas repetidas y el tiempo de carga. Cada registro lleva un TTL que indica durante cuánto tiempo puede reutilizarse.

Una caché mejora la velocidad, pero una entrada antigua puede dirigir temporalmente a un destino anterior. Una caché envenenada contiene datos falsos colocados por un atacante. La validación, el control de acceso, las actualizaciones y los protocolos seguros reducen ese riesgo.

Caché DNS del navegador

Muchos navegadores mantienen su propia caché DNS durante un tiempo limitado. Es una de las primeras ubicaciones que revisan antes de pedir una resolución al sistema operativo. Vaciarla puede ayudar si un único navegador conserva una respuesta antigua, aunque el procedimiento depende del navegador y de su versión.

Caché DNS del sistema operativo

El sistema operativo mantiene otra caché y usa un resolutor auxiliar, o stub resolver, para atender a las aplicaciones. Si no encuentra una respuesta local, envía la consulta al resolutor configurado en la red.

¿Cómo se corrige el error «el servidor DNS no responde»?

Este mensaje puede aparecer cuando el dispositivo no tiene conectividad, el resolutor no responde o los registros del dominio son incorrectos. Empieza por las comprobaciones sencillas y avanza solo si el problema continúa.

Los siguientes pasos se vuelven progresivamente más técnicos. Si no te sientes cómodo cambiando la red, consulta al equipo de TI, al proveedor de alojamiento o al proveedor de internet. Anota la configuración actual antes de modificarla para poder restaurarla.

Prueba otro navegador o dispositivo

Abre el mismo dominio en otro navegador y en otro dispositivo conectado a la misma red. Si solo falla una aplicación, revisa su caché, extensiones y configuración. Si falla todo en un dispositivo, el problema puede ser local; si falla toda la red, mira el router o el resolutor.

Reinicia el equipo y el router

Reinicia el dispositivo. Si el error sigue, reinicia el módem o el router según las instrucciones del proveedor. Esto puede renovar la configuración de red y limpiar estados temporales. El modo seguro ayuda a comprobar si una aplicación del sistema está interfiriendo.

Desactiva temporalmente lo que pueda interferir

Una VPN, un filtro DNS, un cortafuegos o un programa de seguridad mal configurado puede bloquear las consultas. Desactívalo solo el tiempo necesario para hacer una prueba y vuelve a activarlo de inmediato. Si el fallo desaparece, corrige la regla o pide ayuda al proveedor; no dejes desprotegido el equipo.

Comprueba también las conexiones que no utilizas. En macOS están en Ajustes del Sistema > Red. En Windows puedes abrir Panel de control > Redes e Internet > Centro de redes y recursos compartidos > Cambiar configuración del adaptador.

Vacía la caché DNS del sistema

Una entrada antigua puede provocar el fallo. No necesitas instalar una aplicación. En Windows, abre Símbolo del sistema y ejecuta ipconfig /flushdns. En macOS, abre Terminal y ejecuta sudo dscacheutil -flushcache; sudo killall -HUP mDNSResponder. El sistema puede pedir la contraseña de administración.

Comprueba la conectividad de red

Verifica que el dispositivo tenga una dirección válida, una puerta de enlace y acceso a internet. Herramientas como ping, traceroute y otras pruebas de red ayudan a detectar pérdida de paquetes, latencia o una ruta rota. Confirma además que el resolutor configurado sea accesible.

Verifica los registros y el nombre de dominio

Si administras el dominio, usa una herramienta de consulta como MXToolbox o dig/nslookup para comprobar que existen los registros esperados y que sus valores son correctos. Un registro ausente, una dirección equivocada o una delegación incorrecta puede impedir la resolución.

Revisa también que los servidores de nombres publicados por el registrador coincidan con los que atienden la zona. La guía Servidores de nombres vs. DNS explica dónde se administran estos datos.

Comprueba el resolutor y los servidores autoritativos

Consulta el mismo nombre a un resolutor alternativo y pregunta directamente a cada servidor autoritativo. Ping y traceroute comprueban conectividad, mientras dig o nslookup muestran la respuesta DNS. Ten en cuenta que un servidor puede bloquear ping y seguir atendiendo DNS; interpreta las pruebas en conjunto.

Cambia manualmente el resolutor DNS

El router suele asignar el resolutor del proveedor de internet. Si ese servicio falla, prueba temporalmente un resolutor público conocido, como Cloudflare (1.1.1.1) o Google Public DNS (8.8.8.8). Cambiar el resolutor solo modifica quién responde tus consultas; no cambia los registros autoritativos del dominio.

En macOS, abre Ajustes del Sistema > Red, selecciona la conexión, entra en sus detalles y abre DNS. En Windows, ejecuta ncpa.cpl, abre las propiedades del adaptador y después las propiedades de Protocolo de internet versión 4 o versión 6 para indicar las direcciones. Guarda la configuración y vuelve a probar.

No desactives IPv6 como solución general: Windows y otros sistemas modernos dependen de él y su desactivación puede crear problemas nuevos. Usa las direcciones DNS adecuadas para cada protocolo o vuelve a la asignación automática si la prueba no ayuda.

Actualiza el controlador del adaptador de red

Un controlador antiguo o dañado puede afectar la conectividad. En Windows, usa Windows Update o el sitio de soporte del fabricante del equipo, que ofrecen controladores probados para el hardware concreto. Evita utilidades de terceros que prometen actualizar todos los controladores; si no conoces el proceso, pide ayuda técnica.

Estas pruebas permiten separar un fallo del dispositivo, la red, el resolutor y los servidores autoritativos. Si el problema afecta solo a un dominio y sus registros son incorrectos, debe corregirlo quien administre su zona.

Medidas de seguridad para el DNS

El DNS también puede ayudar a bloquear o redirigir tráfico malicioso y aplicar políticas de filtrado. A la vez, es objetivo de suplantación, envenenamiento de caché y ataques de denegación de servicio. Una infraestructura segura necesita controles en el software, los servidores, las transferencias y el acceso administrativo.

Estas medidas pueden requerir experiencia de redes, operaciones o seguridad. Si administras un sitio empresarial y no cuentas con ese conocimiento, comparte esta sección con tu equipo técnico o con el proveedor de alojamiento. Una configuración incorrecta puede dejar el dominio inaccesible.

Endurecimiento del DNS

Endurecer el DNS significa reducir la superficie de ataque y mantener disponibles y fiables los nombres. Incluye limitar el acceso administrativo, aplicar autenticación y cifrado donde corresponda, usar cortafuegos, separar funciones, registrar actividad y supervisar cambios o patrones anómalos.

También exige actualizar y corregir el software DNS, revisar periódicamente la configuración y preparar capacidad y mitigación frente a ataques de denegación de servicio distribuida (DDoS). Ninguna medida sustituye a las demás: la seguridad depende de varias capas.

Protección y supervisión de transferencias de zona

Las transferencias permiten que un servidor secundario copie la zona del primario y son esenciales para la redundancia. Si se exponen sin control, también pueden revelar nombres internos o permitir copias no autorizadas.

Restringe qué servidores pueden solicitar AXFR o IXFR mediante listas de acceso, autentica las solicitudes con firmas TSIG y supervisa cada transferencia. Cuando la infraestructura lo permite, cifra el canal con transferencia de zona sobre TLS. DNSSEC no protege por sí solo las transferencias de zona.

Implementación de DNSSEC

DNSSEC firma digitalmente los datos para que un resolutor validador pueda comprobar su origen y detectar modificaciones. Ayuda a impedir respuestas falsificadas cuando existe una cadena de confianza correcta desde la zona superior.

DNSSEC no cifra las consultas ni oculta los nombres: protege la autenticidad y la integridad, no la confidencialidad. El cifrado entre el dispositivo y el resolutor corresponde a tecnologías como DNS sobre HTTPS (DoH) o DNS sobre TLS (DoT). La gestión de claves y del registro DS debe planificarse para no romper la validación. La guía de Cloudflare explica el mecanismo con más detalle.

Restricciones y protección de servidores de caché

Los resolutores de caché aceleran la navegación, pero una configuración abierta puede utilizarse para envenenamiento o amplificación DDoS. Limita la recursión a clientes autorizados, aplica límites de respuesta cuando proceda y evita publicar un resolutor abierto a internet.

Mantén actualizado el software, supervisa respuestas anómalas, valida DNSSEC cuando sea posible y protege la comunicación de administración. DoH o DoT pueden cifrar el tramo entre clientes y resolutores, pero no corrigen por sí solos una caché vulnerable ni autentican una zona sin DNSSEC.

Bloqueo de dominios maliciosos

Un resolutor protector puede comparar las consultas con fuentes de amenazas y bloquear dominios asociados a phishing, malware o spam. En vez de devolver la dirección maliciosa, puede responder que el nombre no existe o dirigir a una página segura.

Las listas deben actualizarse y revisarse para reducir falsos positivos. Este filtrado es preventivo: no sustituye el antivirus, el navegador actualizado, la autenticación multifactor ni la formación de las personas usuarias.

No tienes que resolver el DNS sin ayuda

El DNS es fundamental y reúne muchas piezas técnicas que cambian con el tiempo. Si un problema afecta tu sitio o necesitas revisar la seguridad, el alojamiento administrado y los servicios profesionales de administración web pueden ayudarte a investigar y mantener la configuración.