Cómo funcionan los servidores DNS

¿Te has preguntado alguna vez cómo tu navegador encuentra «elpais.com» sin que tú memorices una interminable lista de números? Ahí entra en juego el sistema DNS: el directorio telefónico de Internet. En este artículo vamos a desmenuzar cómo funciona, por qué a veces las páginas parecen tardar en actualizarse y qué trucos y curiosidades esconde este mecanismo invisible que hace que el mundo online sea, sorprendentemente, bastante ordenado.

La analogía básica: nombres fáciles para direcciones numéricas

En Internet, los dispositivos se identifican por direcciones IP (una secuencia de números). Para los humanos es más fácil recordar nombres como «youtube.com» que 142.250.190.78. El Sistema de Nombres de Dominio (DNS, por sus siglas en inglés) traduce esos nombres amigables en direcciones IP que entienden los ordenadores.

Quiénes intervienen en una consulta DNS

Cuando escribes una dirección en el navegador se desencadena una pequeña coreografía entre varios tipos de servidores:

Resolver (DNS recursivo): normalmente proporcionado por tu proveedor de internet o por servicios públicos. Es el primero al que preguntas y su trabajo es averiguar, por cualquier medio, la IP que corresponde al nombre.
Servidores raíz: la cima de la jerarquía. No contienen las direcciones finales, pero te indican qué servidor maneja los dominios de primer nivel (como .com, .es, .org).
Servidores TLD (Top-Level Domain): gestionan extensiones como .es, .com o .net. Te dirán cuál es el servidor autoritativo para el dominio concreto.
Servidores autoritativos: son los que realmente conocen la dirección del dominio que buscas. Su respuesta es la que finalmente te devuelve la IP.

Consulta recursiva vs iterativa (en lenguaje humano)

Imagínate que le pides dirección a un ejecutivo. En una consulta recursiva, el resolver actúa como un mayordomo: acepta la misión y va preguntando a otros servidores hasta encontrar la respuesta, devolviéndotela ya lista. En una consulta iterativa, te devuelven la mejor pista (por ejemplo, «pregunta al servidor X») y tú vas siguiendo las indicaciones. En la práctica, la mayoría de las consultas que hace tu ordenador son recursivas y las realiza el resolver de tu proveedor o el que configures.

Qué tipos de registros DNS existen y para qué sirven

Los registros DNS son pequeñas fichas con información sobre el dominio. Algunos de los más comunes:

A: apunta un nombre de dominio a una dirección IPv4.
AAAA: apunta a una dirección IPv6.
CNAME: alias; hacen que un dominio apunte a otro nombre en lugar de a una IP directa.
MX: indica los servidores de correo responsables de recibir emails para ese dominio.
NS: especifica qué servidores son autoritativos para el dominio.
TXT: texto libre que se usa para comprobaciones de seguridad, verificación de dominios y políticas como SPF.

Caching: la razón por la que Internet va rápido (y a veces se confunde)

Sin caché, cada petición tendría que recorrer toda la jerarquía cada vez y la red sería lenta. Por eso los resolvers y los navegadores guardan respuestas durante un tiempo determinado por el valor TTL (Time To Live). Si un registro tiene TTL 3600, se mantendrá en caché una hora.

Beneficios del caché: menos latencia, menos tráfico y respuestas más rápidas. Inconvenientes: si cambias una dirección IP en el servidor autoritativo, los usuarios que tengan la versión en caché seguirán viendo la antigua hasta que expire el TTL. Ese es el motivo de las «propagaciones» que tanto se comentan al migrar un dominio.

Algunas situaciones curiosas y prácticas del día a día

Estas situaciones te resultarán familiares y ayudan a comprender mejor el funcionamiento práctico del DNS:

Propagación lenta: cuando cambias registros puede tardar desde unos minutos hasta horas (dependiendo del TTL y de los caches intermedios).
DNS local vs público: tu operador te asigna un resolver por defecto, pero puedes cambiarlo por servicios públicos como Cloudflare (1.1.1.1) o Google (8.8.8.8 y 8.8.4.4). Estos pueden ser más rápidos o ofrecer funciones adicionales.
CDNs y balanceo de carga: las grandes plataformas usan el DNS para dirigir usuarios a servidores cercanos o menos saturados, devolviendo distintas IPs según el origen de la consulta.
DNS inverso: traduce una IP a un nombre. No todos los IPs tienen una entrada inversa, pero se usa mucho en servicios de correo y auditoría.

Seguridad: lo que puede fallar y cómo se protege

El DNS no se diseñó originalmente con privacidad o seguridad fuertes en mente, así que han surgido amenazas y soluciones:

Spoofing o envenenamiento de caché: atacar el sistema para que devuelva IPs falsas. Esto puede redirigir a usuarios a sitios maliciosos.
DNSSEC: añade firmas digitales a las respuestas DNS, permitiendo verificar su autenticidad. No cifra la petición, pero evita muchas suplantaciones.
DNS sobre HTTPS (DoH) y DNS sobre TLS (DoT): cifran las consultas DNS entre tu dispositivo y el resolver, evitando que quien supervise la red (por ejemplo, en una Wi‑Fi pública) vea las búsquedas DNS. Sin embargo, el resolver sigue conociendo las consultas.

Si algo falla: comprobaciones prácticas

Cuando una web no carga, el problema puede estar en DNS. Estos son pasos habituales para diagnosticar:

Comprobar que otros sitios funcionan. Si solo falla un dominio, puede ser DNS del dominio o del caché.
Cambiar de resolver: poner temporalmente 1.1.1.1 o 8.8.8.8 para ver si se soluciona.
Vaciar la caché DNS del equipo o del navegador. En muchas ocasiones eso basta.
Usar herramientas de consulta (como nslookup o dig) para ver qué responde el servidor autoritativo. Estas herramientas permiten inspeccionar registros y tiempos de respuesta.

Curiosidades técnicas y sociales

Un par de detalles que suelen sorprender:

Hay un conjunto limitado de servidores raíz (con copias y réplicas distribuidas), y aunque parezca frágil, la infraestructura está diseñada para alta disponibilidad.
El DNS, además de tecnología, tiene componente social: la gestión de extensiones y dominios implica organizaciones y políticas, por eso registrar o mover un dominio no es instantáneo en todos los casos.

¿Qué puedes hacer tú para aprovechar y proteger tu DNS?

Consejos útiles y sencillos:

Si tu conexión es lenta en resoluciones de nombres, prueba otros resolvers públicos.
Usa resolvers que soporten DoH o DoT si te preocupa la privacidad en redes públicas.
Si administras un dominio, establece TTLs inteligentes: valores bajos durante cambios planeados y más altos para producción estable.
Activa DNSSEC si tu proveedor y registrador lo permiten; añade una capa de confianza a los registros.

s frecuentes: ¿qué suele inquietar a la gente?

¿Por qué a veces una web tarda en actualizarse después de cambiar la IP?

Porque los resolvers guardan en caché la dirección durante el tiempo marcado por el TTL. Aunque el servidor autoritativo tenga ya la IP actualizada, los usuarios que consulten resolvers con la versión antigua en caché seguirán viendo la dirección anterior hasta que expire el TTL.

¿Puedo cambiar el servidor DNS de mi router o mi ordenador?

Sí. En la mayoría de routers puedes especificar manualmente los servidores DNS que usarán todos los dispositivos conectados. También se puede cambiar en cada sistema operativo o en la configuración de red del propio dispositivo. Sustituir el DNS del proveedor por uno público como 1.1.1.1 o 8.8.8.8 es una práctica común.

¿El DNS guarda un historial de las páginas que visito?

El resolver que uses conoce tus consultas DNS y, por tanto, puede registrar los nombres de dominio que visitas. Por eso la elección de un resolver confiable y con políticas de privacidad transparentes es importante. Cifrar las consultas con DoH o DoT evita que quien supervise la red local vea tus peticiones, pero el resolver sigue siendo capaz de registrarlas.

¿Qué es DNSSEC y por qué debería importarme?

DNSSEC añade firmas criptográficas a las respuestas DNS para garantizar que la información no ha sido manipulada en el camino. Ayuda a prevenir ataques de suplantación (spoofing). No cifra los datos, pero sí verifica su integridad.

¿Puedo bloquear contenido usando DNS?

Sí. Algunos resolvers o servicios DNS permiten filtrar dominios, bloqueando publicidad, rastreadores o sitios maliciosos. También hay soluciones locales para bloquear dominios a nivel de red doméstica configurando el router o un servidor DNS local.

¿Qué diferencia hay entre cambiar el DNS y usar una VPN?

Cambiar el DNS afecta a cómo se resuelven los nombres de dominio; no cifra el resto del tráfico. Una VPN cifra tu conexión y puede también usar sus propios servidores DNS para las consultas, ofreciendo privacidad adicional frente a observadores de la red.

Cómo funcionan los servidores DNS