Registros DNS comodín: cómo funciona *.example.com

Intermedio⏱ 4 min de lecturaActualizado el 13 de octubre de 2026

Un registro llamado *.example.com responde por cada subdominio que nunca creaste: blog, test, lo-que-sea. Eso convierte los subdominios por cliente y los entornos de vista previa en una sola línea. También hace que las erratas resuelvan, invita al correo a hosts que no existen y puede entregar un subdominio olvidado a otra persona. Las reglas de lo que coincide con el asterisco son más estrictas de lo que la mayoría supone.

Cómo responde un comodín

Un resolver pregunta por un nombre. Si la zona no lo tiene, el servidor busca un registro * en el nombre existente más cercano y responde como si el registro estuviera escrito para el nombre preguntado (RFC 4592). Toma esta zona:

; zone example.com
example.com.        3600 IN A      203.0.113.10
www.example.com.    3600 IN CNAME  example.com.
shop.example.com.   3600 IN A      203.0.113.20
*.example.com.      3600 IN A      203.0.113.80

Con *.example.com en la zona: un nombre existente conserva su registro, uno inexistente recibe el comodín y uno bajo un nombre existente no recibe nada.

Consulta	Respuesta	Por qué
`example.com` `A`	`203.0.113.10`	El apex nunca coincide con `*.example.com`.
`shop.example.com` `A`	`203.0.113.20`	El nombre existe, así que se ignora el comodín.
`blog.example.com` `A`	`203.0.113.80`	No existe ese nombre: la respuesta sale de `*`.
`a.b.example.com` `A`	`203.0.113.80`	No existen ni `b` ni `a.b`, así que sigue coincidiendo, con cualquier número de etiquetas.
`shop.example.com` `MX`	Sin registros (NODATA)	El nombre existe. El comodín nunca añade tipos que le falten a un nombre real.
`x.shop.example.com` `A`	NXDOMAIN	El nombre existente más cercano es `shop` y no hay `*.shop.example.com`.

Las reglas que pillan a la gente

Los nombres existentes son intocables. Si www solo tiene un CNAME, una consulta TXT para www no recibe nada de *, aunque el comodín tenga un registro TXT.
Un nombre «existe» aunque no tenga registros propios si hay algo por debajo. Crea api.dev.example.com y dev.example.com pasa a existir: test.dev.example.com ya no llega a *.example.com.
El asterisco solo funciona como etiqueta completa más a la izquierda. *.example.com es un comodín; www.*.example.com, *-dev.example.com y *abc.example.com son nombres normales y literales.
Se permite un CNAME comodín, pero, como cualquier CNAME, no puede compartir nombre con otros registros: *.example.com CNAME más *.example.com MX no es válido.
Las respuestas llevan el nombre preguntado, no *. El cliente no distingue una respuesta del comodín de un registro real; solo lo delata compararla con un nombre aleatorio.

Nota: Un certificado TLS comodín es otra cosa con otra regla: un certificado para *.example.com cubre blog.example.com, pero no a.b.example.com ni el propio example.com. Que un comodín DNS resuelva nombres profundos no hace que el certificado los cubra.

Cuándo un comodín es la herramienta adecuada

SaaS con un subdominio por cliente (acme.app.example): los clientes nuevos funcionan al instante y la aplicación decide por la cabecera Host qué cliente mostrar.
Entornos de vista previa y de rama que se crean y destruyen automáticamente, todos detrás de un mismo balanceador.
Una redirección general que envía cualquier subdominio mal escrito al sitio principal, si aceptas los efectos secundarios de abajo.

Los riesgos

Las erratas parecen un éxito. ww.example.com o mial.example.com resuelven y llegan a un servidor que puede mostrar una página confusa en lugar de un error claro.
Correo. Un MX comodín convierte cualquier subdominio inventado en un destino de correo válido, y los spammers lo notan; un A comodín sin ningún MX hace lo mismo mediante el uso del registro A como respaldo. Si el comodín es solo para la web, publica en él un null MX y un SPF estricto.
Toma de subdominios. Un CNAME comodín hacia un servicio en la nube (*.example.com → example.azurewebsites.net) entrega cada subdominio sin reclamar a quien registre ese destino cuando dejes el servicio.
Errores ocultos. Un registro borrado sigue «funcionando» gracias al comodín, así que una migración fallida puede pasar desapercibida hasta que se quita el comodín.

; keep a web wildcard from inviting mail to every subdomain
*.example.com.  3600 IN MX   0 .              ; RFC 7505 "null MX"
*.example.com.  3600 IN TXT  "v=spf1 -all"

Cuidado: Antes de añadir un comodín a un dominio que envía correo o se usa para iniciar sesión, anota qué subdominios no deben resolver y compruébalos después del cambio.

Cómo comprobar si un dominio tiene comodín

Pregunta por un nombre que nadie crearía. Si resuelve, hay un comodín (o un CDN o proveedor DNS que sintetiza respuestas). Después compara con un subdominio real:

# a label that surely does not exist — answered by the wildcard?
dig +short pixdns-test-7f3a.example.com A
# compare with a name that does exist
dig +short shop.example.com A

Consejo: Pega el nombre aleatorio en la consulta DNS de PixDNS para ver el tipo de registro y el TTL que devuelve el comodín. Las herramientas de enumeración de subdominios filtran las respuestas comodín igual: primero resuelven una etiqueta aleatoria y descartan todo lo que coincide con ella.

Consultar un subdominio aleatorio →Siguiente: registros CNAME →

Preguntas frecuentes

¿*.example.com cubre example.com?

No. El comodín coincide con nombres por debajo del dominio, nunca con el dominio en sí. Mantén un registro aparte para el apex.

¿*.example.com cubre a.b.example.com?

En DNS, sí, siempre que b.example.com no exista. Un certificado TLS comodín, en cambio, solo cubre un nivel.

¿Por qué mi comodín no funciona para un subdominio?

Porque ese nombre, o un nombre por debajo, existe en la zona. Un nombre existente nunca recibe respuestas del comodín, ni siquiera para tipos que no tiene.

¿Puedo usar un comodín para MX o TXT?

Sí, cualquier tipo de registro puede ser comodín. Un MX comodín rara vez es buena idea; un null MX comodín y v=spf1 -all son una protección habitual.

Pruébalo en tu dominio

Ve la teoría en la práctica: ejecuta Consulta DNS para tu propio dominio.

Actualizado el 13 de octubre de 2026

Fuentes