Comprender el DNS y por qué asuntos de migración segura

El sistema de nombres de dominio (DNS) es el manual de Internet. Cuando alguien escribe su dominio en un navegador, DNS traduce ese nombre legible por humanos en la dirección IP donde se hospeda su sitio web, correo electrónico u otros servicios. Migrar sus registros DNS de un proveedor a otro, o actualizarlos dentro del mismo proveedor, cambia cómo el mundo alcanza sus activos digitales. Un único registro de bocetos puede causar que su sitio no esté conectado, por email.

La migración segura significa tiempo de inactividad cero o casi cero, sin pérdida de servicio y sin exposición indeseada a vulnerabilidades. Esta guía ampliada le recorre por cada fase, desde el descubrimiento inicial hasta la validación final, para que pueda migrar con confianza. Cubriremos tipos de discos, optimización TTL, estrategias de respaldo, cambios de servidor de nombres, monitoreo de propagación y saltos comunes, todo en pasos claros y prácticos.

Recursos externos como El centro de aprendizaje DNS de Cloudflare] y La visión general de la CINN proporcionan un contexto fundacional, pero esta guía se centra en los pasos operativos que necesita ejecutar.

Preparación antes de la migración

La preparación adecuada es el factor más importante en una migración segura de DNS. La comercialización de cambios sin un inventario completo de sus registros es una receta para el desastre. Comience por auditar su entorno DNS actual desde el panel de control de su proveedor actual o API.

Inventario Todos los tipos de registro DNS activos

Crear una lista detallada de cada registro en su zona. Esto incluye no sólo los registros obvios de A y CNAME, sino también tipos menos utilizados como SRV, NS, PTR (rare para alojamiento de nivel de dominio), y CAA. Para la mayoría de los dominios, es probable que encuentre:

  • Un registro – nombre de host de mapa a direcciones IPv4
  • AA registra – nombres de host de mapa a direcciones IPv6
  • CNAME records – alias one name to another (e.g., www to root domain)
  • MX records – tráfico de correo electrónico directo a servidores de correo
  • TXT records] – port machine-readable text, commonly used for SPF, DKIM, DMARC, and domain verification tokens
  • Registros : especificar servidores de nombres autorizados para subdominios (menos comunes para cambiar)
  • Registros de RV – definir servicios como SIP, LDAP o CalDAV
  • [Archivos de la CEA ]]]: permitir que las autoridades certificadoras expidan certificados SSL para el dominio

Exporte su archivo de zona si su proveedor lo soporta. La mayoría de los paneles de control tienen una opción “Export Zone” o “Download Zone File”. Si no, copie manualmente cada registro en una hoja de cálculo, notando el nombre, tipo, valor, TTL y prioridad (para MX y SRV).

Comprender los valores de tiempo a vivo (TTL)

TTL determina cuánto tiempo los usuarios de DNS resuelven sus registros. Un TTL alto (por ejemplo, 86400 segundos = 24 horas) significa que los cambios se propagan lentamente. Un TTL bajo (por ejemplo, 300 segundos = 5 minutos) permite actualizaciones rápidas pero aumenta la carga de consulta. Antes de la migración, usted debe menor TTLs

Nota: Algunos proveedores permiten cambios TTL sólo a través de su interfaz; plan en consecuencia. Para los registros relacionados con el correo electrónico (MX, SPF, DKIM), los TTL bajos son especialmente importantes porque los problemas de envío de correo electrónico pueden ser difíciles de diagnosticar.

Identificar las dependencias y los interesados directos

Sus registros DNS no existen en un vacío. Se conectan a la web hosting, servicios de correo electrónico, API de terceros, CDNs, balanceadores de carga y sistemas de autenticación.

  • Mapear cada servicio que se base en un registro DNS. Por ejemplo, un subdominio api.example.com puede ser utilizado por su aplicación móvil.
  • Informa a tu equipo, clientes o interesados relevantes acerca de la ventana de cambio planeada. Incluso con una planificación cuidadosa, breves lazos de propagación pueden causar problemas intermitentes.
  • Asegúrese de tener acceso administrativo tanto al antiguo proveedor de DNS como al nuevo proveedor, así como a su registrador de dominio (donde se establecen los servidores de nombres).

Prueba tu proceso de respaldo y restauración

Práctica literal de restaurar de su copia de seguridad en un entorno de no producción si es posible. Algunos proveedores ofrecen una “sandbox” o zona secundaria. Verifique que puede importar el archivo de zona en el nuevo proveedor sin errores de sintaxis. Herramientas como DNS Scanner] o ZoneCut puede validar el archivo de zona.

Proceso de migración paso a paso

Una vez que su preparación esté completa y sus TTL son bajos (espera suficiente tiempo para que el TTL bajo se propaga globalmente), siga estos pasos metódicamente.

1. Respaldo de los registros DNS existentes (exportación formal)

Crear una copia de seguridad que puede restaurar rápidamente si algo va mal. La mejor copia de seguridad es el archivo de zona exportada de su antiguo proveedor. Si eso no es posible, copiar cada registro en un formato estructurado (CSV, JSON, o incluso un archivo de texto). Incluya los siguientes campos para cada registro:

  • Nombre (por ejemplo, @, www, correo)
  • Tipo (A, AAAA, CNAME, MX, TXT, etc.)
  • Valor / Meta
  • TTL
  • Prioridad (para MX, SRV)
  • Otros metadatos (peso, puerto para SRV)

Guarde esta copia de seguridad en una ubicación segura, como un gestor de contraseñas, almacenamiento encriptado de la nube o una unidad offline. No confíe únicamente en la interfaz del antiguo proveedor, si su cuenta se termina o se pierde el acceso, necesita una copia portátil.

2. Configure DNS Records on the New Provider

Inicie sesión en el panel de control de su nuevo proveedor de DNS y cree cada registro exactamente como apareció en su copia de seguridad.

  • Utilice la misma configuración TTL (idealmente los valores bajos que establece antes).
  • Para los registros MX, asegúrese de que los números de prioridad coincidan exactamente. Los registros MX se procesan con el orden de prioridad más bajo primero.
  • Para los registros TXT que contienen SPF o DKIM, copie toda la cadena, incluyendo posibles marcas de cotización. Algunos proveedores envuelven los valores TXT largos; asegurar que el valor completo se introduce.
  • Para los registros de CNAME, recuerde que el dominio raíz (@) generalmente no puede ser un CNAME (por RFC). En lugar de ello, utilice un registro A o AAAA o un ALIAS/ANAME si el nuevo proveedor lo apoya.
  • Verifiquen los registros prefijados por el subrayado (común para DKIM, DMARC o descubrimiento de servicios) – son sensibles a los casos y deben ser exactos.

Después de introducir todos los registros, realice una comparación visual contra su copia de seguridad. También puede utilizar una herramienta de búsqueda de DNS de terceros para consultar directamente a los servidores de nombres del nuevo proveedor (si ofrecen una característica de este tipo) para verificar que los registros están en directo en su infraestructura. Muchos proveedores tienen una opción de “Preview” o “Test” que muestra cómo resolverán los registros.

3. Actualizar los servidores de nombres en su registro

Este es el punto crítico donde Internet comienza a aprender sobre su nuevo proveedor de DNS. Inicie sesión en su registrador de dominio (la empresa que compró el dominio, por ejemplo, GoDaddy, Namecheap, Google Domains) y localice los ajustes de servidor de nombres. Reemplaza los servidores de nombres existentes con los proporcionados por su nuevo proveedor de DNS. Típicamente, tendrá dos o cuatro nombres de host como y [ [[] [.

Importante: No eliminar los antiguos servidores de nombres todavía. En lugar de eso, añadir los nuevos junto a los antiguos si el registrador permite (algunos hacen, algunos fuerza un intercambio directo). El enfoque más seguro es añadir los nuevos servidores de nombres primero, esperar a la propagación, luego eliminar los antiguos. Sin embargo, muchos registradores requieren que usted va a reemplazar por completo.

Después de guardar los cambios, note la hora exacta. La propagación comienza desde este momento.

4. Verificar la delegación de servidores de nombres

Usar una herramienta como DNS Checker] o ] para confirmar que los nuevos servidores de nombres son autorizados. Compruebe que el registro SOA (Inicio de Autoridad) refleja a su nuevo proveedor. Si usted ve resultados mixtos (algunos resolucións que regresan antiguos servidores de nombres, algunos nuevos), eso es normal durante la propagación.

Vigilancia y validación durante la prueba

La propagación de DNS no es instantánea. Incluso con bajos TTLs, caching en varios niveles (Soluciones de ISP, sistemas operativos, navegadores) puede retrasar las actualizaciones. Plan para una ventana de propagación de hasta 48 horas, aunque la mayoría de las consultas DNS reflejarán el cambio en la primera hora si los TTL son bajos.

Use múltiples chequeos globales

Monitorear la transición utilizando herramientas que buscan desde múltiples ubicaciones geográficas. Servicios como whatsmydns.net o DNS-Check.online muestran si cada registro se ha propagado a lugares alrededor del mundo.

  • A/AA] – su sitio web debe resolverse a la IP correcta.
  • MX] – Los servidores de correo electrónico deben ser los que se pretendan.
  • TXT records (SPF, DKIM, DMARC)]] – La autenticación por correo electrónico debe permanecer intacta.

Test Email y Servicios Web Continuamente

No sólo confíe en las verificaciones DNS. En realidad, prueba los servicios:

  • Abra su sitio web en un navegador de diferentes redes (por ejemplo, datos móviles vs. hogar Wi-Fi).
  • Enviar correos electrónicos de prueba a y desde su dominio utilizando varios clientes de correo electrónico.
  • Verifique cualquier punto final de API o subdominios que sean críticos para el negocio.
  • Si utiliza certificados SSL, asegúrese de que validen correctamente (los registros de CAA podrían estar involucrados).

Mantener la Zona Vieja Activo como una Red de Seguridad

Como se mencionó, mantenga la zona de su antiguo proveedor de DNS activa y sin cambios durante al menos un ciclo de propagación completo (normalmente 48 horas). Si descubre un error crítico, como un registro que rompe el correo electrónico, puede volver a cambiar el nombre de su registrador, y el mundo volverá a los viejos registros de trabajo dentro del período TTL. Sin esta copia de seguridad, un rollback se vuelve mucho más difícil porque la zona vieja puede ya no estar viva.

Post-Migración: Pasos finales y limpieza

Una vez que haya confirmado que todos los servicios funcionan correctamente y la propagación está completa (la mayoría de los verificadores globales muestran una consistencia del 100%), puede finalizar la migración.

Eliminar registros antiguos y servidores de nombres

  • Eliminar la antigua zona DNS del panel de control de su proveedor anterior para evitar confusiones.
  • Si usted había añadido tanto viejos como nuevos servidores de nombres en el registrador, eliminar los antiguos ahora. Algunos registradores le permiten dejar los servidores de nombres adicionales; es más limpio mantener sólo los nuevos.
  • Actualizar TTLs a valores más altos para la estabilidad de producción. Por ejemplo, establecer registros A/AAAA a 3600 (1 hora) o 86400 (1 día) si rara vez cambias IPs. Mantener MX y TXT registra mode (3600-14400).

Validar los registros de seguridad

La seguridad del correo electrónico suele depender de SPF, DKIM y DMARC. Utilice un validador como DMARC Analyzer para asegurar que sus registros TXT estén correctamente configurados. Compruebe que sus registros selectores DKIM están presentes y se correspondan con lo que su proveedor de correo electrónico espera. Un SPF malfigurado puede causar correos electrónicos legítimos falsos para rebotar o ser marcados como spam.

Documento de la migración

Crear un registro de exactamente lo que se hizo, cuándo y cualquier problema encontrado. Esta documentación se vuelve invaluable para futuras migraciones, auditorías, o cuando se entrena a nuevos miembros del equipo.

Consejos avanzados y saltos comunes

Temporada de bajo TTL

Ponga TTLs a un valor bajo al menos el mismo número de segundos antes del cambio como el TTL original. Si su TTL antiguo era 86400 (24 horas), bájalo 24 horas antes de planear cambiar los servidores de nombres. De lo contrario, algunos resolvers pueden cachear los viejos registros durante todo el día después del cambio, causando un mundo dividido.

Correo electrónico desactivado durante la migración de registro MX

El correo electrónico es el servicio más sensible durante una migración DNS. Si cambia los registros MX y el nuevo servidor de correos espera diferentes credenciales o configuraciones, puede perder correos electrónicos. Considere estos pasos:

  • Ejecute servidores de correo antiguos y nuevos simultáneamente durante la transición si es posible (dual MX registra con diferentes prioridades).
  • Establece un TTL muy bajo (300 segundos) en los registros MX durante unos días antes del cambio.
  • Prueba el envío y recepción a través de ambos servidores antes de la recortación.

Evite los colisones de CNAME

Un registro de CNAME no puede coexistir con ningún otro registro del mismo nombre. Por ejemplo, si usted tiene un CNAME para , no puede también tener un registro TXT o MX para . Asegúrese de que su diseño DNS respeta esta regla en el nuevo proveedor.

Utilización de DNSSEC

Si su dominio utiliza DNSSEC, debe coordinar las claves de firma entre sus proveedores antiguos y nuevos. DNSSEC añade una capa de seguridad pero también complejidad. Disabling DNSSEC antes de la migración y volver a habilitar después es a menudo más seguro, pero el dominio será menos seguro durante la ventana. Siga con cuidado la guía de configuración DNSSEC de su nuevo proveedor.

Servicios de terceros con IPs estaticas

Si su sitio web o aplicación utiliza un servicio de terceros que lista blancas IPs (por ejemplo, pasarelas de pago, proveedores de API), actualice esas listas blancas IP si su nuevo proveedor de alojamiento utiliza diferentes IPs. De lo contrario, las llamadas de servicio pueden ser bloqueadas después del cambio de DNS.

Conclusión

Migrar registros DNS no es inherentemente arriesgado si se prepara a fondo y ejecuta metódicamente. Los TTL bajos, copias de seguridad completas, validación multi-paso, y una red de seguridad de antiguos servidores de nombres reducen dramáticamente la posibilidad de una reducción prolongada de tiempo de inactividad. Al seguir los pasos y consejos ampliados en esta guía, puede mover el DNS de su dominio a un nuevo proveedor — o actualizar los registros existentes— con una mínima interrupción a su sitio web, Recuerde que se merecen atención.