Registros DNS explicados: qué hace cada uno y cómo cambiarlos sin romper nada

Cada vez que alguien escribe tu dominio en el navegador o te envía un correo, un servidor DNS responde a la pregunta «¿adónde tengo que ir?». El DNS (Domain Name System) es una base de datos distribuida formada por registros: líneas sencillas con un nombre, un tipo, un valor y un tiempo de vida (TTL). Si un registro está mal, la web no carga o los correos no llegan, aunque el servidor funcione perfectamente. En esta guía repasamos los tipos más usados, con ejemplos que puedes copiar y adaptar.

Cómo funciona una consulta DNS

1. El navegador pregunta al resolver de tu operador (Movistar, Telmex, Claro…) o a uno público como 1.1.1.1 u 8.8.8.8.
2. Si no tiene la respuesta en caché, el resolver pregunta a los servidores raíz, luego a los del dominio de primer nivel (.es, .com, .mx) y por último a los servidores de nombres (NS) de tu dominio.
3. Tus NS devuelven el registro y el resolver lo guarda en caché durante el TTL indicado.

Por eso un cambio no se ve al instante en todas partes: cada resolver sigue usando la respuesta antigua hasta que caduca su caché.

Los registros principales

A y AAAA

Son la base: dicen en qué IP está tu web. Un ejemplo típico de zona:

ejemplo.com.        3600  IN  A      203.0.113.10
www.ejemplo.com.    3600  IN  CNAME  ejemplo.com.
ejemplo.com.        3600  IN  AAAA   2001:db8::10

Si publicas AAAA, asegúrate de que el servidor responde de verdad por IPv6: un AAAA hacia un servidor sin IPv6 hace que algunos usuarios móviles no puedan entrar.

CNAME

Un CNAME dice «este nombre es igual que este otro». Es útil para www, para tiendas alojadas (Shopify, Wix) o para CDN. Reglas: un nombre con CNAME no puede tener ningún otro registro, y por eso no se suele usar en la raíz del dominio. Si tu proveedor ofrece ALIAS, ANAME o «CNAME flattening» (Cloudflare), úsalo para la raíz.

MX

Indica qué servidores reciben el correo del dominio. El número es la prioridad: menor número, mayor preferencia. Google Workspace hoy usa un único registro 1 smtp.google.com.; Microsoft 365 usa algo como 0 ejemplo-com.mail.protection.outlook.com.. Un error clásico es dejar los MX antiguos del hosting al migrar el correo: parte de los mensajes acaba en un buzón que nadie lee.

TXT

Es un cajón de sastre. Aquí viven SPF, DKIM y DMARC (lo explicamos en la guía de SPF, DKIM y DMARC) y los códigos de verificación de Google Search Console, Microsoft o Meta. Puede haber varios TXT con el mismo nombre, pero solo un SPF.

NS

Definen quién gestiona tu zona. Si cambias los NS a Cloudflare, por ejemplo, todos los registros pasan a editarse en Cloudflare y lo que tengas en el panel del registrador deja de tener efecto.

CAA

Restringe qué autoridades de certificación pueden emitir certificados SSL para el dominio. Si lo usas, incluye todas las que necesites (por ejemplo, letsencrypt.org y la de tu CDN); si falta una, la renovación automática fallará.

TTL y propagación

El TTL (en segundos) indica cuánto tiempo pueden los resolvers guardar la respuesta:

Truco para migraciones: un día antes de cambiar de servidor, baja el TTL de los registros A/AAAA a 300. Así, cuando hagas el cambio, el tráfico se moverá en minutos. Cuando todo funcione, vuelve a subirlo a 3600.

Cómo cambiar los servidores de nombres sin cortes

1. Copia la zona completa antes de nada: A, AAAA, CNAME, MX, TXT (SPF, DKIM, DMARC, verificaciones), SRV y CAA. Con la consulta DNS puedes ver los registros públicos actuales.
2. Crea todos los registros en el nuevo proveedor antes de tocar los NS.
3. Cambia los NS en el panel del registrador. La consulta WHOIS te dice cuál es tu registrador y qué NS tiene asignados.
4. Espera la propagación, que puede tardar hasta 48 horas porque los NS de los dominios de primer nivel suelen tener TTL largos.
5. Comprueba web y correo desde redes distintas (wifi y datos móviles) y mantén la zona antigua activa unos días.

Si el dominio tiene DNSSEC activado, desactívalo o actualiza los registros DS antes del cambio; de lo contrario, los resolvers que validan DNSSEC dejarán de resolver el dominio.

Errores frecuentes

• Punto final olvidado en paneles que usan sintaxis de zona: mail.ejemplo.com se convierte en mail.ejemplo.com.ejemplo.com.
• IP de la oficina en vez de la del servidor. Si dudas de qué IP pública tienes, mira cuál es mi IP; la IP de tu conexión doméstica no debe aparecer en un registro A de la web.
• MX apuntando a un CNAME. No está permitido por el estándar y algunos servidores lo rechazan.
• Dominio caducado. Si el dominio vence, deja de resolver todo. Activa la renovación automática.
• Caché local. Si tú no ves el cambio pero otros sí, vacía la caché del sistema (ipconfig /flushdns en Windows) o prueba con otro resolver.

Comprobar registros desde la terminal

dig ejemplo.com A +short
dig ejemplo.com MX +short
dig _dmarc.ejemplo.com TXT +short
nslookup -type=ns ejemplo.com

dig @1.1.1.1 ejemplo.com consulta un resolver concreto, útil para comparar respuestas durante una propagación.

Lista de comprobación

• Sabes dónde se gestiona la zona (proveedor de los NS) y tienes acceso.
• ejemplo.com y www.ejemplo.com resuelven al mismo sitio.
• Los MX apuntan solo al proveedor de correo actual.
• Hay un único SPF, DKIM activo y un registro DMARC.
• Si usas CAA, incluye todas las autoridades que emiten tus certificados.
• Antes de migrar, TTL bajado a 300 y copia de la zona guardada.