DNS
Cambios DNS: compara el origen y las cachés recursivas
Interpreta Cloudflare DNS sin convertir el TTL en una cuenta atrás de propagación global.
Un resultado es una observación
DNS Lookup consulta desde tu navegador el resolver recursivo DNS-over-HTTPS de Cloudflare. Cloudflare recibe el nombre consultado y la IP pública de tu conexión. Puede responder desde su caché. No consulta la caché DNS de tu operador ni demuestra que todos los usuarios vean lo mismo.
Anota nombre exacto, tipo de registro, resolver y hora de consulta. Un TXT de example.com y otro de _dmarc.example.com son consultas distintas. La herramienta permite un tipo por petición: A, AAAA, CNAME, MX, NS, TXT, SOA o SRV; no tiene opción ALL.
Una comprobación reproducible
Usa openpdf.app, un dominio público del mismo operador que PingThat, para consultar una respuesta real sin introducir un destino privado:
curl --header 'accept: application/dns-json' \
'https://cloudflare-dns.com/dns-query?name=openpdf.app&type=A'En DNS Lookup, introduce openpdf.app y elige A. Compara Status y los registros de Answer con la respuesta de la terminal. No esperes una IP fija ni un TTL idéntico: las consultas se hacen en momentos distintos y pueden llegar a cachés diferentes. El comando contacta directamente con Cloudflare, igual que la herramienta.
| Respuesta | Interpretación | Siguiente comprobación |
|---|---|---|
| Status 0 con respuestas | El resolver devuelve registros | Compara nombre y valores con la configuración deseada |
| Status 0 sin respuestas | No hay registros en Answer para esta petición | Revisa nombre y tipo; no demuestra que todo el dominio esté ausente |
| NXDOMAIN, código 3 | El nombre o un destino de alias figura como inexistente | Revisa escritura y zona autoritativa; una respuesta negativa puede estar en caché |
| SERVFAIL, código 2 | La resolución ha fallado | Investiga disponibilidad, delegación y DNSSEC; no equivale a «sin registros» |
| REFUSED, código 5 | La consulta ha sido rechazada | Revisa las restricciones del proveedor antes de repetir |
| Error HTTP o timeout | No llegó una respuesta DNS utilizable | Comprueba la conexión; no demuestra nada sobre el registro solicitado |
Compara el origen antes de esperar
En un dominio que administras, comprueba que el cambio esté publicado en sus servidores autoritativos. Si discrepan, revisa publicación de zona, delegación y sincronización de secundarios. La consulta básica de PingThat es recursiva: no cambia silenciosamente a un servidor autoritativo.
Después usa Resolver Compare para obtener una muestra de otros resolvers. Que coincidan es evidencia de esas consultas y momentos, no un certificado mundial. Navegadores, aplicaciones y sistemas operativos también pueden mantener sus propias cachés.
El TTL no es un plazo mundial
Una respuesta en caché puede mostrar los segundos de vida restantes. Bajar el TTL en origen no acorta retroactivamente un valor ya guardado en otro lugar. Antes de una migración, bájalo con tiempo para que caduque el TTL anterior, comprueba los servidores autoritativos y conserva el servicio anterior durante el periodo que requiera tu cambio.
No hay una regla universal de 48 horas. Los cambios de delegación y DS implican datos de la zona padre, con su propia publicación y caché. Las políticas de los resolvers también difieren; algunos mecanismos permiten servir datos caducados en determinadas condiciones de fallo. El TTL visible no garantiza cuándo cambiarán todos los usuarios.
Caché negativa y DNSSEC
NXDOMAIN y las respuestas correctas sin el dato solicitado también pueden guardarse en caché. RFC 2308 define su TTL a partir del menor entre el TTL del registro SOA y su campo MINIMUM. Por eso un nombre creado después de una consulta negativa puede seguir figurando temporalmente como ausente en esa caché.
SERVFAIL por sí solo no diagnostica DNSSEC. Una cadena de confianza rota es una posibilidad, junto a fallos de red o del servidor. Comprueba DS en la zona padre y DNSKEY/firmas en la zona con una herramienta específica; los datos ordinarios de WHOIS/RDAP no prueban que la cadena valide. Sigue el procedimiento de migración y rotación de claves de tu proveedor DNS, sin ocultar errores desactivando validación.
Fuentes y límites
- Cloudflare: interfaz JSON de DNS-over-HTTPS.
- RFC 1035, códigos de respuesta y registros.
- RFC 2308, caché negativa.
- RFC 8767, uso de datos DNS caducados.
Este recorrido comprueba una observación, no toda tu configuración DNS. Consulta la metodología para ver los proveedores y la privacidad para las consultas recientes y las URL compartibles.