¿Qué es DNSSEC y cómo funciona?

DNSSEC añade firmas digitales a los datos DNS. Un resolutor que valida puede detectar una respuesta falsificada o una cadena de confianza rota. Protege el origen y la integridad de los registros, pero no cifra las consultas DNS ni hace automáticamente que un sitio web sea de confianza.

¿Cómo funciona la cadena de confianza?

El operador de la zona firma los registros con una clave privada y publica registros DNSKEY y RRSIG. La zona padre contiene un registro DS que la enlaza con la clave de la zona hija. Un resolutor que valida sigue la cadena desde una raíz de confianza hasta la respuesta. Acepta los datos correctamente firmados y puede devolver un error cuando la cadena está rota. El RFC 4033 describe la finalidad y los límites de DNSSEC.

La prueba de que un registro no existe también puede autenticarse, lo que impide que un atacante se limite a sustituir una respuesta negativa. La mayoría de los visitantes nunca ven las firmas directamente; el resultado depende de si su resolutor las valida. Un interruptor de DNSSEC en un panel de control no demuestra por sí solo que el DS de la zona padre, las claves publicadas y las firmas coincidan en todos los servidores autoritativos.

¿Qué protege DNSSEC y qué no?

Con la validación, DNSSEC dificulta la modificación inadvertida de las respuestas DNS. No oculta al resolutor el nombre consultado ni cifra el tráfico hacia él; DoH y DoT abordan otro problema, el de la privacidad del transporte. DNSSEC tampoco sustituye un certificado TLS, un contenido web honesto, la protección de la cuenta del registrador ni una buena administración de la zona.

Si el propietario del dominio publica una dirección errónea, DNSSEC puede autenticar fielmente esa dirección errónea. Mantenga correctos los registros A, AAAA, MX y demás, con independencia de la firma. Al diagnosticar un fallo, utilice una consulta DNS para comparar las respuestas de resolutores que validan y de resolutores que no lo hacen. No desactive la validación para todos solo para que un dominio averiado parezca funcionar. Para revisar los registros, puede usar la comprobación de la configuración DNS de 2IP.

¿Por qué puede dejar de resolverse un dominio firmado?

Una causa habitual es un registro DS obsoleto en la zona padre tras cambiar de proveedor DNS o de claves. Las firmas caducadas, los servidores autoritativos incoherentes o una rotación de claves fallida también pueden romper la validación. Examine la delegación, los valores actuales de DNSKEY y DS, los periodos de validez de RRSIG y la respuesta de cada servidor autoritativo. Anote el error exacto y la hora de la prueba antes de cambiar la configuración.

Antes de migrar una zona firmada, coordine la actualización del DS con el nuevo operador y verifique sus claves. Tras la reparación, espere a que caduquen las respuestas positivas y negativas almacenadas en caché. Para un dominio que use el correo o una API, prepare una ventana de cambios y un procedimiento de reversión. Una automatización fiable de la firma y la monitorización valen más que un estado «activado» sin verificar en un panel.