¿Qué es el DNS inverso (PTR), y por qué le importa al correo?

Escrito por Aldo · threat hunter en un blue team
Última actualización: 9 de noviembre de 2026 · 5 min de lectura

Pregunta al DNS por dns.google y obtienes 8.8.8.8. Pregunta al revés, «¿cómo se llama 8.8.8.8?», y estás usando el DNS inverso. Es una función pequeña que decide sorprendentemente mucho: si tu servidor de correo merece confianza y si un rastreador es auténtico.

Cómo funciona

Los nombres inversos viven en una parte especial del DNS. La dirección se escribe al revés bajo in-addr.arpa (IPv4) o ip6.arpa (IPv6), y el registro que hay ahí es un PTR, un puntero a un nombre:

8.8.8.8.in-addr.arpa.   PTR   dns.google.

Como la zona inversa sigue a los bloques de direcciones, pertenece a quien tiene el bloque: el registro se la delega al proveedor, y el proveedor pone los nombres o deja que los pongan sus clientes. Por eso no puedes añadir un registro PTR en el panel DNS de tu dominio. Se configura con quien te dio la dirección.

Consúltalo

dig -x 8.8.8.8 +short
host 8.8.8.8
nslookup 8.8.8.8                 # Windows, macOS, Linux
Resolve-DnsName 8.8.8.8          # Windows PowerShell

Luego comprueba el otro sentido: busca el nombre que obtuviste y mira si devuelve la misma dirección. Si es así, el nombre está confirmado en sentido directo. Quien controla un bloque puede poner en su PTR lo que quiera («mail.tubanco.es»), pero solo el verdadero dueño de ese nombre puede hacer que apunte de vuelta. Un nombre inverso sin la coincidencia directa no demuestra nada.

Un ejemplo real: seis direcciones, tres resultados

Buscamos seis direcciones conocidas con la búsqueda de IP de iplover el 9 de noviembre de 2026. Hace las dos consultas e indica si coinciden:

Dirección	Nombre de DNS inverso	¿Apunta de vuelta?	Qué te dice
8.8.8.8	`dns.google`	Sí	El DNS público de Google, con nombre a propósito
1.1.1.1	`one.one.one.one`	Sí	El DNS público de Cloudflare
66.249.66.1	`crawl-66-249-66-1.googlebot.com`	Sí	Una dirección auténtica de Googlebot: así se verifican los rastreadores
185.220.101.1	`berlin01.tor-exit.artikel10.org`	Sí	Un nodo de salida de Tor cuyo operador lo dice abiertamente
172.224.226.33	`a172-224-226-33.source.akaquill.net`	No	Un nombre genérico construido con la dirección (una salida de iCloud Private Relay); etiqueta la dirección pero no demuestra nada
3.5.140.1	Ninguno	n/d	Una dirección de nube sin nombre, como la mayoría

El patrón es el habitual. Los servicios que quieren que se les reconozca ponen un nombre con sentido y confirmado en sentido directo. Las grandes redes dan a sus direcciones nombres genéricos, que a menudo contienen la propia dirección, o ninguno. Que falte el PTR no es sospechoso en un visitante web. En un servidor de correo, sí es un problema.

Por qué le importa al correo

Los servidores de correo que reciben miran la dirección que se conectó a ellos. Si no tiene nombre PTR, o el nombre no apunta de vuelta, o el nombre parece de una conexión doméstica (con palabras como dynamic, dsl o pool, o la dirección escrita en él), muchos servidores rechazan el correo o lo puntúan como probable spam. Las directrices para remitentes de Google, por ejemplo, piden que las direcciones de envío tengan un registro PTR cuyo nombre resuelva a la misma dirección.

Así que si tienes tu propio servidor de correo, o un servicio envía correo directamente desde tu servidor o VPS:

Lo que encuentras	Qué significa	Qué hacer
Sin PTR en la dirección de tu servidor de correo	Muchos receptores rechazarán tu correo o lo mandarán a spam	Configúralo en el panel de tu hosting (a menudo en la sección de red o en los ajustes del servidor), o pídeselo al soporte.
El PTR es un nombre genérico del proveedor	Parece una máquina alquilada cualquiera	Cámbialo por el nombre de tu servidor de correo, como `mail.tudominio.es`.
PTR configurado, pero el nombre no resuelve a la dirección	No está confirmado en sentido directo	Añade un registro A (o AAAA) para ese nombre que apunte a la dirección.
Nombre y dirección coinciden, y el nombre es el que tu servidor dice en su saludo (HELO/EHLO)	Todo coherente	Nada que hacer.
Envías con Google Workspace, Microsoft 365 o un servicio de newsletters	Envían sus servidores, no el tuyo	Nada que hacer: el proveedor se encarga del DNS inverso. Céntrate en SPF, DKIM y DMARC.
Servidor de correo en una conexión doméstica	Normalmente no puedes poner un PTR, y los rangos domésticos se bloquean mucho	Envía el correo saliente a través de tu proveedor o de un servicio de correo.

En IPv6 valen las mismas reglas, con nombres más largos. Si tu servidor envía por IPv6, también necesita un PTR para su dirección IPv6; una configuración IPv4 correcta no lo cubre.

Lo que el DNS inverso no puede decirte

Un nombre inverso es una etiqueta elegida por quien controla la dirección, y nada más. Sin la comprobación directa puede afirmar cualquier cosa. Aun confirmado, te dice en qué red está la dirección, no quién la usa: un nombre de nube significa un servidor en la nube, alquilado por alguien que no ves. Sirve de prueba para una pregunta (¿es de verdad el rastreador de Google?, ¿es un servidor de correo como es debido?) y casi no sirve para la que la gente suele esperar que responda: quién hay detrás de una dirección.

Fuentes

Documentos oficiales que usamos para comprobar los datos de esta guía.