Consulta DNS y comparación de resolutores

Indique un tipo de registro y la consulta se envía a cuatro resolutores públicos a la vez. Las respuestas se colocan una junto a otra, seguidas de una tabla valor por valor que muestra qué resolutor devolvió cada registro, de modo que una discrepancia se ve de un vistazo en lugar de quedar oculta tras la opinión de un solo resolutor. Cada respuesta conserva su TTL, y cada resolutor indica si pudo validar el nombre con DNSSEC. Cuando los resolutores no coinciden, la página no adivina: enumera exactamente lo que difiere y da las dos explicaciones que cubren casi todos los casos reales, y después le dice cómo distinguirlas.
Nombre a resolver
Comparación
Listo. Todavía no se ha enviado ninguna consulta.
Introduzca un nombre, elija un tipo de registro y resuelva.
Tipos de registro, códigos de respuesta y las respuestas que parecen incorrectas pero no lo son
Tipos de registro. A asigna un nombre a una dirección IPv4, AAAA a una dirección IPv6. CNAME indica que el nombre es otro nombre, y los resolutores siguen la cadena hasta el final. MX lista los servidores de correo, cada uno con un número de prioridad donde el número más bajo se prueba primero. TXT contiene texto libre y es donde viven las políticas de correo: una política SPF empieza por v=spf1, una clave DKIM está bajo un nombre de selector que termina en ._domainkey, y una política DMARC está en _dmarc delante del dominio. NS lista los servidores de nombres responsables de una zona; SOA es el registro de cabecera de la propia zona y contiene el tiempo de caché de las respuestas negativas. SRV localiza un servicio en un host y un puerto; CAA indica qué autoridades de certificación pueden emitir certificados para el nombre; PTR es la dirección inversa, de una dirección a un nombre; y TLSA fija un certificado para un servicio. DS y DNSKEY contienen las claves que hacen posible la validación DNSSEC, y HTTPS y SVCB describen cómo llegar a un servicio, incluidos los parámetros de protocolos más recientes.

Códigos de respuesta. NOERROR sin registros significa que el nombre existe pero no tiene nada del tipo que pidió. NXDOMAIN significa que el nombre no existe en absoluto, y esa respuesta se guarda en caché durante un tiempo, así que un nombre creado hace un minuto puede seguir apareciendo como inexistente. SERVFAIL significa que el resolutor no pudo terminar el trabajo, y una firma DNSSEC rota es una de las causas más habituales. REFUSED significa que el resolutor se negó a responder esa consulta.

TTL. El TTL es el número de segundos que un resolutor puede conservar el registro. Es la razón por la que dos resolutores pueden mostrar legítimamente respuestas distintas durante un tiempo: uno todavía conserva la copia antigua hasta que expira su temporizador. Por eso lo primero que hay que comprobar tras un cambio es si todos los resolutores se han actualizado, no si uno de ellos está equivocado.

DNSSEC, en un párrafo. Un resolutor que informa del indicador de datos autenticados dice que pudo verificar la respuesta con firmas criptográficas partiendo de la clave propia del dominio. La ausencia del indicador no prueba una manipulación: la zona puede simplemente no estar firmada, o el resolutor puede no validar en absoluto. El caso interesante es un resolutor que informa de un fallo mientras los demás devuelven registros, porque una firma fallida es exactamente el aspecto de una respuesta falsificada.

Respuestas que parecen incorrectas pero no lo son. Los sitios grandes, las redes de contenido y cualquier cosa con DNS sensible a la ubicación entregan deliberadamente direcciones distintas a resolutores distintos, así que la discrepancia es normal allí y no es señal de nada malo. Una dirección como 0.0.0.0, :: o una dirección privada en una respuesta A o AAAA suele ser un bloqueo deliberado de quien administra el resolutor, no un secuestro en el camino, pero sí significa que el resolutor cambió la respuesta. Esta página le muestra la diferencia y el razonamiento, y nunca le dice cuál es la respuesta verdadera.