Dominios y DNS

1. Dominio Raíz

El dominio principal de Nvito es nvito.mx, registrado y gestionado íntegramente a través de Cloudflare Registrar. Esta decisión consolida DNS, proxy, SSL, WAF y registrar en un solo proveedor, eliminando la necesidad de coordinar nameservers entre servicios.

2. Mapa de Subdominios

Nvito utiliza 21 subdominios (incluyendo el dominio raíz) distribuidos en 3 ambientes (producción, DEV y TEST). Cada subdominio apunta a un servicio específico con un propósito bien definido.

2.1 Producción

2.2 DEV (rama develop)

2.3 TEST (rama test)

3. Convención de Nombres

La convención de nombres sigue un patrón predecible que permite identificar inmediatamente el ambiente y el servicio de cualquier subdominio.

Producción

{servicio}.nvito.mx

Donde {servicio} es uno de: app, inv, api, cdn, admin, docs, send, landing. El dominio raíz nvito.mx se reserva para la landing page en producción. En ambientes no productivos, se usa {env}-landing.nvito.mx. El subdominio send.nvito.mx solo existe en producción (DNS records, sin servicio web).

Ambientes no productivos

{env}-{servicio}.nvito.mx

Donde {env} es dev o test, y {servicio} es el mismo identificador que en producción.

Ejemplos

4. Tipos de Registros DNS

Nvito utiliza 4 tipos principales de registros DNS en Cloudflare, cada uno con un propósito distinto.

4.1 Registro A (Address)

Apunta un subdominio a una dirección IPv4 fija. Se usa para los subdominios que apuntan al VPS de Contabo donde corre Coolify.

dev-api.nvito.mx      A    212.28.185.197    Proxied
dev-admin.nvito.mx    A    212.28.185.197    Proxied
test-api.nvito.mx     A    212.28.185.197    Proxied
test-admin.nvito.mx   A    212.28.185.197    Proxied

Todos apuntan a la misma IP del VPS. Traefik (dentro de Coolify) rutea al contenedor correcto según el header Host.

4.2 Registro CNAME (Canonical Name)

Apunta un subdominio a otro dominio (alias). Se usa para servicios managed que proveen su propio dominio.

nvito.mx              CNAME    nvito-landing.pages.dev         # Cloudflare Pages (Astro 5.x)
docs.nvito.mx         CNAME    nvito-docs.pages.dev            # Cloudflare Pages
cdn.nvito.mx          CNAME    {account}.r2.cloudflarestorage.com  # R2 Custom Domain
app.nvito.mx          CNAME    {service}.up.railway.app        # Railway (futuro)

4.3 Registro TXT (Text)

Almacena texto arbitrario. Se usa principalmente para verificación de propiedad y seguridad de email.

nvito.mx              TXT    "v=spf1 include:_spf.google.com include:_spf.mx.cloudflare.net ~all"
send.nvito.mx         TXT    "v=spf1 include:amazonses.com ~all"

Además, send.nvito.mx tiene registros DKIM configurados por Resend para firma de emails transaccionales.

4.4 Registro MX (Mail Exchange)

Define los servidores de correo entrante. nvito.mx recibe correo via Cloudflare Email Routing, que redirige las direcciones corporativas (hola@, soporte@, contacto@) a nvito.hq@gmail.com.

nvito.mx    MX    10    isaac.mx.cloudflare.net
nvito.mx    MX    23    linda.mx.cloudflare.net
nvito.mx    MX    6     amir.mx.cloudflare.net

5. Árbol de Subdominios por Ambiente

6. Flujo de Resolución DNS

Cuando un usuario accede a cualquier subdominio de Nvito, el flujo de resolución pasa por Cloudflare antes de llegar al origin server.

Puntos clave del flujo

1. Anycast: Cloudflare utiliza una red Anycast global. El DNS siempre resuelve a la IP del edge node más cercano al usuario, no a la IP real del origin.
2. Proxy mode: Todos los subdominios tienen el proxy de Cloudflare habilitado (icono naranja en el dashboard). Esto oculta la IP real del origin.
3. SSL termination: Cloudflare termina SSL en el edge y re-encripta la conexión al origin (modo Full).
4. Cache: Los assets estáticos (imágenes, CSS, JS) se cachean en el edge. Las respuestas de API no se cachean.

7. Configuración Cloudflare

7.1 SSL/TLS

7.2 Proxy Mode

Todos los subdominios activos tienen el proxy de Cloudflare habilitado (icono naranja). Esto significa que:

• La IP real del origin nunca se expone en respuestas DNS públicas
• Todo el tráfico pasa por el edge de Cloudflare para DDoS protection, WAF y cache
• Los headers CF-Connecting-IP y X-Forwarded-For contienen la IP real del cliente

7.3 TTL de Registros DNS

Cuando un registro está proxied, Cloudflare ignora el TTL configurado y usa su propio (típicamente 300 segundos). Esto permite propagación rápida de cambios.

7.4 Page Rules y Configuration Rules

8. Cloudflare Email Routing

Nvito utiliza Cloudflare Email Routing para gestionar el correo corporativo del dominio raíz nvito.mx. Este servicio gratuito redirige correos entrantes a un buzón centralizado sin necesidad de un servidor de correo propio.

8.1 Direcciones Configuradas

8.2 Registros DNS Automáticos

Cloudflare configura automáticamente los registros MX y SPF necesarios al activar Email Routing:

MX Records (recepción):

nvito.mx    MX    6     amir.mx.cloudflare.net
nvito.mx    MX    10    isaac.mx.cloudflare.net
nvito.mx    MX    23    linda.mx.cloudflare.net

SPF Record (autorización de envío):

nvito.mx    TXT    "v=spf1 include:_spf.google.com include:_spf.mx.cloudflare.net ~all"

El SPF incluye tanto _spf.google.com (para envío futuro vía Gmail) como _spf.mx.cloudflare.net (para Cloudflare Email Routing).

8.3 Separación Correo Corporativo vs Transaccional

Esta separación protege la reputación del dominio raíz. Si los emails transaccionales generan bounces o quejas de spam, solo afectan al subdominio send.nvito.mx, no al dominio principal.

8.4 Gmail "Enviar como" (PENDIENTE)

Para poder responder correos desde Gmail con el remitente hola@nvito.mx (en lugar de nvito.hq@gmail.com), se necesita configurar "Enviar como" en Gmail usando SMTP de Gmail con un App Password.

9. Archivos .well-known (Deep Links)

El dominio nvito.mx sirve archivos .well-known necesarios para que iOS y Android reconozcan la app móvil como manejador de links del dominio. Estos archivos permiten que al abrir https://nvito.mx/join/{token} en un dispositivo con la app instalada, el sistema operativo abra la app directamente en lugar del navegador.

9.1 apple-app-site-association (iOS Universal Links)

(
  "applinks": (
    "apps": [],
    "details": [
      (
        "appIDs": ["TEAM_ID.com.nvito.client"],
        "paths": ["/join/*"]
      )
    ]
  )
)

El archivo se sirve desde /.well-known/apple-app-site-association sin extensión .json. Apple requiere que se sirva con Content-Type: application/json sobre HTTPS.

9.2 assetlinks.json (Android App Links)

[
  (
    "relation": ["delegate_permission/common.handle_all_urls"],
    "target": (
      "namespace": "android_app",
      "package_name": "com.nvito.client",
      "sha256_cert_fingerprints": ["SHA256_PLACEHOLDER"]
    )
  )
]

Se sirve desde /.well-known/assetlinks.json. El sha256_cert_fingerprints se actualiza con el fingerprint real del certificado de firma al publicar la app en Google Play.

10. Troubleshooting DNS

10.1 Propagación DNS

Problema: Un cambio de DNS no se refleja inmediatamente.

Diagnostico:

# Verificar resolución actual
dig admin.nvito.mx +short

# Verificar directamente contra nameservers de Cloudflare
dig @1.1.1.1 admin.nvito.mx +short

# Verificar TTL restante
dig admin.nvito.mx +noall +answer

Solución: Los registros proxied de Cloudflare propagan en segundos. Si el cambio no se refleja, limpiar cache DNS local (sudo dscacheutil -flushcache en macOS) y verificar que no haya cache del browser.

10.2 Error 526 (Invalid SSL Certificate)

Problema: Cloudflare muestra error 526 al acceder a un subdominio.

Causa: El modo SSL está en "Full (Strict)" pero el origin no tiene un certificado válido.

Solución:

1. Verificar que el origin tiene SSL (Let's Encrypt via Coolify/Traefik, o Railway auto-SSL)
2. Si el certificado expiró, renovar en Coolify o cambiar temporalmente a modo "Full" (sin Strict)
3. Para origins sin SSL propio, usar un Cloudflare Origin Certificate (15 años, gratuito)

10.3 Proxy Mode vs DNS Only

Problema: Un subdominio no carga o muestra timeout.

Diagnostico: Verificar si el registro está proxied:

# Si retorna IP de Cloudflare (104.x.x.x, 172.x.x.x) → proxied
# Si retorna IP del VPS (212.28.185.197) → DNS Only
dig admin.nvito.mx +short

Causa común: Si el registro está en DNS Only, el tráfico va directo al VPS sin pasar por Cloudflare. Si el VPS no tiene SSL configurado para ese dominio, el navegador rechaza la conexión.

10.4 Cache de Cloudflare

Problema: Cambios en la aplicación no se reflejan en el navegador.

Solución:

1. Purge cache en Cloudflare: Dashboard > Caching > Purge Everything (o por URL específica)
2. Development Mode: Activar temporalmente en Cloudflare para bypass de cache (3 horas)
3. Verificar headers de cache: curl -I https://cdn.nvito.mx/path/to/asset y revisar CF-Cache-Status