Comprender el DNS inverso (rDNS) y los registros PTR

La mayor parte del trabajo con DNS va en una dirección: tiene un nombre como example.com y quiere su dirección IP. El DNS inverso va en sentido contrario. Dada una dirección IP, responde a la pregunta “¿qué nombre de host corresponde a esta dirección?”. Parece un detalle menor, pero el DNS inverso influye discretamente en que su correo llegue a la bandeja de entrada, en lo legibles que resultan los registros de su servidor y en lo fiable que parece su infraestructura a otros sistemas.

Esta guía explica cómo funciona el DNS inverso por dentro, quién puede configurarlo realmente, por qué les importa tanto a los servidores de correo y cómo comprobar y solicitar la configuración adecuada. Si los tipos de registro son nuevos para usted, empiece por nuestra guía de fundamentos de los registros DNS.

Qué son el DNS inverso y los registros PTR

Una consulta normal (directa) usa un registro A para IPv4 o un registro AAAA para IPv6 para convertir un nombre en una dirección. Una consulta inversa usa un registro PTR (registro puntero), que convierte una dirección en un nombre.

Por ejemplo, el registro directo puede indicar que mail.example.com apunta a 203.0.113.25. El registro PTR correspondiente indica que 203.0.113.25 apunta a mail.example.com. Son dos registros distintos, guardados en dos lugares distintos y, a menudo, gestionados por dos organizaciones diferentes. Actualizar uno nunca actualiza el otro automáticamente.

Una dirección IP suele tener un único registro PTR. Técnicamente se permiten varios PTR para una misma dirección, pero suelen provocar resultados incoherentes, así que la práctica habitual es un nombre de host claro por cada IP.

Cómo funcionan in-addr.arpa e ip6.arpa

El DNS está construido en torno a nombres, no a números, así que las consultas inversas necesitan un truco: la dirección IP se reescribe como un nombre de dominio dentro de unas zonas especiales.

IPv4: in-addr.arpa

En IPv4, los cuatro octetos se invierten y se añade el sufijo in-addr.arpa. La dirección 203.0.113.25 se convierte en:

25.113.0.203.in-addr.arpa.  IN  PTR  mail.example.com.

La inversión importa porque el DNS delega de derecha a izquierda. Invertir los octetos permite delegar la zona 113.0.203.in-addr.arpa (toda la red /24) a quien sea titular de ese rango, igual que example.com se delega bajo .com.

IPv6: ip6.arpa

En IPv6, la dirección se expande hasta sus 32 dígitos hexadecimales, cada dígito se convierte en una etiqueta propia, se invierte el orden y se añade ip6.arpa. La dirección 2001:db8::1 se convierte en un nombre larguísimo que termina en ...8.b.d.0.1.0.0.2.ip6.arpa. Impone, pero las herramientas lo generan por usted, y los proveedores suelen permitir configurar los PTR de IPv6 mediante un formulario sencillo.

Quién controla los registros PTR

Este es el punto que más confunde. Ser propietario de un dominio no le permite configurar el DNS inverso de la IP a la que apunta su dominio. Las zonas inversas siguen la asignación de las direcciones IP: los registros regionales de internet, como RIPE NCC, ARIN o APNIC, asignan bloques de direcciones a los proveedores y les delegan las zonas inversas correspondientes.

En la práctica, esto significa:

• En un VPS, servidor dedicado o instancia en la nube, su proveedor controla la zona inversa, pero normalmente le permite configurar el PTR de su IP asignada desde el panel de control.
• En un hosting compartido, muchos sitios comparten una IP, así que el PTR suele apuntar al nombre de host del propio servidor del proveedor y los clientes no pueden cambiarlo individualmente.
• En una conexión doméstica o de oficina, el proveedor de internet fija un PTR genérico (que a menudo contiene la IP y palabras como “dynamic” o “pool”). Los planes para empresas con IP fija pueden permitir PTR personalizados bajo petición.
• Si su organización tiene su propio espacio de direcciones IP, el registro regional puede delegar la zona inversa en sus propios servidores de nombres.

Si no está seguro de quién gestiona una IP, la consulta de hosting de TLDix muestra a qué red y proveedor pertenece la dirección, para que sepa con quién contactar.

DNS inverso confirmado hacia delante (FCrDNS)

Un registro PTR por sí solo demuestra poco, porque cualquiera que controle un rango de IP puede hacer que apunte a cualquier nombre, incluidos nombres que no son suyos. El DNS inverso confirmado hacia delante (forward-confirmed reverse DNS) cierra ese hueco con una comprobación en dos pasos:

1. Consultar el PTR de la IP: 203.0.113.25 devuelve mail.example.com.
2. Consultar el registro A (o AAAA) de ese nombre de host: mail.example.com debe devolver 203.0.113.25.

Cuando ambas direcciones coinciden, queda confirmado que la IP y el nombre de host van juntos, porque el registro directo solo podía configurarlo el propietario del dominio. Muchos sistemas receptores consideran una pareja coincidente como señal básica de un servidor bien gestionado.

Por qué el rDNS importa para la entregabilidad del correo

El correo electrónico es donde más importa el DNS inverso. Los servidores de correo receptores suelen comprobar la IP que se conecta antes de aceptar un mensaje, y un PTR ausente o genérico es un motivo frecuente de rechazo o de envío a la carpeta de spam. Los grandes proveedores de buzones, incluido Gmail, indican en sus directrices para remitentes que las IP de envío deben tener DNS directo e inverso válidos y coincidentes.

Para un servidor que envía correo, apunte a esta configuración:

• La IP de envío tiene un registro PTR que apunta a un nombre de host real, como mail.example.com.
• Ese nombre de host tiene un registro A o AAAA que apunta de vuelta a la misma IP (FCrDNS).
• El nombre de host que anuncia el servidor de correo en su saludo SMTP (HELO/EHLO) coincide, idealmente, con el nombre del PTR.
• Evite nombres de aspecto genérico que incluyan la dirección IP o palabras como “dynamic”, que algunos filtros interpretan como conexiones residenciales.

El DNS inverso funciona junto con SPF, DKIM y DMARC; no los sustituye. Un PTR correcto no salvará una mala reputación de envío, pero la falta de uno puede hundir correo por lo demás legítimo. Si envía a través de un servicio, como un proveedor de correo transaccional, este gestiona el rDNS de sus propias IP de envío.

Cómo comprobar el DNS inverso

El método más rápido es dig con la opción -x, que construye por usted el nombre in-addr.arpa o ip6.arpa:

dig -x 203.0.113.25 +short
dig -x 2001:db8::1 +short

Después, confirme la dirección directa:

dig mail.example.com A +short

En Windows, nslookup 203.0.113.25 da la misma respuesta, y en muchos sistemas también funciona host 203.0.113.25. Si la consulta PTR no devuelve nada, no existe registro inverso. Si devuelve un nombre de host que no se resuelve de vuelta a la IP, el FCrDNS falla y debe corregir uno de los dos lados.

Cómo solicitar o configurar un registro PTR

Como el titular de la IP controla la zona inversa, el proceso depende de su proveedor:

1. Cree primero el registro directo. Añada un registro A o AAAA, como mail.example.com, que apunte a la IP de su servidor. Muchos proveedores se niegan a configurar un PTR hasta que existe el registro directo.
2. Busque la opción. Los proveedores de nube y VPS suelen llamarla “Reverse DNS” o “PTR” en la sección de red o de IP del panel.
3. Abra un ticket si hace falta. Si no hay opción de autoservicio, pida al soporte que configure el PTR de su IP e indique el nombre de host exacto.
4. Espere a las cachés. Como cualquier cambio de DNS, el nuevo PTR puede tardar en verse en todas partes, según el TTL del registro anterior. Consulte cómo funciona la configuración del TTL en el DNS para más detalles.
5. Verifique ambas direcciones con dig -x y una consulta directa.

Otros usos del DNS inverso

Más allá del correo, el rDNS hace más legibles los registros y las herramientas de red: la salida de traceroute, los registros del cortafuegos y las analíticas muestran nombres de host en lugar de simples números. Algunos servicios lo usan para reconocer rastreadores auténticos, por ejemplo comprobando que un visitante que dice ser el bot de un buscador tiene un PTR dentro del dominio de ese buscador y que el nombre se resuelve de vuelta a la misma IP. Los equipos de seguridad también lo usan para ver rápidamente a qué proveedor o red pertenece una dirección sospechosa.

Es fácil pasar por alto el DNS inverso porque vive fuera de la zona de su dominio. Dedicar unos minutos a configurar un PTR limpio y coincidente para cada servidor que envía correo u ofrece servicios públicos es una de las medidas de higiene DNS con mejor relación coste-beneficio. Ya puestos, revisar los datos de su dominio con la consulta de dominios de TLDix le ayuda a mantener también correcta la parte directa.