¿Qué es un Subdomain Takeover?
Ocurre cuando un registro DNS continúa apuntando a un recurso externo que ya no está asignado. Si el proveedor permite que otra persona reclame ese recurso, el contenido servido bajo el subdominio podría quedar bajo su control.
Idea clave: un CNAME huérfano es una señal, no una vulnerabilidad confirmada. Hay que demostrar que el recurso puede reclamarse y que el subdominio realmente queda vinculado.
Detección inicial
El punto de partida es resolver la cadena DNS y comparar la respuesta HTTP con las firmas documentadas del proveedor. Una comprobación mínima puede comenzar así:
$ dig CNAME blog.example.com +short project-example.hosting-provider.test. $ curl -I https://blog.example.com HTTP/2 404 x-provider-error: unknown-project
El código 404 por sí solo no basta. Conviene comprobar el certificado, los encabezados, la cadena CNAME completa y el comportamiento de un recurso activo del mismo proveedor.
Validación segura
- Confirma que el dominio forma parte del alcance autorizado.
- Identifica el proveedor y su procedimiento actual de asociación de dominios.
- Realiza controles positivos y negativos con recursos propios.
- Si el programa lo permite, reclama únicamente el recurso mínimo y publica una prueba inocua.
- Retira la prueba cuando la evidencia esté recogida.
Una prueba adecuada puede ser un archivo de texto con un identificador aleatorio. No es necesario capturar cookies, imitar la web legítima ni interactuar con usuarios.
Cómo explicar el impacto
La evidencia debe conectar el control del proveedor con el origen afectado. Incluye la resolución DNS, la respuesta antes y después, el identificador de prueba y una explicación de qué confianza hereda el subdominio dentro de la aplicación principal.
Mitigación
- Eliminar los registros DNS cuando se retire el servicio asociado.
- Inventariar dependencias SaaS y revisar periódicamente sus estados.
- Automatizar alertas sobre CNAME sin destino o firmas de recursos no asignados.
- Verificar la propiedad del dominio antes de permitir una asociación nueva.