DNS pasivo y certificados, leídos con calma

La resolución pasiva no guarda una foto de hoy, guarda ventanas: este nombre apuntó a esta dirección desde tal fecha hasta tal otra. Dos nombres que vivieron en la misma dirección en épocas distintas no tienen nada que ver: lo normal es que un cliente dejara el servidor y otro lo ocupara después.

Por eso, al pivotar por una dirección, hay que mirar dos cosas antes de atar nada: si las ventanas se solapan, y qué tipo de alojamiento es. Una dirección dedicada, con pocos nombres en dos años, y con ventanas que se solapan, es un lazo bastante más serio que una dirección compartida con cientos.

Abre la consola. dns_pasivo trae cinco nombres con su primera y su última vez, y ip_ficha dice qué tipo de alojamiento es cada dirección. El nuevo nombre del clúster, sync-hornos.example, vive en un servidor dedicado. Con la consulta por dirección ves quiénes más resolvieron a ella; de ellos, solo uno estuvo activo en las mismas semanas. Ese es un pivote: un candidato que hay que confirmar con otro lazo.

El candidato necesita un segundo lazo. Cada vez que una autoridad emite un certificado, la emisión queda anotada en registros públicos que cualquiera puede leer, con todos los nombres que cubre. Si el candidato comparte certificado con un nombre que nadie había visto, ese segundo nombre es hallazgo nuevo y no hizo falta tocar nada: lo escribió la autoridad en un registro público.

La duración de una ventana es un dato que se calcula. Que un nombre se vea unos días y desaparezca habla de infraestructura de usar y tirar; uno que dura años, de algo estable. Para sync-hornos.example mide, en días, la distancia entre su primera y su última vez en la dirección del servidor dedicado: esa cifra te dice cuánto tiempo estuvo activo en lo que va de campaña.

Los sensores de resolución pasiva no ven todo el tráfico del mundo: ven lo que pasa por los resolvedores que les alimentan. Un nombre que no aparece no prueba que no exista ni que no se esté usando: prueba que ese sensor no lo vio. Y el campo «última vez» tampoco es la hora en que se apagó: es la última vez que lo vio el sensor.

Por eso una fila ausente se anota como «no visto», y una ventana cerrada, como «visto hasta». La ausencia de datos no se convierte en una conclusión.