Uso de registros TXT para verificación de propiedad en servicios de terceros

La verificación de propiedad mediante registros TXT es una técnica estándar cuando plataformas externas (Google Search Console, Microsoft 365, proveedores de certificados, entre otros) necesitan asegurar que controlas un dominio. Este artículo explica qué son los registros TXT, cómo añadirlos en el DNS, comandos de verificación, problemas comunes y buenas prácticas operativas y de seguridad.

¿Qué es un registro TXT y por qué se usa para verificación?

Un registro TXT (text record) es una entrada del DNS que contiene texto arbitrario asociado a un nombre de host. Los servicios de terceros usan valores TXT como tokens de verificación porque:

• Son fáciles de crear en cualquier proveedor de DNS.
• Permiten demostrar control sobre la zona DNS del dominio sin tocar contenidos web.
• Se pueden configurar en el registro raíz (@) o en subdominios concretos.

Para comprender las especificaciones técnicas puede consultarse la descripción del registro TXT en Wikipedia.

Casos de uso comunes de registros TXT para verificación

• Verificación de Google Search Console mediante un token tipo google-site-verification=….
• Verificación de servicios Microsoft (por ejemplo, Microsoft 365) con tokens MS=msXXXX.
• Comprobación previa a la emisión de certificados o activación de APIs.

Cómo añadir un registro TXT para verificar tu dominio

El flujo general es idéntico en la mayoría de proveedores DNS:

• Obtener el valor de verificación que proporciona el servicio externo.
• Acceder al panel DNS del registrador o proveedor de DNS autoritativo.
• Crear un nuevo registro TXT con el nombre (hostname) y el valor proporcionado.
• Esperar la propagación y confirmar la verificación desde la plataforma externa.

Paso a paso (ejemplo genérico)

• En Google Search Console eliges «Método: Registro DNS (recomendado)» y obtienes un token como google-site-verification=AbCdEfGh12345.
• En el panel DNS creas un registro tipo TXT. Para verificar el dominio raíz el hostname suele ser «@» o el propio dominio (ej. ejemplo.com).
• Pegas el contenido del token en el campo «value» del TXT y guardas.
• Vuelves a Search Console y presionas «Verificar» una vez que el registro sea visible públicamente.

Ejemplo real con comandos

Tras crear el TXT, puedes comprobar su visibilidad pública desde tu máquina:

dig +short TXT ejemplo.com
; o
nslookup -type=TXT ejemplo.com

Un resultado típico se verá así:

"google-site-verification=AbCdEfGh12345"

Verificación en plataformas populares

Google recomienda el método TXT y documenta el proceso en su guía de verificación: Documentación de verificación de Google. Microsoft y otros proveedores siguen un proceso similar: te dan un valor TXT que debes publicar en la zona DNS.

Errores comunes y cómo resolverlos

• Registro no visible por propagación: el TTL y la caché DNS pueden retrasar la aparición. Espera hasta 48 horas si el TTL es alto. Verifica con dig +trace si hay problemas.
• Error en el hostname: algunos paneles requieren usar «@» para la raíz, otros requieren el dominio completo. Si la verificación pide «_acme-challenge.example.com» debes crearlo exactamente así.
• Comillas o formatos incorrectos: ciertos paneles añaden comillas automáticas; no dupliques comillas. El valor debe coincidir exactamente con el token dado por el servicio.
• Confusión con SPF/DKIM: no reemplaces registros SPF o DKIM existentes. Un TXT de verificación es independiente; si tu DNS ya tiene un TXT para SPF, puedes añadir múltiples registros TXT (aunque para SPF es preferible consolidar).

Propagación, TTL y comprobaciones avanzadas

La propagación depende del TTL (Time To Live) configurado en la zona. Para acelerar pruebas puedes bajar el TTL antes de añadir el registro (si tu proveedor lo permite). Usa estas comprobaciones:

• dig +short TXT ejemplo.com — respuesta rápida con el valor TXT.
• dig @ns1.tu-dns-autoritativo ejemplo.com TXT — consulta directamente al servidor autoritativo para verificar que la zona fue actualizada.
• Herramientas online de diagnóstico (tu propio panel DNS o servicios públicos) para comprobar replicación en servidores públicos.

Subdominios, wildcard y CNAME: consideraciones

Algunos proveedores aceptan verificar subdominios (por ejemplo, www.example.com) y te dan tokens concretos. Si tu DNS usa un CNAME para el subdominio, debes crear el TXT en el nombre real apuntado por el CNAME o usar el método de verificación alternativo que ofrezca el servicio. Para certificados ACME (Let’s Encrypt) suele usarse _acme-challenge como subdominio para el TXT; muchos clientes automatizan esto.

Seguridad y buenas prácticas

• Mantén control de acceso a la cuenta del registrador y al panel DNS; la verificación TXT demuestra control del dominio.
• Documenta los registros añadidos y por qué existen. Anota la fecha de creación y qué servicio lo requiere.
• Si la verificación es temporal (por ejemplo, un único check), revisa la política del servicio antes de eliminarlo. Algunos requieren mantener el registro indefinidamente para evitar revalidaciones.
• Evita publicar información sensible en valores TXT; el contenido es público en DNS.
• Considera habilitar DNSSEC en tu zona para proteger integridad de respuestas DNS y reducir ataques de spoofing.

Cuando la verificación falla: checklist rápido

• ¿El valor TXT coincide exactamente con el token dada por el servicio?
• ¿Se creó el registro en la zona DNS correcta (dominio raíz vs subdominio)?
• ¿Consulta a servidores autoritativos devuelve el TXT? Usa dig @ns1.tu-dns-autoritativo.
• ¿Hay registros CNAME conflictivos en el mismo nombre?
• ¿Está el TTL retrasando la propagación?

Referencias técnicas y documentación

Para detalles operativos sobre la gestión de registros TXT puedes consultar la guía de Cloudflare sobre registros TXT. Para la parte de verificación de Google, la documentación oficial está en Google Developers. El artículo técnico sobre el tipo de registro aparece en Wikipedia.

Conclusión

Los registros TXT son la herramienta más práctica y universal para la verificación de propiedad de dominios ante servicios externos. Entender cómo añadirlos correctamente en tu DNS, comprobar su propagación con dig o nslookup, y seguir buenas prácticas de seguridad y documentación reducirá errores y tiempos de espera. Antes de eliminar cualquier TXT de verificación, confirma la política del servicio: algunas plataformas requieren la presencia continua del registro para mantener la verificación activa.

Si necesitas pasos concretos adaptados a tu proveedor de DNS o salida de dig para interpretar, prepara la salida y la revisamos para diagnosticar el problema.