Consulta CNAME: sigue un alias hasta donde termina
Un CNAME convierte un nombre en alias de otro, y en las cadenas de alias se esconden los problemas de DNS más raros. Escribe un nombre de host para seguir sus alias hasta el final, ver la dirección a la que se resuelve por fin y comprobar los dos fallos clásicos: un bucle y un alias que apunta a un nombre que ya no existe.
Cómo funciona un CNAME
En lugar de repetir una dirección IP, un CNAME dice «este nombre es igual a aquel». Un resolvedor consulta el destino y devuelve su respuesta. Las empresas lo usan para apuntar www o shop a una plataforma de alojamiento o a una CDN, de modo que cuando el proveedor cambia de servidores, no hay que cambiar nada de tu lado.
Se permiten cadenas: a puede apuntar a b, y b a c. Cada salto adicional cuesta una consulta, así que conviene mantenerlas cortas. Esta herramienta sigue hasta ocho.
Reglas que debe cumplir un CNAME
- Un nombre con un CNAME no puede tener ningún otro tipo de registro. Ni MX, ni TXT, nada.
- La raíz de un dominio debe contener registros SOA y NS, así que no puede ser un CNAME. Algunos proveedores ofrecen un ALIAS o el «aplanamiento de CNAME» (CNAME flattening) en la raíz, que resuelve el destino por su lado y publica registros A simples.
- El destino debe ser un nombre de host: no una dirección IP ni una URL.
- Un CNAME se aplica a todos los tipos de registro, así que apuntar un nombre a un destino también mueve su correo y sus registros de texto, a menos que estén en nombres separados.
CNAME colgantes: el agujero de seguridad silencioso
Supongamos que blog.example.com es un alias de example.hosting-platform.com. Cancelas el plan de alojamiento, pero olvidas el registro DNS. El alias ahora apunta a un nombre que ya no existe, y en algunas plataformas cualquiera puede registrar ese nombre y servir su propio contenido en tu subdominio. Eso es una toma de control de subdominio (subdomain takeover), y es uno de los hallazgos de seguridad de DNS más comunes.
Pasa tus subdominios por el rastreo de vez en cuando. Una cadena que termina en «este nombre no existe» es la que hay que eliminar.
Otras cosas que puede mostrar el rastreo
- Un bucle: la cadena vuelve a un nombre que ya visitó, así que el nombre nunca podrá resolverse.
- Una cadena larga: cada salto añade retraso, y algunos resolvedores se rinden tras un número limitado de saltos.
- Una cadena que termina en una dirección privada, a la que no se puede acceder desde internet. Esas direcciones se ocultan aquí.