¿Por qué CNAME no puede estar en el apex?

Porque toda zone debe servir SOA y NS en el apex, y CNAME no puede coexistir con otros tipos en el mismo nombre. Usa ALIAS / ANAME (flattening específico del proveedor) o registros HTTPS.

¿Diferencia entre SVCB y HTTPS?

Ambos son registros Service Binding. `HTTPS` es el subtipo específico de HTTPS que los navegadores consultan automáticamente — anuncia HTTP/3 (`alpn=h3`), puertos alternativos y configuración de Encrypted Client Hello (ECH). `SVCB` es la forma genérica para otros protocolos.

CAA es técnicamente opcional pero muy recomendado — sin él, cualquier CA pública puede emitir cert para tu dominio. Añadir `0 issue "letsencrypt.org"` (o la CA que uses) restringe la emisión a esa autoridad.

Referencia de Registros DNS

Referencia rápida de los tipos de registro DNS que te encuentras de verdad — para qué sirve cada uno, gotchas (p.ej. CNAME no puede vivir en el apex), y un ejemplo concreto de zone file. Cubre el set diario más DNSSEC y los nuevos SVCB / HTTPS usados para HTTP/3 y ECH.

—

Maps a hostname to an IPv4 address. The most common record — every domain that resolves to a server has at least one.

Ejemplo en zone file

example.com.   IN  A      93.184.216.34

AAAA

Maps a hostname to an IPv6 address. Pronounced "quad-A".

Ejemplo en zone file

example.com.   IN  AAAA   2606:2800:220:1:248:1893:25c8:1946

CNAME

Aliases one hostname to another. The target must itself resolve; CNAMEs cannot coexist with other records at the same name, and cannot appear at the apex (root) of a zone.

Ejemplo en zone file

www.example.com.   IN  CNAME  example.com.

Mail exchanger — where SMTP for the domain should be delivered. Includes a priority (lower = preferred).

Ejemplo en zone file

example.com.   IN  MX  10 mail.example.com.

TXT

Arbitrary text. Used for SPF (mail anti-spoofing), DKIM keys, domain verification (Google, Facebook, etc.), and human-readable notes.

Ejemplo en zone file

example.com.   IN  TXT  "v=spf1 include:_spf.google.com ~all"

Delegates a (sub)domain to a set of authoritative name servers. Every zone has NS records at its apex.

Ejemplo en zone file

example.com.   IN  NS  ns1.example.com.

SOA

Start of Authority — administrative info for the zone: primary name server, hostmaster email, serial number, and TTLs for negative caching.

Ejemplo en zone file

example.com.   IN  SOA  ns1.example.com. hostmaster.example.com. 2025010101 7200 3600 1209600 3600

PTR

Reverse lookup — maps an IP back to a hostname. Lives under the `in-addr.arpa` (v4) or `ip6.arpa` (v6) zones.

Ejemplo en zone file

34.216.184.93.in-addr.arpa.   IN  PTR  example.com.

SRV

Locates the host and port for a named service (with priority and weight). XMPP, SIP, and Microsoft AD all use SRV.

Ejemplo en zone file

_sip._tcp.example.com.   IN  SRV  10 60 5060 sipserver.example.com.

CAA

Certification Authority Authorization — restricts which CAs may issue TLS certs for the domain. Modern CAs are required to check CAA before issuing.

Ejemplo en zone file

example.com.   IN  CAA  0 issue "letsencrypt.org"

DNSKEY

DNSSEC public key used to verify signatures in the zone. Paired with RRSIG records.

Ejemplo en zone file

example.com.   IN  DNSKEY  257 3 13 mdsswUyr3DPW132mOi8V9xESWE8jTo0d…

Delegation Signer — published at the parent zone to fingerprint the child zone's DNSKEY. Forms the DNSSEC chain of trust.

Ejemplo en zone file

example.com.   IN  DS  31589 13 2 3490A6806D47F17A34C29E2CE80E8A999FFBE4BE…

RRSIG

Resource Record Signature — cryptographic signature over a record set, validated against the zone's DNSKEY. Added automatically when the zone is signed.

Ejemplo en zone file

example.com.   IN  RRSIG  A 13 2 300 20260101000000 …

NSEC / NSEC3

DNSSEC "authenticated denial of existence" — proves a record does not exist. NSEC3 hashes names to discourage zone walking.

Ejemplo en zone file

example.com.   IN  NSEC  www.example.com. A NS SOA MX TXT RRSIG NSEC

TLSA

DANE — binds a TLS certificate (or its public key) to a hostname via DNSSEC. Lets clients verify certs without trusting a CA.

Ejemplo en zone file

_443._tcp.example.com.   IN  TLSA  3 1 1 ABCD…

SVCB / HTTPS

Service Binding — advertises alternative endpoints, ALPNs, port, and ECH config for a service. `HTTPS` is the HTTPS-specific subtype enabling HTTP/3 and ECH.

Ejemplo en zone file

example.com.   IN  HTTPS  1 . alpn="h3,h2"

NAPTR

Rewrites a name to a URI / regex result. Used by ENUM and SIP for service discovery.

Ejemplo en zone file

example.com.   IN  NAPTR  100 10 "u" "E2U+sip" "!^.*$!sip:info@example.com!" .

LOC

Geographic location — latitude, longitude, altitude. Rarely used in practice.

Ejemplo en zone file

example.com.   IN  LOC  37 30 N 127 0 E 30m

ALIAS / ANAME

A non-standard "flattened CNAME" supported by some providers (Route 53 alias, Cloudflare CNAME flattening). Lets you point the zone apex at another hostname.

Ejemplo en zone file

example.com.   IN  ALIAS  app.example.cdn.com.

Cómo usar

Escribe un tipo (`mx`) o palabra clave (`mail`, `dnssec`) en la búsqueda.
Lee la descripción y el ejemplo de zone file.
Pulsa el botón de copia del chip para copiar el nombre al zone file.

Preguntas frecuentes

¿Por qué CNAME no puede estar en el apex?: Porque toda zone debe servir SOA y NS en el apex, y CNAME no puede coexistir con otros tipos en el mismo nombre. Usa ALIAS / ANAME (flattening específico del proveedor) o registros HTTPS.
¿Diferencia entre SVCB y HTTPS?: Ambos son registros Service Binding. `HTTPS` es el subtipo específico de HTTPS que los navegadores consultan automáticamente — anuncia HTTP/3 (`alpn=h3`), puertos alternativos y configuración de Encrypted Client Hello (ECH). `SVCB` es la forma genérica para otros protocolos.
¿Necesito CAA?: CAA es técnicamente opcional pero muy recomendado — sin él, cualquier CA pública puede emitir cert para tu dominio. Añadir `0 issue "letsencrypt.org"` (o la CA que uses) restringe la emisión a esa autoridad.

Herramientas relacionadas

Generador de registros DNS CAA

Genera registros DNS CAA (Certificate Authority Authorization) para que solo las CAs que tú autorizas puedan emitir certificados TLS para tu dominio. Produce registros en formato BIND y filas tag/valor para paneles de control, con lista de CAs comunes (Let's Encrypt, DigiCert, Google, Amazon…) en un clic.

Red 0 0

Divisor de Registro TXT (Chunks de 255 Bytes)

Divide un registro TXT SPF, DKIM o DMARC largo en los chunks de 255 bytes que requiere el protocolo DNS — emite sintaxis BIND, archivo zone genérico, Cloudflare o Route 53.

Red 0 0

Generador y parser de registros DKIM

Construye o parsea un registro DNS TXT DKIM (DomainKeys Identified Mail) — pega tu clave pública, elige selector, tipo de clave (RSA/Ed25519), hash y flags, y obtén el registro completo, el nombre `selector._domainkey` y una versión troceada para registros que superan 255 caracteres.

Red 0 0

Inspector de Dirección IP

Escribe una dirección IPv4 o IPv6 y ve su clase, scope (privada / pública / loopback / link-local), valor decimal, binario, notación reverse-DNS y CIDR /32.

Red 0 0

Constructor de Registro SPF

Compón un registro TXT Sender Policy Framework a partir de mecanismos, IPs e includes — con contador de búsquedas DNS en vivo y advertencias.

Red 0 0

Constructor de Registro DMARC

Compón un registro TXT `_dmarc` — política, política de subdominio, despliegue por porcentaje, alineación, reporting rua/ruf — con advertencias de seguridad.

Red 0 0