Cómo encontrar los subdominios de un dominio: registros de certificados, DNS y sus límites

Para encontrar los subdominios de un dominio sin tocar sus servidores, busca en los registros de Certificate Transparency (CT). Cada certificado HTTPS de confianza pública queda registrado en estos registros abiertos junto con los nombres de host que cubre, así que una consulta a crt.sh o Cert Spotter para example.com devuelve nombres como mail., staging. u old-shop.example.com. Después, comprueba cada nombre en el DNS para ver cuáles siguen existiendo y a dónde apuntan. Nuestro buscador de subdominios gratuito realiza ambos pasos. Ten en cuenta el límite: ningún método externo devuelve una lista completa garantizada. Solo la zona DNS del dominio, visible para su propietario, la tiene.

Formas de encontrar subdominios, comparadas

Método 1: registros de Certificate Transparency

Las autoridades de certificación publican los certificados que emiten en registros CT públicos de solo adición, y navegadores como Chrome y Safari solo confían en los certificados emitidos públicamente que han sido registrados. Como un certificado enumera los nombres de host para los que es válido, los registros son en la práctica un historial de cada nombre de un dominio donde alguien activó HTTPS.

1. Abre crt.sh y busca %.example.com (el % es un comodín, así obtienes todos los subdominios).
2. Lee la columna “Matching Identities”. Los nombres de los registros se conservan para siempre, por lo que muchos serán históricos.
3. Para obtener una lista limpia, usa la salida JSON y elimina los duplicados:

curl -s 'https://crt.sh/?q=%25.example.com&output=json' \
  | jq -r '.[].name_value' \
  | tr 'A-Z' 'a-z' | sed 's/^\*\.//' | sort -u

%25 es el % codificado para URL. El campo name_value puede contener varios nombres separados por saltos de línea; jq -r los imprime en líneas separadas. crt.sh es un servicio comunitario gratuito y con frecuencia responde con errores 502 o tiempos de espera bajo carga: nos ocurrió repetidamente mientras escribíamos este artículo el 13 de octubre de 2026. Si pasa esto, inténtalo más tarde o usa Cert Spotter:

curl -s 'https://api.certspotter.com/v1/issuances?domain=example.com&include_subdomains=true&expand=dns_names' \
  | jq -r '.[].dns_names[]' | sort -u

Según la documentación de la API de SSLMate, Cert Spotter devuelve solo certificados no caducados y permite un número limitado de consultas por hora sin autenticación para uso personal o de evaluación. Así, crt.sh te da el historial y Cert Spotter te da lo vigente.

Método 2: comprueba qué subdominios están activos en el DNS

Un nombre en un registro de certificados solo demuestra que alguna vez se emitió un certificado. Para ver qué existe hoy, consulta el DNS:

# does the name resolve, and to what?
dig +short staging.example.com

# is it an alias (CNAME), and to which host?
dig +short CNAME staging.example.com

# full answer: look at "status:" — NOERROR or NXDOMAIN
dig staging.example.com

# wildcard DNS test: a random name should NOT resolve
dig +short pp-test-8f3k2.example.com

• NXDOMAIN: el nombre ya no existe; solo queda el certificado antiguo. Es historia, no un problema.
• NOERROR con una dirección: el subdominio está activo. Asegúrate de que todavía lo necesitas y de que se mantiene.
• NOERROR sin registro A/AAAA: el nombre existe, pero no tiene dirección (por ejemplo, solo MX o TXT). Normalmente no hay problema.
• Un CNAME que apunta a un nombre que no existe: un registro huérfano (dangling). Consulta la sección sobre takeover más abajo.

Si el nombre aleatorio del último comando se resuelve, el dominio usa DNS wildcard: cualquier nombre responde, así que “se resuelve” no demuestra nada sobre un subdominio concreto.

Por qué ninguna herramienta puede mostrar todos los subdominios

• Certificados wildcard. Si los servicios funcionan bajo *.example.com, los registros solo contienen el asterisco, no los nombres individuales.
• Nombres sin HTTPS público. Los hosts que solo sirven HTTP sin cifrar, los nombres solo de correo y los servicios internos con certificados de una CA privada nunca llegan a los registros CT.
• DNS no tiene una consulta para “listar todo”. Un resolver responde preguntas sobre nombres que ya conoces. La única forma estándar de volcar una zona es una transferencia de zona, y los servidores la rechazan a desconocidos.
• Los nombres antiguos permanecen en los registros. La lista siempre es una mezcla de nombres actuales y otros que desaparecieron hace tiempo, por eso la comprobación de DNS es importante.

Métodos activos: fuerza bruta y transferencias de zona

Los métodos activos envían consultas a la infraestructura del objetivo. Son una práctica habitual en las pruebas de seguridad, siempre sobre sistemas que son tuyos o que tienes permiso explícito para probar.

• La fuerza bruta con diccionario prueba miles de nombres probables (dev, api, vpn, staging…) contra el DNS. OWASP Amass combina la recopilación de información de código abierto con el reconocimiento activo; subfinder se limita a fuentes pasivas.
• La transferencia de zona (AXFR) es el mecanismo que usan los servidores DNS secundarios para copiar una zona (RFC 5936). Prueba tu propio dominio así:

dig NS example.com +short
dig AXFR example.com @ns1.example.com

Un servidor bien configurado responde “Transfer failed” o la rechaza. Si tu servidor devuelve la zona completa a cualquiera en internet, restringe AXFR a tus servidores secundarios.

CNAME huérfanos y subdomain takeover

Una historia típica: para una campaña alguien creó promo.example.com como un CNAME hacia example-promo.herokuapp.com. Más tarde se eliminó la app, pero el registro DNS se quedó. Si la plataforma permite que cualquiera cree una app (bucket, página) con el mismo nombre, un atacante puede reclamarla y publicar su propio contenido en tu subdominio, con tu dominio en la barra de direcciones. Esto se conoce como subdomain takeover.

Un CNAME huérfano por sí solo no es prueba de una vulnerabilidad: algunas plataformas no permiten volver a reclamar un nombre liberado, y confirmarlo requiere revisar la propia plataforma. Pero la solución es barata: elimina el CNAME o vuelve a crear el recurso en el proveedor si todavía necesitas el subdominio.

Qué hacer con los subdominios que encontraste

1. Exporta la lista y marca cada nombre que no conocías.
2. Elimina los CNAME huérfanos y los registros de entornos de prueba antiguos y campañas finalizadas.
3. Protege los paneles de administración, el staging y las herramientas internas con autenticación o una lista de IP permitidas, y no los dejes con versiones de CMS desactualizadas.
4. Revisa los subdominios activos importantes: la validez del certificado con el SSL checker, los registros con DNS lookup y una comprobación pasiva de código malicioso y software desactualizado con el website security scanner.
5. Repite la búsqueda periódicamente: cada certificado nuevo añade nombres a los registros.

Cómo encontrar subdominios con PromoPilot

Introduce un dominio en el buscador de subdominios. Obtiene los nombres de crt.sh (el historial completo de certificados); si crt.sh no responde, recurre a Cert Spotter (solo certificados vigentes) y te lo indica. La lista de nombres se guarda en caché durante 24 horas. Después:

• normaliza los nombres (en minúsculas, sin *., solo el dominio y sus subdominios);
• comprueba hasta 300 nombres en DNS (primero los que tienen los certificados más recientes) mediante el resolvedor público DNS-over-HTTPS de Cloudflare, con Google como respaldo: registros A y, después, AAAA para los nombres sin A;
• muestra el estado de cada nombre (en DNS, no está en DNS, sin A/AAAA, CNAME colgante), la cadena de CNAME y cuándo vence el certificado más reciente;
• detecta el DNS wildcard con un nombre aleatorio, marca las filas afectadas y avisa cuando se encontraron certificados wildcard;
• indica el servicio que hay detrás de un CNAME colgante cuando está en una lista de plataformas donde es posible el takeover (Amazon S3, Azure, Heroku, GitHub Pages, Netlify, Shopify y otras);
• te permite filtrar la tabla y descargarla en CSV.

Límites: 15 búsquedas al día sin cuenta, 45 con una cuenta gratuita, sin límite diario en Pro y un máximo de 6 búsquedas por minuto.

Lo que la herramienta no hace

• No realiza fuerza bruta con diccionarios, ni escaneo de puertos, ni solicitudes HTTP a los hosts que encuentra. Por eso puede señalar un riesgo de takeover, pero no confirmarlo.
• Solo ve los nombres que tuvieron un certificado público. Los nombres ocultos tras un certificado wildcard o que nunca se sirvieron por HTTPS no aparecerán.
• En dominios con muchísimos certificados, la lista se limita a 5,000 nombres únicos y el DNS se comprueba para 300 de ellos por ejecución.

Lecturas relacionadas

• Comprobación de certificados SSL: validez, cadena y protocolos.
• Cómo comprobar los registros DNS: A, CNAME, MX, TXT y qué significan.
• Cómo comprobar si un sitio web es seguro: la lista de verificación de seguridad más completa.