Qué es el DNS inverso: los registros PTR explicados

El DNS ordinario responde a «¿qué dirección tiene este nombre?». El DNS inverso responde a lo contrario: «¿qué nombre corresponde a esta dirección?». El tipo de registro que lo proporciona es PTR, abreviatura de pointer (puntero).

Por qué no es simplemente una consulta al revés

Los dos sentidos son realmente independientes. Los registros directos viven en la zona de tu dominio, que controlas tú. Los registros inversos viven en una zona especial derivada de la propia dirección IP, y esa zona pertenece a quien sea titular del bloque de direcciones.

Address:  93.184.216.34
IPv4 zone: 34.216.184.93.in-addr.arpa

Los octetos se invierten porque DNS lee la
jerarquía de derecha a izquierda: primero va la red.

IPv6 usa la misma idea bajo ip6.arpa, con cada dígito hexadecimal invertido individualmente, lo que produce un nombre largo pero mecánicamente sencillo.

Por qué les importa a los servidores de correo

El DNS inverso importa de verdad en un solo lugar: la entrega de correo. Cuando tu servidor se conecta para entregar un mensaje, el servidor receptor suele hacer una consulta inversa de la dirección que se conecta como primera comprobación de legitimidad.

• Ningún registro PTR es una señal fuerte de spam. Los servidores de correo legítimos casi siempre tienen uno; los equipos domésticos comprometidos normalmente no.
• Un PTR genérico del proveedor, algo como 93-184-216-34.dynamic.isp.net, marca la dirección como residencial o dinámica, y muchos servidores rechazan sin más el correo de esas direcciones.
• Un PTR que no coincide con el registro directo parece mal configurado o falsificado.

dig +short -x 93.184.216.34
# -> mail.example.com.

dig +short mail.example.com
# -> 93.184.216.34   (these must match)

Cómo configurarlo

1. 1

   Confirma que tienes una dirección dedicada

   Una dirección de alojamiento compartido no puede tener un registro PTR que te sirva de algo: la comparte con todos los demás que están en ella. Consulta compartida frente a dedicada.

2. 2

   Crea primero el registro directo

   Añade un registro A para el nombre de host de tu correo, por ejemplo mail.example.com, apuntando a la dirección. Hazlo antes de solicitar el PTR para que la pareja coincida de inmediato.

3. 3

   Solicita el PTR a quien sea titular de la dirección

   Los proveedores de nube lo ofrecen en su consola: AWS exige una solicitud de soporte, DigitalOcean lo deriva del nombre del droplet, Hetzner y Linode ofrecen un campo directo. Un proveedor de alojamiento tradicional suele requerir un ticket.

4. 4

   Haz que el nombre de host coincida con el HELO de tu servidor de correo

   Tu servidor de correo anuncia un nombre de host al conectarse. Ese nombre, el PTR y el registro directo deben coincidir. Las discrepancias entre el HELO y el PTR son en sí mismas una señal de spam.

5. 5

   Verifica ambos sentidos

   Ejecuta los dos comandos anteriores y confirma que coinciden. Después, envía un mensaje de prueba a un servicio que informe de los resultados de autenticación.

Dónde no importa el DNS inverso

Es fácil invertir demasiado esfuerzo aquí. El DNS inverso es esencialmente irrelevante para:

• Los sitios web. Los navegadores nunca hacen una consulta inversa. La falta de un PTR no tiene ningún efecto en tu sitio, ni en el SEO.
• El correo enviado a través de un proveedor. Si Google, Microsoft o SendGrid envían tu correo, se conectan sus servidores y se aplica su PTR. El tuyo es irrelevante.
• Las direcciones detrás de una CDN. Los visitantes llegan al borde, y el proveedor controla ese registro inverso.

Las consultas inversas como herramienta de investigación

El DNS inverso también es una forma rápida de identificar qué es una dirección dada. Las direcciones que pertenecen a un proveedor casi siempre se invierten a un nombre de host descriptivo:

Es la forma más rápida de saber si una dirección que has resuelto pertenece a una CDN y no a un servidor de origen: consulta por qué una CDN oculta la IP de origen.