¿Qué es DNS y cómo funciona el Sistema de Nombres de Dominio?

DNS es el Sistema de Nombres de Dominio, la infraestructura que traduce nombres legibles como ejemplo.es en direcciones IP numéricas que entienden las máquinas. Sin este mecanismo, cada vez que quisieras visitar una web tendrías que memorizar secuencias de números. El protocolo nació en 1983 y sigue operando mayoritariamente por el puerto 53, primero en texto plano.

¿Qué es DNS exactamente?

No es un servidor único ni una base de datos centralizada. Se trata de un sistema jerárquico y distribuido en el que millones de servidores repartidos por todo el mundo colaboran para responder a las mismas preguntas: ¿cuál es la IP de este dominio? ¿dónde se entrega el correo?

La estructura se asemeja a un árbol invertido. En la raíz se encuentran los servidores que conocen a los TLD (dominios de primer nivel como .es, .com u .org). Debajo están los dominios de segundo nivel (el nombre que registras) y, más abajo, los subdominios y hosts individuales. Cada nivel delega autoridad al siguiente, de modo que ningún servidor necesita saberlo todo.

Dentro de este ecosistema hay dos roles bien diferenciados. El servidor recursivo o resolvedor es el que hace el trabajo por el usuario: recibe la pregunta, salta entre servidores y guarda en caché la respuesta. El servidor autoritativo, en cambio, es el propietario de la verdad para un dominio concreto. Es donde el administrador configura los registros oficiales.

Cómo funciona una consulta DNS paso a paso

Cuando escribes una dirección en el navegador, ocurre una cadena de mensajes que culmina en una dirección IP. Tu equipo consulta primero su caché local. Si la respuesta está reciente, el proceso termina aquí y la conexión empieza casi de inmediato.

Si la caché está vacía, la petición llega a un resolvedor recursivo. Puede ser el que ofrece tu operadora o un servicio público como Cloudflare 1.1.1.1 o Quad9. El resolvedor consulta su propia memoria. Si tampoco tiene la respuesta, empieza la búsqueda jerárquica.

Primero contacta con un servidor raíz. Este no sabe la IP de ejemplo.es, pero sí sabe quién gestiona el TLD .es. Le devuelve la dirección de los nameservers correspondientes. Existen 13 servidores raíz lógicos operados por cientos de instancias físicas repartidas por todo el mundo.

El resolvedor pregunta a ese TLD y recibe una referencia al servidor autoritativo del dominio. Finalmente, el autoritativo devuelve el registro A o AAAA con la IP. El resolvedor guarda ese dato según el TTL indicado y te lo entrega.

Todo el proceso suele durar entre 20 y 120 milisegundos en una consulta fría. Si la respuesta ya está en caché, el tiempo se reduce a casi cero.

Registros DNS que encontrarás en la práctica

Una zona DNS no solo traduce nombres a IPs. Contiene distintos registros que definen el comportamiento del dominio. El registro A apunta a una IPv4. El registro AAAA hace lo mismo para IPv6, indispensable en la transición actual hacia ese protocolo.

El registro MX indica los servidores de correo destinados a tu dominio. CNAME crea un alias, de modo que blog.ejemplo.es puede apuntar a ejemplo.es sin duplicar direcciones. TXT sirve para verificaciones de propiedad, políticas SPF o claves de seguridad. Los registros NS delegan autoridad a los nameservers de la zona. Sin ellos, nadie sabría a quién preguntar por los datos de tu dominio. Cada registro tiene una función específica y conviene mantenerlos actualizados para evitar interrupciones.

Cómo comprobar DNS desde la terminal

No hace falta abrir el navegador para verificar cómo resuelve un dominio. Las herramientas de línea de comandos permiten inspeccionar registros, rastrear la propagación y diagnosticar fallos. Estas utilidades son especialmente útiles cuando migras un sitio o cambias de proveedor de alojamiento.

El comando dig es uno de los más completos. Para obtener la IP básica de un dominio ejecuta:

dig digtrace.net A +short

La salida mostrará una o varias direcciones IP. Si prefieres ver la ruta completa y los servidores consultados, usa la traza:

dig digtrace.net +trace

También puedes consultar registros MX o NS para verificar la configuración de correo o los nameservers:

dig digtrace.net MX +short
dig digtrace.net NS +short

Para revisar la resolución desde un servidor específico, indícalo con @:

dig @1.1.1.1 digtrace.net A

Estas comprobaciones forman parte del diagnóstico diario de redes. Combinar DNS con herramientas de traza permite seguir el camino de los paquetes una vez conocida la IP. En la guía sobre traceroute y MTR explicamos cómo analizar esa ruta.

Seguridad en DNS: DNSSEC, DoH, DoT y DoQ

El DNS tradicional por el puerto 53 no cifra ni autentifica las respuestas. Esto lo hace vulnerable a espionaje, manipulación en tránsito y envenenamiento de caché. Durante décadas, la comunidad técnica ha trabajado en extensiones para cerrar estas brechas.

DNSSEC añade firmas criptográficas a los registros. El resolvedor valida esa firma para confirmar que la respuesta proviene del servidor autoritativo legítimo y no ha sido alterada. En España, los dominios .es admiten DNSSEC a través de los registradores acreditados, aunque no todos lo activan por defecto.

Es recomendable verificar la compatibilidad con tu registrador antes de firmar la zona. La entidad gestora Red.es promueve esta medida como un candado digital para la propiedad del dominio. Más información sobre DNSSEC en dominios .es.

Sin embargo, DNSSEC protege la integridad de los datos, no la confidencialidad. Tus consultas siguen viajando en texto plano entre tu dispositivo y el resolvedor. Aquí entran DoH (DNS over HTTPS), DoT (DNS over TLS) y DoQ (DNS over QUIC). Los tres cifran la comunicación para que ni tu operadora ni terceros en la red sepan qué dominios consultas.

DoT usa el puerto 853 y es fácil de identificar por los firewalls. DoH se disfraza dentro del tráfico HTTPS normal por el puerto 443, lo que dificulta su bloqueo. DoQ, basado en QUIC y TLS 1.3, ofrece menos latencia y mejor rendimiento en redes con pérdidas de paquetes.

A principios de 2026, Quad9 activó de forma global el soporte para DoH3 y DoQ, ampliando las opciones de privacidad sin sacrificar velocidad.

Es importante entender que estas tecnologías son complementarias. DNSSEC valida que nadie ha tocado los registros en el camino al resolvedor. DoH, DoT o DoQ evitan que alguien espíe la consulta entre tu equipo y ese resolvedor. Usar ambas capas proporciona una protección mucho más completa.

DNSSEC valida que los registros son auténticos. DoH, DoT y DoQ evitan que alguien espíe la consulta. Ninguna tecnología sustituye a la otra.

Implicaciones prácticas para administradores y usuarios

Cuando gestionas un dominio, pequeños errores en la zona DNS tienen consecuencias inmediatas. Un registro A mal apuntado deja la web inaccesible. Un MX incorrecto interrumpe la recepción de correo. Es por eso que los RFCs recomiendan mantener al menos dos servidores autoritativos para garantizar redundancia.

Tras modificar cualquier registro, los cambios no se aplican al instante en todo el mundo. Cada entrada tiene un TTL (Time To Live) que dicta cuánto tiempo pueden los resolvedores almacenarla en caché.

En España, la mayoría de los cambios en un dominio .es se propagan en minutos o pocas horas, aunque registros con TTL muy altos pueden tardar más. Puedes usar herramientas online para monitorizar esta propagación global. Conoce las funciones esenciales de un verificador DNS.

Para los usuarios domésticos, cambiar el resolvedor DNS del router o del dispositivo puede mejorar la privacidad y la velocidad. Configurar DoH o DoT en Windows, Android o el navegador evita que tu operadora registre cada página que visitas. Si el DNS de tu proveedor es lento o censura ciertos dominios, los resolvers públicos con DNSSEC activado son una alternativa sólida.

El lugar del DNS en el ecosistema de red

El Sistema de Nombres de Dominio no es solo una comodidad. Es un pilar fundamental sobre el que se asientan el correo electrónico, la navegación web y casi todo servicio conectado. Sin resolución de nombres, no hay sesiones TCP, no hay HTTPS, no hay nada.

Por eso los profesionales de redes no estudian DNS de forma aislada. Lo combinan con análisis de rutas, diagnóstico de latencia y monitorización de conectividad. Comprender cómo se resuelve un nombre es el paso previo inevitable antes de preguntarse por qué una página carga lento o un email rebota.

Si necesitas analizar registros, validar la propagación o simplemente entender por qué un dominio no responde, dominar estas herramientas te ahorrará horas de incertidumbre. El DNS es el primer eslabón de la cadena. Cuando falla, todo lo demás se detiene.