> DNS, RDAP, Certificate Transparency, DNS pasivo, servicios expuestos y reputación: un método pasivo para analizar un dominio o una IP. Blog · [Dominios e IPs](https://pandorasearch.com/es/blog/tema/domain-ip-recon/) # Reconocimiento de dominios e IP con fuentes abiertas 26 de octubre de 2026 · 6 min de lectura Un dominio o una IP son a menudo el punto de partida en seguridad: el enlace de un correo de phishing, una dirección que aparece en los registros del cortafuegos, la web de un proveedor nuevo. Para entender qué hay detrás no hace falta tocar sus sistemas. Los registros públicos y los datos que otros ya han recogido cuentan casi todo lo necesario. Este artículo propone un recorrido pasivo en seis pasos, de lo que el dominio publica hoy a lo que dicen su historia y su reputación. ## Para qué sirve - **Respuesta a incidentes y análisis de phishing.** Saber qué es un dominio sospechoso, quién lo aloja y si forma parte de una campaña. - **Superficie de exposición propia.** Ver qué subdominios, servicios y certificados de tu organización son visibles desde fuera. - **Inteligencia de amenazas.** Relacionar infraestructura: qué otros dominios comparten IP, certificados o historial. - **Diligencia debida técnica.** Revisar la higiene básica de un proveedor antes de conectarlo a tus sistemas. ## Pasivo antes que activo El reconocimiento pasivo consulta registros públicos y conjuntos de datos que otros recogieron: el DNS, los registros de certificados, el DNS pasivo o los escaneos que publica Shodan. El activo interactúa con el objetivo: escanear puertos, probar servicios, buscar vulnerabilidades. El activo exige la autorización del titular. Pandora es pasiva: no escanea nada y lee lo que otras fuentes ya han observado. ## Paso 1: el DNS de hoy Los registros DNS describen la infraestructura actual del dominio: - **A y AAAA:** las IP a las que apunta la web. - **MX:** quién recibe el correo. - **NS:** quién sirve el DNS. - **CNAME:** alias hacia otros servicios, como una CDN o una plataforma de terceros. - **TXT:** la política SPF y las verificaciones de servicios. - **CAA:** qué autoridades de certificación pueden emitir certificados para el dominio. Los TXT suelen ser los más reveladores. La política SPF incluye a los proveedores que envían correo en nombre del dominio, y las verificaciones delatan los servicios que usa la organización: Google Workspace, Microsoft 365, herramientas de marketing o de soporte. En tu propia organización, revisa también los CNAME. Uno que apunta a un servicio de terceros que ya no usas puede permitir que otra persona reclame ese recurso y sirva contenido bajo tu dominio. ## Paso 2: RDAP y WHOIS RDAP es el sucesor estructurado de WHOIS: devuelve en JSON el registrador, las fechas de alta, renovación y caducidad, el estado del dominio y sus servidores de nombres. Para los dominios genéricos, ICANN lo ha convertido en la fuente de referencia. Desde 2018, con el RGPD, la mayoría de registradores ocultan los datos del titular. Aun así, la fecha de alta es uno de los datos más útiles de todo el análisis: un dominio registrado hace dos días que imita a un banco dice mucho por sí solo. ## Paso 3: Certificate Transparency Las autoridades de certificación anotan cada certificado TLS que emiten en registros públicos a los que solo se puede añadir, y los navegadores principales exigen que los certificados estén en ellos. Buscadores como crt.sh o Certspotter permiten consultar esos registros por dominio. Lo que se obtiene: - **Subdominios**, incluidos nombres internos que alguien expuso al pedir un certificado: «vpn», «staging», «intranet». - **La fecha del primer certificado**, otra pista sobre la antigüedad real de un servicio. - **Certificados emitidos para dominios parecidos**, que en phishing suelen aparecer el mismo día en que se monta la campaña. Dos límites: los certificados comodín (`*.dominio`) no revelan nombres concretos, y que un subdominio aparezca no significa que siga activo. ## Paso 4: DNS pasivo, la historia del dominio Los sensores de DNS pasivo registran las resoluciones que observan a lo largo del tiempo. Con ellos se responde a dos preguntas que el DNS actual no contesta: - **¿A qué IP apuntó este dominio antes?** Útil para reconstruir un incidente o para saber dónde se alojaba una web maliciosa antes de ponerse detrás de una CDN. - **¿Qué otros dominios apuntaron a esta IP?** Útil para mapear la infraestructura de una campaña. Cuidado con el alojamiento compartido: en una IP de un proveedor de hosting conviven miles de webs que no tienen nada que ver entre sí. Fuentes como mnemonic, Robtex o AlienVault OTX ofrecen datos de DNS pasivo con la primera y la última vez que se vio cada resolución. ## Paso 5: servicios expuestos Shodan escanea internet de forma continua y publica lo que ve. Su base InternetDB, gratuita, devuelve para una IP los puertos abiertos, el software detectado, las vulnerabilidades conocidas asociadas a ese software y los nombres de host. La API completa de Shodan añade, servicio a servicio, el producto, la versión, el título de la web y el certificado. Otras fuentes completan el cuadro: - **RIPEstat:** el prefijo de red, el sistema autónomo, su titular y el contacto de abuso. - **GreyNoise:** si la IP escanea internet de forma masiva o pertenece a un servicio común y conocido. - **Geolocalización y bases de IP:** el país y la ciudad aproximada, el proveedor y si la dirección pertenece a un centro de datos, a una VPN o a un nodo de salida de Tor. La ciudad es una aproximación, no una ubicación. Ten en cuenta que estos datos tienen días o semanas, y que una vulnerabilidad deducida de una versión puede ser un falso positivo si el fabricante aplicó el parche sin cambiar el número de versión. ## Paso 6: reputación Las fuentes de reputación recogen lo que la comunidad de seguridad ha visto: - **AlienVault OTX:** informes de amenazas (los *pulses*) que mencionan el dominio o la IP, con familias de malware, grupos y etiquetas. - **abuse.ch:** URLhaus, con URLs de distribución de malware, y ThreatFox, con indicadores de compromiso. - **AbuseIPDB:** denuncias de la comunidad por ataques, spam o escaneos, con una puntuación de 0 a 100. - **VirusTotal:** los veredictos de decenas de motores de seguridad. La reputación es contexto, no un veredicto. Una IP compartida acumula denuncias por culpa de otros clientes del mismo proveedor; un dominio legítimo puede aparecer en un informe porque un malware usó un servicio conocido; y una fuente limpia no significa que algo sea seguro. Mira las fechas: una denuncia de hace dos años sobre una IP dinámica dice poco de hoy. ## Cómo encaja todo: el triaje de un phishing Un ejemplo del orden de trabajo, sin datos reales: 1. El enlace del correo lleva a un dominio parecido al de tu empresa. 2. RDAP: registrado hace tres días. 3. DNS: apunta a una IP de un proveedor de hosting y tiene MX configurado, así que puede recibir las respuestas de las víctimas. 4. Certificate Transparency: el certificado se emitió el mismo día, junto a otros para variantes del nombre. 5. DNS pasivo: esa IP alojó antes otros dominios con el mismo patrón. 6. Reputación: uno de ellos aparece en un feed de phishing. Con eso hay base para bloquear el dominio, avisar al registrador y al contacto de abuso del proveedor, y buscar las variantes que todavía no se han usado. Ninguna señal decide sola. Un dominio reciente no es malicioso por serlo, y uno antiguo tampoco es seguro por definición: los dominios caducados se vuelven a registrar y heredan la confianza que tenía el nombre. Lo que pesa es que varias señales independientes apunten en la misma dirección. ## Cómo lo presenta Pandora Al escribir un dominio o una IP, Pandora lanza el barrido automático: DNS, RDAP, Certificate Transparency, DNS pasivo, feeds de phishing, OTX, InternetDB, RIPEstat y sus bases locales de IP, que marcan nodos de salida de Tor, VPN, centros de datos y listas de reputación. Sobre el dominio de partida busca además las variantes registradas del nombre, al estilo de dnstwist. El Dossier reúne las IPs y los dominios con marcas, cada uno con la fuente que lo marcó, y la cronología coloca los registros de dominio junto al resto de fechas del caso. ## Nota legal y ética Consultar fuentes pasivas es, en general, legítimo, pero hay límites claros. Una IP puede ser un dato personal, como reconoció el Tribunal de Justicia de la UE en el caso Breyer (2016). Escanear o probar sistemas sin autorización puede ser delito: el Código Penal castiga el acceso no autorizado a sistemas de información (art. 197 bis). Y un servicio expuesto no es una invitación: si encuentras una base de datos abierta, no la abras; notifícalo por un canal de divulgación responsable. Este artículo no es asesoramiento jurídico. ## Preguntas frecuentes **¿Qué diferencia hay entre WHOIS y RDAP?** Los dos dan los datos de registro de un dominio. RDAP es el sucesor estructurado de WHOIS: responde en JSON con un formato común, y para los dominios genéricos es ya la fuente de referencia. **¿Es legal consultar los puertos abiertos de una IP?** Consultar bases que ya publican esa información, como Shodan InternetDB, es reconocimiento pasivo. Escanear tú mismo sistemas ajenos o conectarte a sus servicios sin autorización es otra cosa y puede ser delito. **¿Qué es el DNS pasivo?** Un registro histórico de las resoluciones DNS que observan unos sensores. Dice a qué IP apuntó un dominio en el pasado y qué dominios apuntaron a una IP, con la primera y la última vez que se vio cada una. **¿Una IP con mala reputación es siempre maliciosa?** No. Las IPs compartidas de un hosting o de una CDN acumulan denuncias por culpa de otros clientes, y los datos envejecen. La reputación es contexto y hay que leerla con sus fechas. **Analiza un dominio o una IP en Pandora sin tocar sus sistemas.** Cada cuenta nueva tiene 3 búsquedas de prueba, sin tarjeta. [Ver planes y precios](https://pandorasearch.com/es/precios/) Etiquetas: dominios IP ciberseguridad threat intelligence OSINT ## Sigue leyendo - [Cómo investigar un email con OSINT, paso a paso](https://pandorasearch.com/es/blog/como-investigar-un-email-con-osint/): Qué se puede saber de un email con fuentes abiertas: proveedor y MX, Gravatar, servicios donde está registrado, brechas y cómo corroborarlo. - [Comprobar si un email está en una brecha sin tocar contraseñas](https://pandorasearch.com/es/blog/comprobar-brechas-sin-tocar-contrasenas/): Have I Been Pwned, XposedOrNot y LeakCheck para medir la exposición de un email en brechas, y por qué manejar contraseñas filtradas cruza una línea. - [OSINT y RGPD: cómo investigar dentro de la ley](https://pandorasearch.com/es/blog/osint-y-rgpd-investigar-dentro-de-la-ley/): Base jurídica, finalidad, minimización, categorías especiales y registro de auditoría: cómo aplicar el RGPD a una investigación OSINT. [Todos los artículos de Dominios e IPs](https://pandorasearch.com/es/blog/tema/domain-ip-recon/) --- Página: https://pandorasearch.com/es/blog/reconocimiento-de-dominios-e-ip/