DNS Glossary

Definiciones rápidas y en lenguaje claro de los términos DNS que te vas a encontrar. Los términos con guía propia están enlazados.

Resolver: Un servidor que consulta registros DNS en tu nombre, normalmente el de tu proveedor de Internet o uno público como 8.8.8.8 o 1.1.1.1. También se llama resolver recursivo.
Servidor de nombres autoritativo: El servidor que contiene los registros DNS reales de un dominio: la fuente de verdad que los resolvers acaban consultando.
Zone: Una parte del espacio de nombres DNS que se gestiona como una unidad, normalmente un dominio y sus subdominios, definida por un fichero de zona en el servidor de nombres autoritativo.
TTL (Time To Live): Cuántos segundos puede un resolver guardar un registro en caché antes de volver a consultar al servidor de nombres autoritativo.
Propagation: El tiempo que tarda un cambio de DNS en llegar a todos los resolvers del mundo, determinado por el TTL anterior.
NXDOMAIN: Una respuesta autoritativa que indica que el nombre consultado no existe en la zona.
SERVFAIL: El resolver no ha podido completar la consulta: servidores inalcanzables, delegación rota o validación DNSSEC fallida.
Ápex de zona / dominio raíz: El dominio desnudo, sin subdominio (example.com, no www.example.com). Aquí no se permiten registros CNAME.
DNSSEC: Un conjunto de extensiones que firman criptográficamente los registros DNS para que los resolvers puedan verificar que las respuestas no se han falsificado.
DoH (DNS over HTTPS): Consultas DNS cifradas y enviadas por HTTPS, lo que impide que se espíen o manipulen en el trayecto por la red.
DoT (DNS over TLS): Consultas DNS cifradas sobre una conexión TLS dedicada: el mismo objetivo que DoH, con otro transporte.
SPF: Un registro TXT del DNS que indica qué servidores de correo están autorizados a enviar email por un dominio.
DKIM: Una firma criptográfica añadida al correo saliente para que los destinatarios puedan verificar que no se ha alterado en tránsito.
DMARC: Un registro de política que indica a los servidores de correo receptores qué hacer cuando SPF y DKIM fallan a la vez, y que además aporta informes.
Glue Record: Un registro A de un servidor de nombres que vive dentro del dominio al que sirve (por ejemplo ns1.example.com para example.com), necesario para evitar una consulta circular.
Registro comodín: Un registro que usa * como nombre de host (*.example.com) y que coincide con cualquier subdominio no definido de otro modo.
SOA (Start of Authority): Un registro con los metadatos de la zona: servidor de nombres primario, contacto administrativo, número de serie y valores de temporización de caché.
Delegation: Apuntar un subdominio o una zona a otro conjunto de servidores de nombres mediante registros NS, cediendo la autoridad sobre esa parte del espacio de nombres.
Envenenamiento de caché: Inyectar una respuesta DNS falsificada en la caché de un resolver para redirigir el tráfico: justo el ataque que DNSSEC pretende impedir.
Toma de control de subdominio: Reclamar un subdominio cuyo registro DNS aún apunta a un servicio de terceros abandonado por el propietario original, permitiendo a un atacante servir contenido allí bajo el dominio de confianza.
Ataque de amplificación: Una técnica de DDoS que envía una pequeña consulta falsificada a un resolver abierto para que inunde la dirección de origen falsificada con una respuesta mucho mayor, multiplicando el ancho de banda del atacante.
Resolver abierto: Un resolver DNS que responde a consultas recursivas desde cualquier dirección IP de internet en lugar de solo desde su propia red, lo que permite usarlo como reflector en ataques de amplificación.
Anycast: Una técnica de enrutamiento en la que la misma dirección IP se anuncia desde muchas ubicaciones físicas, de modo que una consulta la responde automáticamente la más cercana.
Códigos de estado EPP: Códigos estandarizados (p. ej. clientTransferProhibited, serverHold) que un registro WHOIS usa para mostrar qué bloquea o restringe actualmente el registrador o el registro de un dominio.
CGNAT (NAT de operador): Una configuración en la que un ISP comparte una única dirección IP pública entre muchos clientes, lo que puede hacer poco fiable la localización o identificación basada en IP.
Happy Eyeballs: Un algoritmo que el software cliente usa para probar conexiones IPv6 e IPv4 en paralelo y quedarse con la que conecte primero, por lo que añadir registros AAAA supone poco riesgo.
RRL (limitación de tasa de respuestas): Una defensa en los servidores autoritativos que limita las respuestas idénticas repetidas enviadas hacia el mismo origen aparente, mitigando los ataques de amplificación DNS.
BCP38: Una buena práctica de filtrado de red que bloquea los paquetes que salen de una red con una dirección de origen falsificada, deteniendo los ataques de amplificación en su origen en lugar de en su objetivo.