El nombre antes del número

Ya viste las dos líneas de DNS en la captura: pregunta y respuesta. Ahora lo que hay detrás.

Nadie tiene una lista con todos los nombres de internet. Sería imposible de mantener. En su lugar hay una jerarquía, y la pregunta se resuelve por partes, de derecha a izquierda.

Para agenda.clinica-meridiano.local:

1. ¿Quién sabe de .local? — se pregunta a un servidor raíz
2. ¿Quién sabe de clinica-meridiano.local? — lo dice el anterior
3. ¿Y cuál es la dirección de agenda? — lo dice el servidor de la clínica

Tres preguntas para una respuesta. Por eso existe la caché: tu máquina, tu router y tu proveedor guardan las respuestas un rato, y la mayoría de las veces no se pregunta a nadie.

Y ahí aparece el primer detalle que importa para la seguridad: la caché tiene fecha de caducidad, y ese plazo lo decide quien es dueño del nombre. Un plazo corto permite cambiar de servidor rápido; un plazo largo hace que un cambio tarde horas en propagarse — incluido el cambio que quieres hacer con urgencia cuando algo va mal.

Vuelve al visor y filtra por el protocolo:

DNS

Dos líneas, y en un servidor real serían millones. Pero fíjate en lo que revelan: antes de hablar con cualquiera, hay que preguntar por su nombre.

Eso convierte el registro de consultas de nombres en la fuente de detección más valiosa que tiene un equipo defensivo, y por una razón muy concreta:

El tráfico se puede cifrar. La pregunta por el nombre, en la mayoría de las redes, no.

Así que aunque un programa malicioso hable por un túnel cifrado que nadie puede leer, tuvo que preguntar por el nombre de su servidor primero. Y esa pregunta queda apuntada.

De ahí sale una técnica que se usa a diario: comparar los nombres que se preguntan contra listas de nombres conocidos por maliciosos. No hace falta ver el contenido; basta con ver a quién quiso llamar.

Y también el motivo por el que los atacantes cuidan mucho ese detalle: usan nombres nuevos, que nadie ha listado todavía, o los cambian cada pocas horas.

Si toda conexión empieza por una pregunta, quien controle la respuesta controla a dónde vas.

Imagina que preguntas por clinica-meridiano.local y alguien contesta antes que el servidor legítimo, con su dirección. Tu navegador se conecta ahí. La barra de direcciones sigue diciendo el nombre correcto, porque el nombre es el que tú escribiste — solo el número cambió.

Eso tiene varios nombres según cómo se haga, y todos comparten la misma idea: mentir en la traducción.

¿Qué lo frena? Dos cosas, y conviene entender la diferencia:

El cifrado con certificado. Cuando te conectas por HTTPS, el servidor tiene que presentar un certificado que demuestre que es quien dice ser, firmado por alguien en quien tu navegador confía. Un impostor puede robarte la dirección; no puede presentar un certificado válido para un nombre que no es suyo. Ahí es donde el candado del navegador hace su trabajo real — no es decoración.

Y la desconfianza. El aviso de «certificado no válido» que casi todo el mundo se salta es exactamente esta defensa avisando. Saltárselo es aceptar hablar con quien sea.

Con esto cierras la idea: el DNS te lleva a una dirección, y el certificado comprueba que en esa dirección hay quien debe haber. Son dos capas distintas y hacen falta las dos.