Nameservers y zona DNS

Esta es la lección más importante del curso. Si alguna vez editaste un registro DNS "y no pasó nada", si no sabías si tenías que tocar el DNS en el hosting, en GoDaddy o en Cloudflare, o si al mover tu dominio a Cloudflare se te cayó el correo, el problema casi seguro fue este: no estaba claro quién manda.

Aquí vas a separar para siempre las cuatro piezas que forman un dominio funcionando, a entender qué son los nameservers y la zona DNS, y a leer los registros NS y SOA.

Concepto

Las 4 piezas (que pueden estar en 4 empresas)

Cuando un cliente dice "tengo mi página con GoDaddy", en realidad puede estar hablando de cualquiera de estas cuatro cosas:

Pieza	Pregunta que responde	Ejemplo con mitienda.com
1. Registrador	¿Dónde se paga y renueva el nombre? ¿A qué nameservers apunta?	Cloudflare Registrar (o Namecheap, Akky...)
2. Proveedor DNS (nameservers)	¿Dónde está la zona, la lista de registros que dice a dónde va cada cosa?	Cloudflare (ana.ns.cloudflare.com, bob.ns.cloudflare.com)
3. Hosting	¿Dónde viven los archivos del sitio web?	Hosting cPanel en 203.0.113.10
4. Proveedor de correo	¿Dónde viven los buzones de ventas@mitienda.com?	Google Workspace (o Zoho, o el propio cPanel)

La analogía: abrir un negocio físico

• Registrador = el registro del nombre comercial: pagas cada año por el derecho a usar "Mi Tienda".
• Proveedor DNS = el directorio del centro comercial: el letrero que dice "Mi Tienda → Local 203; Paquetería de Mi Tienda → Bodega en otra calle".
• Hosting = el local donde atiendes a los clientes (tu sitio web).
• Correo = el apartado postal donde recibes las cartas.

Puedes cambiar de local sin cambiar de nombre comercial. Puedes cambiar de apartado postal sin mover el local. Lo único que tienes que hacer en cada caso es actualizar el directorio. Y solo hay un directorio oficial: si pegas un letrero en otro lado, nadie lo lee.

Diagrama de las 4 piezas

                ┌────────────────────────────────────┐
                │ 1. REGISTRADOR (Cloudflare Registrar │
                │    o Namecheap / Akky / GoDaddy)     │
                │  Guarda: dueño, vencimiento y        │
                │  ► QUÉ NAMESERVERS USAR ◄            │
                └─────────────────┬──────────────────┘
                                  │ "los NS de mitienda.com son
                                  │  ana y bob.ns.cloudflare.com"
                                  ▼
                ┌────────────────────────────────────┐
                │ 2. PROVEEDOR DNS = NAMESERVERS       │
                │    (Cloudflare)                      │
                │  Guarda la ZONA:                     │
                │   A     @     203.0.113.10           │
                │   CNAME www   mitienda.com           │
                │   MX    @     smtp.google.com        │
                │   TXT   @     v=spf1 ...             │
                └───────┬─────────────────────┬──────┘
           "la web está │                     │ "el correo va
            en esta IP" ▼                     ▼  a Google"
       ┌──────────────────────┐   ┌──────────────────────────┐
       │ 3. HOSTING (cPanel)  │   │ 4. CORREO                 │
       │  203.0.113.10        │   │  (Google Workspace)       │
       │  archivos del sitio, │   │  buzones: ventas@,        │
       │  PHP, base de datos  │   │  hola@mitienda.com        │
       └──────────────────────┘   └──────────────────────────┘

La flecha clave es la de arriba: el registrador solo dice qué nameservers usar. Y a partir de ahí, solo la zona de esos nameservers cuenta.

Combinaciones reales

Caso	Registrador	DNS (NS)	Hosting	Correo
Todo en uno (típico de principiante)	Hostinger	Hostinger	Hostinger	Hostinger
Nuestro caso	Cloudflare	Cloudflare	cPanel (otra empresa)	Google Workspace
Dominio .mx	Akky	Cloudflare	cPanel	Zoho Mail
Sitio moderno	Porkbun	Cloudflare	Vercel	Cloudflare Email Routing → Gmail
Herencia de cliente	GoDaddy	NS del hosting	cPanel	cPanel (correo del hosting)

Lo primero con cualquier cliente

Antes de tocar nada, llena esta tabla para su dominio: registrador, NS, hosting, correo. Con eso sabes dónde editar cada cosa y qué no romper. Lo practicarás en escenarios reales.

¿Qué son los nameservers?

Los nameservers (servidores de nombres, NS) son los servidores autoritativos de tu dominio: los que contestan con la verdad cuando un resolver pregunta "¿cuál es la IP de mitienda.com?" (lo viste en Cómo funciona el DNS).

• Se configuran en el registrador: es el único lugar donde se eligen.
• Siempre son al menos dos (por redundancia).
• El registrador los envía al registro del TLD (Verisign para .com), que es quien los anuncia al mundo.

¿Y qué es la zona?

La zona DNS es la lista de registros de tu dominio que guardan esos nameservers. Cada proveedor que puede ser nameserver te da un panel para editar su copia de la zona:

Proveedor	Dónde se edita la zona
Cloudflare	DNS → Records
cPanel	Dominios → Zone Editor
Namecheap	Domain List → Manage → Advanced DNS
GoDaddy	Mis productos → DNS
Akky	Mis dominios → Administrar DNS

Aquí está la trampa: todos estos paneles existen al mismo tiempo. Tu hosting cPanel tiene su Zone Editor con una zona para mitienda.com, aunque nadie le pregunte. El registrador puede tener otra. Cloudflare tiene otra. Son copias independientes, y no se sincronizan solas.

Quién "manda": solo cuenta la zona de los NS activos

 Registrador dice: NS = ana.ns.cloudflare.com, bob.ns.cloudflare.com
                         │
                         ▼
   ┌───────────────────────────┐   ┌───────────────────────────┐   ┌──────────────────────┐
   │ Zona en CLOUDFLARE        │   │ Zona en cPanel            │   │ Zona en el registrador│
   │ A @ 203.0.113.10          │   │ A @ 198.51.100.99 (vieja) │   │ (parking)             │
   │ ✔ LA QUE SE USA           │   │ ✘ NADIE LA CONSULTA       │   │ ✘ NADIE LA CONSULTA   │
   └───────────────────────────┘   └───────────────────────────┘   └──────────────────────┘

La regla de oro

Solo cuenta la zona del proveedor al que apuntan los nameservers activos. Si los NS de mitienda.com son de Cloudflare, editar el Zone Editor de cPanel no sirve para nada: puedes poner lo que quieras ahí y el mundo no lo verá.

El caso clásico: "agregué el registro y no funciona"

1. El alumno quiere conectar Google Workspace.
2. Google le dice "agrega este TXT de verificación".
3. Entra a cPanel (porque "ahí está su página") y lo agrega en el Zone Editor.
4. Google dice "no encontramos el registro". Espera 48 horas. Nada.
5. Problema: los NS son de Cloudflare. Tenía que agregarlo en Cloudflare → DNS → Records.

Cómo saber qué nameservers están activos

Linux / macOS

dig +short NS mitienda.com
# ana.ns.cloudflare.com.
# bob.ns.cloudflare.com.

Windows

nslookup -type=NS mitienda.com 1.1.1.1
# mitienda.com    nameserver = ana.ns.cloudflare.com
# mitienda.com    nameserver = bob.ns.cloudflare.com

Cómo interpretar lo que sale:

Si ves algo como...	Los registros se editan en...
*.ns.cloudflare.com	Cloudflare
ns1.dns-parking.com / ns2.dns-parking.com	Hostinger
ns1.tuhosting.com / ns1.servidor123.com	Tu hosting cPanel (Zone Editor)
dns1.registrar-servers.com	Namecheap (Advanced DNS)
nsXX.domaincontrol.com	GoDaddy
dns1.p01.nsone.net	Netlify DNS
ns-123.awsdns-45.com	Amazon Route 53

Cambiar los nameservers a Cloudflare (sin romper nada)

Este es el procedimiento seguro cuando un dominio ya funciona en otro lado (por ejemplo, NS del hosting cPanel con correo en Google Workspace) y quieres pasarlo a Cloudflare.

Los menús cambian

Las rutas del panel de Cloudflare se describen como están hoy; el nombre exacto de un botón puede variar ligeramente.

Paso 1: haz inventario de la zona actual

Antes de cambiar nada, guarda todos los registros de la zona que hoy está activa. En cPanel: Zone Editor → Manage junto a mitienda.com, y copia todo (o usa Export si está disponible). Pon especial atención a:

• A y AAAA del sitio.
• CNAME (www, subdominios, verificaciones).
• MX del correo.
• TXT: SPF (v=spf1...), DKIM (google._domainkey), DMARC (_dmarc), verificaciones.
• SRV (Microsoft 365, Teams, etc.).

Si no tienes acceso al panel, consulta desde la terminal lo más importante:

dig +short mitienda.com A
dig +short www.mitienda.com
dig +short mitienda.com MX
dig +short mitienda.com TXT
dig +short google._domainkey.mitienda.com TXT
dig +short _dmarc.mitienda.com TXT

Paso 2: agrega el dominio a Cloudflare

1. En dash.cloudflare.com, botón Add a domain (o Agregar un dominio).
2. Escribe mitienda.com, elige escaneo rápido de registros DNS y el plan Free.
3. Cloudflare intenta importar los registros que detecta. No confíes ciegamente: el escaneo no ve subdominios que no adivina ni registros DKIM con nombres raros.

Paso 3: compara la zona importada con tu inventario

En DNS → Records, verifica uno por uno contra tu inventario del paso 1. Agrega lo que falte. Sobre todo MX, SPF, DKIM y DMARC: si faltan, el correo se cae en cuanto cambien los NS.

Nube naranja en registros de correo

Los registros que apuntan a servicios que no son web (por ejemplo mail.mitienda.com usado por el correo de cPanel, ftp, cpanel) deben quedar en DNS only (nube gris). La nube naranja solo funciona para tráfico web HTTP/HTTPS. Lo verás en Cloudflare desde cero.

Paso 4: cambia los nameservers en el registrador

Cloudflare te muestra tus dos nameservers asignados (en nuestro ejemplo ana.ns.cloudflare.com y bob.ns.cloudflare.com; a ti te tocarán otros nombres).

1. Entra al registrador (no al hosting).
2. Busca Nameservers / Servidores DNS / DNS personalizados.
3. Elige personalizados y reemplaza los actuales por los dos de Cloudflare. No mezcles NS de Cloudflare con NS de otro proveedor.
4. Si el dominio tenía DNSSEC activo en el registrador, desactívalo antes (si no, el dominio puede dejar de resolver). Lo reactivarás desde Cloudflare después; ver otros registros.
5. Guarda.

¿Y si el dominio ya está en Cloudflare Registrar?

Entonces los nameservers ya son de Cloudflare obligatoriamente y la zona se edita en DNS → Records. Cloudflare Registrar no permite usar nameservers de otro proveedor.

Paso 5: espera la activación y comprueba

• En Cloudflare, la tarjeta del dominio dirá Pending hasta que detecte el cambio y luego Active. Puedes forzar la revisión con Check nameservers now.
• Comprueba qué anuncia el TLD:

dig +short NS mitienda.com @a.gtld-servers.net

• Prueba sitio y correo: abre https://mitienda.com y envía un correo de prueba a ventas@mitienda.com desde Gmail.

Paso 6: a partir de ahora, olvida la otra zona

Desde este momento, todos los cambios se hacen en Cloudflare. Puedes dejar la zona vieja de cPanel tal cual (no estorba), pero recuerda que ya no sirve. Algunos hostings, al crear cuentas de correo o instalar SSL, editan su propia zona automáticamente: esos cambios no llegarán al mundo, tendrás que copiarlos a Cloudflare.

Error común: "cambié los NS en el hosting"

Los nameservers se cambian en el registrador. El hosting puede mostrarte qué NS debes poner, pero si el dominio está registrado en otra empresa, ahí no se cambian.

Los registros NS

Los registros NS de una zona indican qué servidores son autoritativos para ella. Existen en dos lugares:

 En la zona de .com (puesto por tu registrador) ── "delegación"
   mitienda.com.   172800  IN  NS  ana.ns.cloudflare.com.
   mitienda.com.   172800  IN  NS  bob.ns.cloudflare.com.

 En tu propia zona en Cloudflare ── "registros NS del apex"
   mitienda.com.   86400   IN  NS  ana.ns.cloudflare.com.
   mitienda.com.   86400   IN  NS  bob.ns.cloudflare.com.

Ambas listas deberían coincidir. En Cloudflare no puedes editar los NS del apex (los gestiona Cloudflare).

Delegar un subdominio a otro proveedor

Lo que sí puedes hacer es crear registros NS para un subdominio, para que otro proveedor administre esa parte. Ejemplo: el área de sistemas quiere manejar interno.mitienda.com en Amazon Route 53:

Tipo	Nombre	Valor
NS	interno	ns-123.awsdns-45.com
NS	interno	ns-678.awsdns-90.net

Ahora todo lo que termine en .interno.mitienda.com se pregunta a Route 53. Es un caso avanzado y poco común; para lo demás, una sola zona es más fácil.

El registro SOA

Toda zona tiene exactamente un registro SOA (Start of Authority, inicio de autoridad): la "ficha técnica" de la zona. Cloudflare lo genera solo; no lo editas, pero conviene saber leerlo:

dig +short SOA mitienda.com

ana.ns.cloudflare.com. dns.cloudflare.com. 2345678901 10000 2400 604800 1800
└──────────┬────────┘ └───────┬────────┘ └───┬────┘ └─┬─┘ └─┬┘ └──┬──┘ └─┬┘
  NS primario           correo del admin   serial   refresh retry expire  minimum
                       (dns@cloudflare.com)                              (TTL negativo)

Campo	Qué significa
MNAME	Nameserver primario de la zona
RNAME	Correo del responsable, con el @ cambiado por un punto
Serial	Número de versión de la zona; sube con cada cambio
Refresh / Retry / Expire	Tiempos para servidores secundarios que copian la zona
Minimum	Hoy se usa como TTL negativo: cuánto se recuerda "este nombre no existe"

Truco de diagnóstico

Si cambias algo y quieres confirmar que el autoritativo ya tiene la versión nueva, mira el serial del SOA antes y después: si subió, tu cambio está publicado.

Casos reales

Caso 1: "Cambié de hosting y el correo dejó de llegar"

El cliente tenía NS del hosting viejo, con correo en ese mismo hosting. Contrató un hosting nuevo y cambió los NS al nuevo. La zona nueva no tenía los MX hacia el servidor de correo viejo, y además los buzones viejos ya no existían. Lección: cambiar NS cambia la zona entera; antes de hacerlo, decide dónde va a vivir el correo y prepara los MX. Más en cómo funciona el correo.

Caso 2: "En GoDaddy veo unos registros y en Cloudflare otros"

Ambas zonas existen. Mira los NS con dig +short NS: si son de Cloudflare, la de GoDaddy es decorativa. No la borres si no hace falta, pero no la edites esperando resultados.

Caso 3: dominio .mx en Akky con DNS en Cloudflare

Cloudflare Registrar no vende .mx, pero puedes usar Cloudflare como DNS gratis: agregas mitienda.mx en Cloudflare, y en Akky cambias los servidores DNS a los dos que te asigne Cloudflare. Registrador: Akky. DNS: Cloudflare. Funciona perfecto.

Ejercicios

1. Para un dominio que conozcas (el tuyo o github.com), llena la tabla de las 4 piezas usando dig/nslookup (NS, A, MX) y WHOIS.
2. Los NS de mitienda.com son de Cloudflare. Un compañero agregó en cPanel un CNAME blog hacia mitienda.ghost.io. ¿Funcionará? ¿Qué debe hacer?
3. Escribe la lista de verificación (checklist) mínima para mover los NS de un dominio con correo en Google Workspace hacia Cloudflare.
4. Lee este SOA y explica el serial y el TTL negativo: ana.ns.cloudflare.com. dns.cloudflare.com. 2351234567 10000 2400 604800 1800.
5. ¿Dónde se cambian los nameservers de un dominio .com.mx registrado en Akky cuyo sitio está en un hosting cPanel?

Ver solución

1. Ejemplo de respuesta (puede variar con el tiempo):

dig +short NS github.com     → dns1.p08.nsone.net. ... y awsdns  (DNS: NS1 + Route 53)
dig +short github.com A      → 140.82.x.x                         (hosting: propio)
dig +short github.com MX     → aspmx.l.google.com ...             (correo: Google)
WHOIS                        → Registrar: MarkMonitor             (registrador)

2. No funcionará: nadie consulta la zona de cPanel. Debe crear el CNAME blog → mitienda.ghost.io en Cloudflare → DNS → Records.
3. Checklist:

[ ] Exportar/copiar la zona actual completa
[ ] Agregar el dominio a Cloudflare (plan Free)
[ ] Verificar A/AAAA/CNAME del sitio
[ ] Verificar MX de Google (smtp.google.com prioridad 1, o los 5 MX antiguos)
[ ] Verificar TXT SPF: v=spf1 include:_spf.google.com ~all
[ ] Verificar TXT DKIM: google._domainkey
[ ] Verificar TXT DMARC: _dmarc
[ ] Verificaciones TXT (google-site-verification, etc.)
[ ] Desactivar DNSSEC en el registrador si estaba activo
[ ] Cambiar NS en el REGISTRADOR por los de Cloudflare
[ ] Esperar estado Active y probar web + correo de ida y vuelta

4. Serial 2351234567: versión actual de la zona (sube con cada cambio). TTL negativo 1800: un resolver recordará durante 30 minutos que un nombre no existe.
5. En Akky (el registrador). Se ponen ahí los NS del hosting cPanel (o los de Cloudflare si quieres usar Cloudflare como DNS).

Resumen

• Un dominio funcionando tiene 4 piezas: registrador, proveedor DNS (nameservers), hosting y correo; pueden estar en 4 empresas.
• Los nameservers se eligen en el registrador; la zona se edita en el proveedor de esos nameservers.
• Solo cuenta la zona de los NS activos. Las demás zonas son decorativas.
• Antes de cambiar NS, haz inventario de la zona y copia sobre todo MX, SPF, DKIM y DMARC.
• Los registros NS delegan; el SOA es la ficha técnica de la zona (serial y TTL negativo).
• Comprueba siempre con dig +short NS o nslookup -type=NS antes de editar nada.
• Siguiente: Registros A y AAAA.