Escribir un dominio inicia una búsqueda distribuida, no una consulta a una libreta central
El Sistema de Nombres de Dominio o DNS traduce nombres como simplao.com en datos que permiten localizar servicios, normalmente direcciones IP. Es una base distribuida y jerárquica. Cuando el navegador necesita una dirección, revisa cachés locales y pide ayuda a un resolvedor recursivo, que puede responder desde su caché o consultar la jerarquía. DNS facilita llegar al servidor; no transporta después la página ni sustituye a HTTP, HTTPS o la conexión con la aplicación.
El resolvedor suele pertenecer al proveedor de Internet, una organización o un servicio público. Si no conoce la respuesta, pregunta a servidores raíz, que señalan los servidores del dominio de nivel superior como .com; estos indican los servidores autoritativos de simplao.com; el autoritativo devuelve el registro. La raíz no almacena la dirección de cada web. Cada nivel delega una parte del espacio de nombres y reparte la carga mundial. Una misma consulta puede devolver varias direcciones para distribuir tráfico, o respuestas distintas según red y ubicación, sin que el nombre visible cambie.
Recordar respuestas acelera Internet, aunque hace que los cambios tarden en verse
Cada registro incluye un TTL, tiempo durante el que puede mantenerse en caché. Navegador, sistema operativo y resolvedor pueden recordar respuestas. Si un administrador cambia una IP, algunos usuarios seguirán recibiendo la antigua hasta que expire su copia. La llamada propagación DNS no es una onda que recorre físicamente todos los servidores; suele ser el vaciado gradual de cachés con TTL diferentes.
También se almacenan respuestas negativas: saber durante un tiempo que un nombre no existe evita repetir consultas. Un TTL corto agiliza cambios pero aumenta consultas y dependencia del autoritativo; uno largo mejora resiliencia y rendimiento, pero conserva datos antiguos. Preparar una migración implica reducir TTL con antelación y mantener ambos destinos mientras expiran copias. Borrar la caché local no obliga a borrar la de todos los resolvedores.
Una zona puede publicar direcciones, alias, correo y políticas distintas
Los registros A y AAAA asocian nombres con IPv4 e IPv6. CNAME crea un alias hacia otro nombre, mientras MX indica servidores de correo. TXT transporta texto usado en verificaciones y políticas como SPF; NS declara servidores de nombres; SOA contiene parámetros de la zona. No todos pueden combinarse libremente: un CNAME no debe coexistir con otros datos en el mismo nombre según el modelo DNS.
El DNS distingue el dominio registrable, sus subdominios y nombres completos. www.simplao.com puede tener una respuesta distinta de simplao.com. Un dominio se registra mediante actores coordinados con el registro de su extensión; alojar una web es otro servicio. Comprar un dominio no crea contenido ni servidor. Configurar DNS conecta nombres con direcciones gestionadas mediante IP, pero TLS y la aplicación deben reconocer también ese nombre.
Responder con autoridad no es lo mismo que buscar en nombre del usuario
Un servidor autoritativo publica datos de una zona y no necesita recorrer Internet para contestarlos. Un resolvedor recursivo realiza consultas y entrega una respuesta final al cliente. Los servidores raíz y de TLD suelen ofrecer referencias, no recursión abierta. Esta separación limita responsabilidades y permite que millones de zonas cambien sin reconstruir una base central completa.
La redundancia exige varios servidores autoritativos y redes distribuidas. Anycast permite que una misma dirección se anuncie desde ubicaciones distintas y que el enrutamiento lleve la consulta a una instancia cercana. El Internet aporta paquetes y rutas sobre los que viaja DNS. Si falla el DNS, una dirección conocida podría seguir siendo alcanzable; si falla el enrutamiento, conocer la IP no basta.
DNSSEC prueba origen e integridad, pero no cifra la consulta
El DNS original no autentica por sí solo cada respuesta, lo que permite falsificación y envenenamiento de caché. DNSSEC añade firmas digitales encadenadas desde una raíz de confianza. Un resolvedor validador puede comprobar que los datos proceden de la zona y no fueron alterados. No garantiza que la web sea honesta ni que la dirección publicada sea correcta; autentica la respuesta dentro de la jerarquía.
DNSSEC tampoco oculta el nombre consultado. DNS sobre HTTPS y DNS sobre TLS cifran el trayecto entre dispositivo y resolvedor, evitando observación o manipulación en esa sección. El resolvedor aún conoce las consultas y debe elegirse con criterios de confianza y política. QNAME minimization reduce información enviada a niveles superiores. Privacidad, autenticidad y disponibilidad son problemas distintos y requieren herramientas diferentes.
Un error de nombres puede estar en el registro, la delegación, la caché o la aplicación
NXDOMAIN indica que el nombre no existe según la respuesta; SERVFAIL suele señalar que el resolvedor no pudo completar o validar; una respuesta antigua apunta a caché; una delegación incoherente puede crear fallos intermitentes. Herramientas como dig muestran servidor, tipo, TTL y cadena de autoridad. Probar sólo en un navegador mezcla DNS con caché HTTP, certificado y red.
La arquitectura del DNS funciona porque ninguna máquina mantiene todo y cada zona controla una parte verificable. Esa distribución trae demoras y dependencias, pero también escala y autonomía. Seguir una consulta paso a paso permite entender qué debe corregirse: el nombre se resuelve antes de cargar la web, la caché conserva respuestas durante un plazo y la seguridad autentica datos sin convertir el DNS en un canal secreto universal.
