Delegación DNS: cómo funciona entre registrador y proveedor

La delegación DNS es el mecanismo por el que la autoridad sobre una parte de la jerarquía de nombres DNS se asigna a otro conjunto de servidores de nombres. Un registrador de dominios suele controlar la delegación de servidores de nombres que se envía al registro, mientras que un proveedor de alojamiento DNS sirve los registros de la zona a la que apunta esa delegación. Son responsabilidades relacionadas pero independientes. El registrador no aloja necesariamente los registros A, MX o TXT, y el proveedor de DNS no puede cambiar la delegación del padre a menos que también gestione los ajustes del lado del registrador. Cuando los registros modificados en un panel no aparecen públicamente, una delegación incorrecta o inesperada es de lo primero que hay que verificar.

Sigue la autoridad del padre al hijo

Un resolvedor recursivo empieza con la información de confianza de la raíz y sigue las referencias a través de la jerarquía DNS. La raíz apunta a un dominio de nivel superior, como .com; el TLD apunta a los servidores de nombres autoritativos del dominio; y esos servidores proporcionan los registros del dominio o nuevas delegaciones. Cada referencia identifica quién es responsable de la parte siguiente. La delegación permite que convivan millones de zonas gestionadas por separado sin necesidad de que un único servidor global contenga todos los registros. También significa que un error en un solo traspaso puede hacer inaccesible una zona que por lo demás es correcta.

1. Crea y rellena la zona de destino en el proveedor de DNS previsto.
2. Confirma los nombres de host de los servidores de nombres autoritativos que asigna el proveedor.
3. Establece la delegación del dominio en el registrador o en el plano de control del padre.
4. Verifica las respuestas NS públicas y consulta directamente los servidores autoritativos.
5. Comprueba los registros clave del sitio web, del correo y de verificación tras el cambio.

Cuando un servidor de nombres delegado está dentro del dominio al que sirve, pueden hacer falta registros glue en el padre para que los resolvedores encuentren la IP del servidor sin tener que preguntárselo antes a ese mismo servidor. Los proveedores y registradores suelen guiar a los clientes en esta configuración, pero quienes operan servidores de nombres propios necesitan entender la dependencia. Un error tipográfico, un glue ausente o una delegación incoherente pueden provocar timeouts o fallos aunque el servidor DNS esté en marcha. Los nombres de host de servidores de nombres estándar que ofrecen los proveedores gestionados suelen evitar que los clientes tengan que ocuparse de este detalle de bajo nivel.

Por qué el proveedor equivocado puede parecer correcto

Un panel de DNS puede mostrar una zona completa aunque ese proveedor no sea autoritativo para el dominio público. Quizá el dominio siga delegado en un proveedor anterior, quizá la actualización en el registrador no haya terminado, o quizá un subdominio esté delegado por separado. En esos casos, editar la zona inactiva no cambia nada de lo que ven los resolvedores públicos habituales. Comprueba los registros NS desde fuera del panel del proveedor y compáralos con los servidores de nombres asignados a la zona. Si un subdominio tiene su propia delegación NS, los registros de esa rama pueden gestionarse de forma independiente del padre.

Durante una migración de proveedor, mantén disponible la zona antigua mientras la delegación y las cachés hacen la transición. Reducir los TTL de los registros con antelación solo ayuda cuando el TTL antiguo ha tenido tiempo de caducar. Copia los registros de correo, de validación y de subdominios, no solo la dirección del sitio web. Una vez que cambie la delegación, consulta los nuevos servidores autoritativos y compara las respuestas con la zona preparada. Una migración está completa cuando los nombres esperados se resuelven correctamente desde la autoridad prevista y se han probado los servicios que dependen de ellos, no simplemente cuando un formulario del registrador indica que todo fue bien.

Para seguir leyendo, consulta qué es un registro NS, los servidores de nombres y la delegación de dominios y cómo verificar una migración de DNS. Una consulta DNS pública puede mostrar las respuestas visibles para un resolvedor, mientras que una consulta autoritativa ayuda a verificar la propia zona. Separar la delegación en el registrador del alojamiento de registros es la clave para diagnosticar dónde hay que hacer realmente un cambio de DNS.

Prepara un traspaso de delegación claro

Para un traspaso de delegación limpio, identifica la fecha y hora exactas en que se envía el cambio en el registrador, quién puede revertirlo y qué comprobaciones de resolvedores confirmarán que ha terminado. Mantén un contacto con autoridad en el proveedor de DNS antiguo y en el nuevo durante la transición. Si el dominio usa servidores de nombres propios o zonas hijas delegadas, incluye esas dependencias en el runbook. Una actualización correcta en el registrador no demuestra que cada nombre de host de servidor de nombres se resuelva ni que se hayan copiado todos los registros de servicio. Verifica desde fuera de la cuenta los datos NS, respuestas A y AAAA representativas, los destinos MX y las políticas TXT críticas. Así el equipo dispone de una lista de comprobación que cubre la autoridad y los servicios que dependen de la zona delegada. Tras la transición, retira el proveedor antiguo solo cuando el equipo haya confirmado que la nueva autoridad sirve todos los registros esperados y que ha terminado el periodo de reversión. Guarda la fecha, los valores de delegación y los resultados de la verificación en el ticket del cambio para que un futuro administrador pueda entender qué servicio de DNS es el titular del dominio.