Cómo encontrar CNAME colgantes antes de que alguien se apodere de tu subdominio

Un CNAME colgante es un registro que sigue apuntando uno de tus subdominios a un servicio que has dejado de usar. Pega todos los nombres de host que conozcas en la consulta masiva de CNAME y filtra las filas marcadas como Dangling: esos CNAME apuntan a un nombre que ya no resuelve. Elimínalos o apúntalos a algo que controles.

Consulta los CNAME de una lista de nombres de host →

Encuéntralos de forma masiva

1. Haz una lista de tus nombres de host: www, shop, blog, help, status, dominios de seguimiento, sitios de campañas antiguas. La exportación de zona de tu proveedor DNS es la fuente más completa.
2. Abre la consulta masiva de CNAME y pégalos, uno por línea: hasta 100 por ejecución, o 500 tras iniciar sesión gratis con Google. También funcionan URL.
3. Pulsa Look up CNAMEs (consultar CNAME). Cada cadena se sigue salto a salto, hasta ocho.
4. Lee cada fila: Alias (resuelve), Dangling (el destino no resuelve), No CNAME, Doesn't exist o Loop.
5. Filtra por Dangling y Doesn't exist, y descarga el CSV con la cadena completa.

Hazlo a mano

printf "www.github.com\nwww.mozilla.org\ndocs.github.com\nnope-1109.mozilla.org\n" > hosts.txt

while read -r h; do
  out=$(dig +noall +comments +answer "$h" a)
  st=$(echo "$out" | grep -o 'status: [A-Z]*' | cut -d' ' -f2)
  cn=$(echo "$out" | awk '$4=="CNAME"{print $5}' | tail -1)
  echo "$h,${cn:-no CNAME},$st"
done < hosts.txt
# www.github.com,github.com.,NOERROR
# www.mozilla.org,www-mozilla.fastly-edge.com.,NOERROR
# docs.github.com,no CNAME,NOERROR
# nope-1109.mozilla.org,no CNAME,NXDOMAIN

Lo ejecutamos el 9 de noviembre de 2026. Ninguno está colgante, que es lo que cabría esperar de sitios públicos. Una fila colgante mostraría un CNAME y NXDOMAIN: el alias existe, su destino no. Puedes ver qué responde un destino inexistente consultándolo directamente:

dig +noall +comments sv-nonexistent-1109.azurewebsites.net | grep -o 'status: [A-Z]*'
# status: NXDOMAIN

Donde el DNS por sí solo no basta

Algunas plataformas responden a cualquier nombre bajo su dominio. Ese mismo día, nombres inventados bajo github.io y herokuapp.com devolvieron ambos NOERROR con direcciones, y https://sv-nonexistent-1109.github.io/ respondió 404. Un CNAME que apunta a un sitio borrado en una plataforma así sigue resolviendo, de modo que ni un bucle de dig ni la consulta masiva de CNAME pueden marcarlo como colgante.

Para los nombres de host que apuntan a una plataforma de hosting, ábrelos también por HTTPS. Si en tu nombre de host aparece la página de la plataforma que dice que ahí no hay ningún sitio, o un 404, el destino ha desaparecido. Los límites de la consulta masiva de CNAME dicen lo mismo: Dangling significa que el destino no resuelve ahora, y no prueba si otra persona puede reclamarlo.

Por qué importa y cómo evitar que ocurra

La página de MDN sobre el secuestro de subdominios describe el riesgo: si desactivas un servicio pero "don't remove the DNS entry that points to the hosting provider, an attacker can now create their own virtual host with that provider, claim your subdomain, and host their own content under that subdomain." (no eliminas la entrada DNS que apunta al proveedor de hosting, un atacante puede crear su propio host virtual en ese proveedor, reclamar tu subdominio y alojar su propio contenido bajo él).

Su consejo de prevención trata del orden:

• Al configurar un servicio, reclámalo primero en el proveedor y "create DNS records last" (crea los registros DNS al final).
• Al desactivarlo, empieza por "removing DNS records first" (eliminar primero los registros DNS).
• Mantén un inventario de tus dominios y sus proveedores de hosting, para que nada quede colgando.

En el correo, el caso habitual es un dominio de seguimiento personalizado que queda abandonado tras cancelar una herramienta de cold email: entonces se rompen todos los enlaces con seguimiento del correo ya enviado. Consulta dominios de seguimiento personalizados para cold email.

Siguiente paso: comprueba las direcciones de tu lista

Un DNS limpio mantiene a salvo tus enlaces y tu marca. Los rebotes de direcciones muertas son otro problema distinto que daña tu reputación de envío. Sube tu lista en /verify para comprobar cada buzón sin enviar nada. Las primeras 100 comprobaciones son gratis al iniciar sesión con Google, sin tarjeta.

Pro, $39 al mes: verificación de correos ilimitada.* Nunca medida, nunca se corta. Consulta los precios.

*Uso razonable: las primeras 100.000 verificaciones del mes a máxima velocidad, después más lento, nunca se corta.

Más para leer: audita todos los dominios de tu empresa, dónde editar el DNS de un dominio.