Herramientas populares

Tema

Consulta DNS

Consulta DNS (DNS lookup) gratis para cualquier dominio, host o IP: verifique todos los registros DNS de un dominio en sus propios servidores de nombres, junto a lo que Google y Cloudflare tienen en caché, y vea cuándo un cambio ya llegó a todos.

Fuentes: los servidores de nombres autoritativos del dominio, alcanzados desde un servidor raíz · Google Public DNS · Cloudflare 1.1.1.1

3 fuentes, consultadas de nuevo

Un dominio, un host, una URL, un correo electrónico o una IP. Cada consulta vuelve a preguntar a los servidores: nada sale de nuestra caché.

Tipo de registro
Pruebe

Cómo lo consultamos 4 pasos · cerca de 1 s

  1. Raíz13 servidores raíz
  2. TLDlos servidores del registro
  3. Servidor de nombreslos servidores del dominio
  4. Respuestatodos los tipos
  5. Google8.8.8.8
  6. Cloudflare1.1.1.1

Cada consulta recorre el camino por sí misma: de un servidor raíz al registro del TLD, luego a los servidores de nombres del dominio para los registros tal como están ahora, y pregunta a Google y Cloudflare qué guardan aún en caché.

¿Qué muestra una consulta DNS?

Una consulta DNS (DNS lookup) le pregunta al sistema de nombres de dominio qué tiene para un nombre: las direcciones IP de un sitio web (A y AAAA), sus servidores de correo (MX), sus servidores de nombres (NS), sus registros de texto (TXT) y más. Esta comprobación de DNS consulta tres lugares a la vez: los servidores de nombres autoritativos del propio dominio, que tienen la versión vigente, y dos de los resolutores públicos más usados del mundo, Google Public DNS y Cloudflare 1.1.1.1, que sirven copias en caché a millones de personas.

Cuando no coinciden, ha encontrado la razón habitual por la que un cambio de DNS "no funciona": un resolutor todavía tiene la respuesta antigua y la conserva hasta que se agota el TTL del registro. El resultado le indica cuál, qué sigue sirviendo y cuánto falta para que se renueve.

Consulta DNS: registros de los servidores de nombres junto a la caché de Google y Cloudflare, la ruta desde la raíz y DNSSECConsulta DNS: registros de los servidores de nombres junto a la caché de Google y Cloudflare, la ruta desde la raíz y DNSSECLa rutaDesde un servidor raíz hasta el TLD del dominio y sus propios servidores de nombres, con lo que respondió cada uno y con qué rapidez.Actual o en cachéCada tipo de registro de los servidores de nombres del dominio junto a la copia de Google y Cloudflare, y el tiempo que le queda.Cada registro explicadoQué significa cada valor, en palabras: la prioridad del correo, los temporizadores del SOA, las reglas CAA, el servicio detrás de un token TXT.DNSSEC y correoSi las respuestas están firmadas y validadas, y la configuración MX, SPF y DMARC del dominio.
Una consulta DNS de github.com: la ruta desde la raíz, todos los tipos de registro y lo que sirven Google y Cloudflare. Seleccione un número para ver qué muestra cada parte.

Tipos de registros DNS explicados

La zona de un dominio contiene registros de distintos tipos, cada uno con un nombre, un TTL y un valor. Estos son los que muestra una consulta de registros DNS:

TipoQué contieneValor de ejemplo
AUna dirección IPv4 para el nombre: adonde se conectan los navegadores.203.0.113.20
AAAAUna dirección IPv6 para el nombre.2001:db8::20
CNAMEUn alias: este nombre es otro nombre; consulte ese en su lugar. No puede coexistir con otros registros, así que no puede estar en el ápice del dominio.www.example.com → example.com
MXUn servidor de correo del dominio, con una preferencia: se prueba primero el número más bajo. Un único MX con 0 y "." significa que el dominio no acepta correo.10 mail.example.com
NSLos servidores de nombres que contienen los registros del dominio.ns1.example.net
TXTTexto libre: SPF, DMARC y DKIM para el correo, y tokens que acreditan el dominio ante Google, Microsoft y otros.v=spf1 include:_spf.example.net -all
SOAEl inicio de autoridad de la zona: su servidor primario, el contacto, el número de serie y los temporizadores de actualización, reintento, caducidad y caché negativa.ns1.example.com hostmaster.example.com 2026102001 7200 3600 1209600 300
CAAQué autoridades de certificación pueden emitir certificados para el dominio.0 issue "letsencrypt.org"
HTTPSCómo conectarse antes de la primera solicitud: compatibilidad con HTTP/3, puertos y sugerencias de dirección. Chrome, Firefox y los sistemas de Apple lo solicitan.1 . alpn=h3,h2
SRVDónde se ejecuta un servicio (prioridad, peso, puerto, host), bajo nombres como _sip._tcp.10 5 5060 sip.example.com
PTREl nombre detrás de una dirección IP: DNS inverso.20.113.0.203.in-addr.arpa → host.example.com
DSDNSKEYDNSSEC: las claves públicas de la zona (DNSKEY) y su huella en la zona padre (DS), que encadenan las firmas hasta la raíz.2371 13 2 3299…

¿Cómo funciona una consulta DNS?

Su dispositivo no busca en todo internet. Le pregunta a un resolutor, normalmente el de su proveedor de internet o uno público como Google o Cloudflare, y el resolutor sigue las referencias a lo largo del nombre hasta que responde un servidor que tiene la respuesta:

  1. 1

    Preguntar a un servidor raíz

    Sin nada en caché, el resolutor empieza por uno de los 13 servidores raíz, de la a a la m, operados por 12 organizaciones. La raíz no conoce example.com, pero sabe quién gestiona .com. Un resolutor con mucho tráfico ya lo sabe y se salta este paso.

  2. 2

    Seguir la referencia al TLD

    Los servidores de .com tampoco tienen los registros de example.com. Remiten al resolutor a los servidores de nombres del propio dominio, los que figuran en sus registros NS.

  3. 3

    Obtener la respuesta autoritativa

    Los servidores de nombres del dominio responden con el indicador AA (authoritative answer, respuesta autoritativa) activado: es el registro tal como lo publicó su titular.

  4. 4

    Guardarla en caché durante el TTL

    El resolutor conserva la respuesta durante el tiempo que indica su TTL y entrega la misma copia, con el TTL en cuenta regresiva, a todos los que pregunten hasta que se agote.

Esta herramienta recorre ella misma esa ruta desde la red de Cloudflare, para que vea cada paso. Después pide a Google y a Cloudflare que muestren lo que tienen en caché.

Ruta desde la raíz

  1. Raíza.root-servers.net16 ms · referencia: los 13 servidores de .com
  2. .COMa.gtld-servers.netVerisign · 150 ms · referencia: ns1–ns2.example.com
  3. Servidor de nombresns1.example.comexample.com · 203.0.113.53 · 20 msrespuesta autoritativa (AA) · 11 tipos en una sola conexión TCP
  4. Respuesta8 registros de 7 tiposNOERROR en 31 ms · 4 sin datos (CNAME, HTTPS, DNSKEY, DS)
  1. Google Public DNS8.8.8.8mismos registros · la copia más antigua se renueva en 2:58
  2. Cloudflare DNS1.1.1.1mismos registros · la copia más antigua se renueva en 4:04
La misma ruta tal como la dibuja el resultado: una consulta de example.com

¿Por qué sigo viendo el registro DNS antiguo?

Porque un resolutor lo guardó en caché. Cada registro lleva un TTL (time to live, tiempo de vida) en segundos, y un resolutor que obtuvo el registro sigue sirviendo su copia hasta que ese tiempo se agota; luego vuelve a preguntar. Cambiar el registro en su proveedor DNS cambia la respuesta autoritativa al instante; los resolutores que ya tienen el antiguo lo conservan hasta que caduca.

Así que un cambio tarda lo que dure el TTL del registro antiguo, no un plazo fijo de 24 a 48 horas, y a menudo menos: un TTL es un máximo, y Google Public DNS conserva los registros unas seis horas como máximo. Un registro que falta también se guarda en caché: "no existe ese nombre" o "no hay registros de ese tipo" se conserva durante el menor entre el TTL del registro SOA y su último campo, MINIMUM. Incluso un fallo se guarda en caché, hasta 5 minutos.

Qué puede hacer

  • Compruebe aquí la respuesta autoritativa. Si los servidores de nombres del propio dominio muestran el valor nuevo, el cambio está hecho; solo las cachés van atrasadas.
  • Baje el TTL antes de un cambio planificado, con al menos un TTL antiguo de antelación, para que las cachés descarten rápido el valor antiguo. Vuelva a subirlo después.
  • Pida a Google y Cloudflare que descarten su copia: ambos tienen una página pública que renueva un nombre en su caché (Google, Cloudflare).
  • Vacíe la caché de su computadora: en Windows, ejecute ipconfig /flushdns.
  • Autoritativons1.example.com · indicador AA

    El servidor de nombres del propio dominio. Lo que responda es el registro actual: cámbielo aquí y el resto lo seguirá.

  • En caché8.8.8.8 · TTL en cuenta regresiva

    La copia de un resolutor, servida hasta que se agota su TTL. Es lo que ve la mayor parte del mundo, y la razón por la que un cambio parece "no funcionar".

  • Su propia cachésu computadora · su router

    Su computadora y su router también guardan copias. Vaciar la caché DNS limpia la de la computadora; la del router caduca por sí sola.

nslookup y dig: comandos para hacer una consulta DNS

Las mismas consultas desde una terminal: nslookup viene con Windows, macOS y Linux; dig, con macOS y la mayoría de los sistemas Linux; y Resolve-DnsName, con PowerShell en Windows. El resultado de arriba le da los comandos de la consulta exacta que hizo.

Para consultarCon nslookupCon dig
Registros Anslookup example.comdig example.com
Servidores de correonslookup -type=MX example.comdig example.com MX
Registros de textonslookup -type=TXT example.comdig example.com TXT
Preguntar a un resolutor concretonslookup example.com 8.8.8.8dig @8.8.8.8 example.com
DNS inversonslookup 8.8.8.8dig -x 8.8.8.8
Solo los valores—dig +short example.com
La ruta desde la raíz—dig +trace example.com

"Non-authoritative answer" (respuesta no autoritativa) en la salida de nslookup significa que la respuesta vino de un resolutor, no de los servidores de nombres del propio dominio. Para obtener la autoritativa, indique como servidor uno de los servidores de nombres del dominio: nslookup example.com ns1.example.net.

ANY no significa todos los registros: un servidor puede responder con un solo tipo, o con un marcador que solo dice "RFC8482", y 1.1.1.1 lo rechaza. Esta herramienta consulta cada tipo por separado. El dig que viene con macOS no conoce los registros HTTPS: pida TYPE65 en su lugar.

Errores DNS: NXDOMAIN, SERVFAIL y REFUSED

Toda respuesta DNS lleva un código de respuesta. Un resultado vacío no siempre es un error, y el código indica dónde buscar:

RespuestaQué significaQué revisar
NOERROREl nombre existe y se devolvieron registros del tipo consultado.Nada; compare los valores.
NODATAEl nombre existe, pero no tiene registros de este tipo: es NOERROR con una respuesta vacía, no un código propio.Agregue el registro en su proveedor DNS si debería existir.
NXDOMAINEl nombre no existe en absoluto, y tampoco ningún nombre por debajo de él.La ortografía, que el dominio esté registrado y no haya vencido y, en un subdominio, que se haya creado.
SERVFAILEl resolutor no pudo obtener una respuesta válida: fallaron los servidores de nombres o la validación DNSSEC.El veredicto DNSSEC y que los servidores de nombres del dominio respondan.
REFUSEDEl servidor no responde a esta consulta: no es autoritativo para el dominio y no hace consultas recursivas para usted.Que los registros NS apunten a servidores que alojan la zona.
TimeoutNinguna respuesta.Si los servidores de nombres están caídos, bloqueados o tienen una dirección incorrecta.

DNSSEC: ¿seguro, sin firmar o roto?

DNSSEC firma los registros de una zona para que un resolutor pueda demostrar que no fueron falsificados. La zona padre publica un registro DS, una huella de la clave del dominio, y el dominio publica sus claves en registros DNSKEY, de modo que las firmas se encadenan hasta la raíz. Google Public DNS y Cloudflare 1.1.1.1 lo validan.

  • DNSSEC seguro

    Seguro

    Firmado, y el resolutor validador de Google comprobó las firmas: su respuesta llevaba el bit AD (authenticated data, datos autenticados), con el que declara que la respuesta se validó.

  • DNSSEC sin firmar

    Sin firmar

    No hay registro DS en la zona padre: la zona no está firmada. Resuelve con normalidad; simplemente no se puede demostrar que sus respuestas sean auténticas.

  • DNSSEC roto

    Roto

    La validación falla, así que los resolutores que validan responden SERVFAIL y el dominio queda inaccesible para sus usuarios, aunque los datos están ahí si se desactiva la comprobación. Una causa típica es un DS en la zona padre que no coincide con ninguna de las claves de la zona, tras un cambio a un nuevo proveedor DNS.

Registros de correo en una consulta DNS

El correo de un dominio va a sus servidores MX, y los receptores revisan registros TXT antes de confiar en él: SPF enumera los servidores autorizados a enviar en nombre del dominio, en un único registro que puede provocar como máximo 10 consultas DNS; DMARC, en _dmarc, indica qué hacer con el correo que falla, y cuando un subdominio no tiene uno se busca subiendo por el nombre (RFC 9989, desde mayo de 2026); MTA-STS, en _mta-sts, pide a los remitentes que entreguen por TLS. El resultado los lee todos e identifica el proveedor de correo detrás de los hosts MX.

Para revisar a fondo un registro concreto, use la Consulta MX, el Verificador SPF y el Verificador DMARC.

API de consulta DNS

Dos endpoints gratuitos, con CORS para navegadores. /api/dns-query consulta un tipo a un resolutor y conserva los campos de nuestra API anterior; /api/dns-lookup transmite la consulta completa de esta página en líneas JSON.

Un tipo desde un resolutor
$ curl -X POST https://dnsrobot.net/api/dns-query \
    -H "Content-Type: application/json" \
    -d '{"domain": "google.com", "recordType": "MX", "dnsServer": "8.8.8.8"}'
{
  "status": "success", "responseTime": 4,
  "resolvedIPs": ["10 smtp.google.com"],
  "dnsServer": "8.8.8.8", "recordType": "MX", "domain": "google.com", …
}
La consulta completa, en streaming
$ curl "https://dnsrobot.net/api/dns-lookup?domain=google.com"
{"t":"start","name":"google.com","kind":"name","types":["A","AAAA","CNAME","MX",…]}
{"t":"hop","hop":{"zone":".","server":"a.root-servers.net","ms":16,"outcome":"referral",…}}
{"t":"answers","source":"google","server":"dns.google","sets":[{"type":"A",…}]}
{"t":"answers","source":"auth","server":"ns1.google.com","sets":[…]}
{"t":"dnssec","verdict":"unsigned",…}
{"t":"done","ms":57}

Preguntas frecuentes sobre la consulta DNS

¿Qué es un DNS lookup o consulta DNS?

Un DNS lookup, o consulta DNS, le pide al sistema de nombres de dominio los registros de un nombre: las direcciones IP de un sitio web, sus servidores de correo, sus servidores de nombres, sus registros de texto y más. Su dispositivo hace una cada vez que abre un sitio. Esta herramienta muestra todos los tipos de registro a la vez, desde los servidores de nombres del propio dominio y desde los resolutores públicos de Google y Cloudflare.

¿Cómo comprobar los registros DNS de un dominio?

Para verificar los DNS de un dominio, escríbalo arriba y elija Todos: la herramienta pide cada tipo de registro (A, AAAA, CNAME, MX, NS, TXT, SOA, CAA, HTTPS, DNSKEY y DS) a los servidores de nombres autoritativos del dominio y muestra junto a cada uno la copia en caché de Google y Cloudflare. Elija un solo tipo para ver solo ese, o copie los comandos dig y nslookup para hacer la misma consulta usted mismo.

¿Puedo hacer un nslookup online?

Sí: esta página es un nslookup online, con más detalle. nslookup pregunta un tipo de registro a un servidor; aquí obtiene todos los tipos a la vez, la respuesta autoritativa y la caché de dos resolutores, los TTL y la ruta desde la raíz. El resultado también muestra los comandos exactos de nslookup, dig y Resolve-DnsName para su consulta, listos para ejecutarlos en una terminal.

¿Cuánto tarda en verse un cambio de DNS?

Lo que dure el TTL del registro antiguo. Los servidores de nombres del dominio sirven el valor nuevo al instante, pero los resolutores que guardaron el antiguo en caché lo conservan hasta que se agota su TTL: 300 segundos son cinco minutos; 86400, un día. El resultado muestra el tiempo que les queda a las copias de Google y Cloudflare. Baje el TTL un día antes de un cambio planificado.

¿Qué es una respuesta no autoritativa?

Una respuesta que viene de la caché de un resolutor y no de los servidores de nombres del propio dominio. nslookup muestra "Non-authoritative answer" cada vez que usted consulta a un resolutor, que es casi siempre. Suele ser correcta, pero puede estar desactualizada hasta que se agote su TTL. Una respuesta autoritativa viene de los servidores de nombres de la zona con el indicador AA activado; esta herramienta la obtiene bajando desde la raíz.

¿Qué significa NXDOMAIN?

NXDOMAIN significa que el nombre no existe en el DNS. En un dominio, revise la ortografía y que esté registrado y no haya vencido; la Consulta WHOIS muestra su estado. En un subdominio, el registro nunca se creó o se eliminó. Un nombre que existe pero no tiene registros del tipo consultado recibe en cambio NOERROR con una respuesta vacía, que a menudo se llama NODATA.

¿Qué significa SERVFAIL?

SERVFAIL significa que el resolutor no pudo obtener una respuesta válida. O los servidores de nombres del dominio están caídos o mal configurados, o falló la validación DNSSEC, lo que hace que resolutores validadores como los de Google y Cloudflare rechacen la respuesta. Esta herramienta distingue ambos casos: cuando los datos llegan con la comprobación desactivada, el veredicto DNSSEC dice Roto.

¿Qué es el TTL en DNS?

El TTL (time to live, tiempo de vida) son los segundos que un resolutor puede conservar un registro en su caché antes de volver a preguntar. Cada registro tiene el suyo. Un TTL corto, como 300 segundos, hace que los cambios se difundan rápido pero genera más consultas; uno largo, como 86400 segundos (un día), ahorra consultas pero tarda en cambiar. Las copias en caché descuentan el tiempo; por eso aquí los TTL de Google y Cloudflare son menores.

¿Cómo hago una consulta de DNS inverso?

Escriba la dirección IP arriba. La herramienta la convierte en su nombre inverso (8.8.8.8 pasa a ser 8.8.8.8.in-addr.arpa), pide el registro PTR y luego comprueba el nombre en sentido directo: cuando ese nombre resuelve de vuelta a la misma IP, el DNS inverso está confirmado, algo que revisan los servidores de correo. Desde una terminal: nslookup 8.8.8.8 o dig -x 8.8.8.8.

¿Cómo conocer los DNS (servidores de nombres) de un dominio?

Consulte el dominio y lea los registros NS, o la ruta de la derecha: muestra los servidores de nombres a los que remite el TLD del dominio y los marca si los registros NS del propio dominio indican otros. El resultado también nombra a la empresa que los gestiona, como Cloudflare, AWS Route 53 o el registrador del dominio.

¿Qué diferencia hay entre una consulta DNS y una prueba de propagación DNS?

Una consulta DNS muestra todos los registros de un dominio con sus detalles, desde sus propios servidores de nombres y dos grandes resolutores. Una prueba de propagación pregunta un tipo de registro a decenas de resolutores de todo el mundo para ver adónde ha llegado un cambio. Empiece aquí para ver la versión vigente y la caché, y luego use el verificador de propagación DNS de nuestra página de inicio para la vista global.

¿Esta consulta DNS es gratis? ¿Guardan lo que consulto?

Es gratis, sin cuenta y sin CAPTCHA; para proteger a los servidores que consultamos, una red puede hacer 20 consultas por minuto. La consulta se hace desde nuestro servidor en la red de Cloudflare, así que los servidores de nombres del dominio ven nuestra dirección, no la suya. No se guarda nada en caché: cada consulta pregunta de nuevo. No registramos quién consultó qué.

¿Le falta algo?Sugiera una función o una herramienta nueva

Más herramientas DNS