La monitorización DNS vigila los registros DNS de tu dominio y te avisa en cuanto uno de ellos cambia. Esto importa porque un registro modificado no provoca una caída evidente. Si alguien apunta tu dominio a otro servidor o tus registros de correo a otro proveedor, todo puede parecer normal mientras el tráfico y el correo van a otra parte. La monitorización DNS compara los propios registros, así que detecta cambios que las comprobaciones de uptime pueden pasar por alto.
Por qué los cambios de DNS son peligrosos
El DNS traduce tu nombre de dominio en las direcciones de tus servidores web y de correo. Quien controla esos registros controla adónde van tus visitantes y tu correo. Los cambios se producen por tres motivos:
Cambios planificados: una migración de servidor, un nuevo proveedor de correo, un cambio de CDN. No pasa nada, pero quieres confirmar que se han aplicado correctamente.
Errores: un compañero edita el registro equivocado, una migración de proveedor pierde un registro TXT, un cambio de TTL tiene efectos secundarios.
Secuestro: alguien consigue acceso a tu cuenta del registrador o del proveedor de DNS, a menudo mediante una contraseña robada por phishing, y cambia los registros.
Con un secuestro, el atacante puede mostrar a los visitantes una copia de tu página de inicio de sesión, interceptar el correo o emitirse certificados para tu dominio. La monitorización no puede impedir que alguien inicie sesión, pero reduce el tiempo que tardas en darte cuenta de días a minutos.
Los registros DNS que debes vigilar
Cada tipo de registro controla algo distinto. Un buen monitor DNS los cubre todos:
A y AAAA: las direcciones IPv4 e IPv6 de tu web. Un cambio envía a los visitantes a otro servidor.
CNAME: alias, que se suelen usar para www, CDN y servicios de terceros. Un cambio puede entregar un subdominio a otra persona.
MX: dónde se entrega el correo del dominio. Un cambio puede desviar todo el correo entrante.
NS: qué servidores de nombres son autoritativos para el dominio. Un cambio cede el control de todos los demás registros a quien gestione los nuevos servidores de nombres. Trátalo como la alerta más crítica.
SOA: el registro de inicio de autoridad de la zona, que indica el servidor de nombres principal y la dirección de contacto de la zona. Un cambio aquí puede significar que la zona se ha trasladado a otro proveedor.
TXT: registros SPF, DKIM, DMARC y de verificación de dominio. Los cambios influyen en si tu correo es de confianza y en quién puede verificar la propiedad de tu dominio en otros servicios.
CAA: qué autoridades de certificación pueden emitir certificados para tu dominio. Un cambio puede abrir la puerta a certificados que no has solicitado.
Cómo funciona la monitorización DNS
Añades un dominio y eliges los tipos de registro que quieres vigilar.
El monitor resuelve los registros periódicamente y guarda los valores actuales.
Cuando un valor difiere del último conocido, recibes una alerta con los registros antiguos y los nuevos.
El cambio queda guardado en un historial, para que veas exactamente qué cambió y cuándo.
Uptimecheck monitoriza los registros A, AAAA, CNAME, MX, NS, SOA, TXT y CAA, guarda un historial de cambios y envía una alerta con cada cambio.
Cómo son los cambios normales
Algunos registros cambian por sí solos, y conviene saber cuáles. El número de serie del SOA aumenta con cada edición de la zona; por eso Uptimecheck deja fuera el número de serie y solo compara el servidor de nombres y la dirección de contacto del registro SOA. Algunos proveedores de DNS rotan registros para el balanceo de carga o la conmutación por error, lo que puede hacer que los registros A cambien con regularidad. Las CDN pueden devolver direcciones distintas según la ubicación.
Antes de fiarte de las alertas, observa tus registros durante una semana. Anota cuáles cambian como parte del funcionamiento normal y asegúrate de que el equipo sabe cómo es un cambio esperado. A partir de ahí, cualquier cambio que se salga del patrón merece una revisión más a fondo.
Monitorizar la autenticación del correo
Los registros TXT merecen especial atención porque deciden si tu correo llega a la bandeja de entrada:
SPF enumera los servidores autorizados a enviar correo en nombre de tu dominio. Si cambia de forma inesperada, puede que alguien haya añadido su propio servidor.
DKIM publica la clave pública que los servidores receptores usan para verificar tus firmas.
DMARC indica a los receptores qué hacer con el correo que no supera esas comprobaciones.
Un registro roto o eliminado puede mandar tus newsletters, facturas y restablecimientos de contraseña a spam. Un registro que añade un remitente desconocido puede permitir que alguien envíe correo que parece tuyo. Ambos casos aparecen como un cambio en TXT.
Una alerta de cambio te dice que algo se ha movido, no si el resultado es correcto. Para eso, el monitor de dominios de Uptimecheck comprueba SPF, DKIM y DMARC dos veces al día y te dice cómo solucionar cada problema, con un registro DNS listo para pegar cuando eso lo resuelve. Consulta la monitorización de la autenticación del correo.
Qué hacer ante una alerta de cambio de DNS
Cuando llegue una alerta, revísala rápido:
¿Estaba planificado? Pregunta a quien gestione el DNS. Si es así, confirma que los nuevos valores son correctos.
Si no, compara los valores. ¿La nueva dirección IP es tuya? ¿El nuevo host MX pertenece a tu proveedor de correo? ¿Los nuevos servidores de nombres son los de tu proveedor de DNS?
Protege las cuentas. Si el cambio no lo has hecho tú, cambia las contraseñas del registrador y del proveedor de DNS, revisa quién tiene acceso y activa la autenticación en dos pasos.
Restaura los registros a partir del historial.
Contacta con tu registrador si no consigues recuperar el control, sobre todo tras un cambio de NS.
Busca efectos secundarios: certificados emitidos durante ese periodo, correo recibido por el servidor equivocado y visitantes que puedan haber visto una página falsa.
Informa a los clientes si sus datos pueden haberse visto afectados, y usa tu página de estado para las actualizaciones.
Cómo prevenir el secuestro de DNS
La monitorización detecta. Estas medidas ponen las cosas más difíciles desde el principio:
Activa la autenticación en dos pasos en las cuentas del registrador y del proveedor de DNS.
Activa el bloqueo de registrador para que el dominio no pueda transferirse sin pasos adicionales.
Limita el número de personas con acceso y revísalo con regularidad.
Usa un registro CAA para limitar qué autoridades de certificación pueden emitir certificados.
Mantén actualizados los datos de contacto del registrador para que te lleguen los correos de seguridad.
Monitoriza también la caducidad del dominio. Un dominio caducado es la forma más fácil de apropiarse de él. Consulta la monitorización de dominios.
Checklist de monitorización DNS
Haz una lista de todos tus dominios, incluidos los de redirección y los de campañas.
Añade monitores DNS para NS, A, AAAA, CNAME, MX, TXT, SOA y CAA.
Envía las alertas de DNS a un canal compartido que se lea rápido.
Acordad que todo cambio planificado se anuncie, para que los no planificados destaquen.
Protege las cuentas del registrador y de DNS con 2FA y bloqueo de registrador.
Añade monitorización de dominios y monitorización SSL para esos mismos dominios.
Revisa el historial de cambios después de cada migración.
Resumen
Los cambios de DNS son silenciosos: ninguna página de error, ninguna comprobación fallida, solo tráfico que va a otra parte. Monitorizar los propios registros, con alertas e historial, hace visible cualquier cambio en cuestión de minutos.
La monitorización DNS está incluida en Uptimecheck junto con la monitorización de uptime, SSL, dominios y servidores. Pruébalo gratis durante 14 días, sin tarjeta de crédito.