¿Qué es DNSSEC?
DNSSEC (DNS Security Extensions) firma criptográficamente los registros DNS para que los resolutores puedan verificar que no han sido manipulados, defendiéndose del envenenamiento de caché y la suplantación. Añade una cadena de confianza sobre el DNS ordinario sin cambiar el significado de los registros. IPeek consulta un resolutor DNS-over-HTTPS validante e informa de si el dominio está firmado y autenticado.
Cómo construye DNSSEC una cadena de confianza
DNSSEC funciona firmando cada zona con una clave privada y publicando la clave pública correspondiente en el DNS. Los registros se firman (RRSIG), las claves se publican (DNSKEY) y una huella de la clave de la zona (el registro DS) se coloca en la zona padre. Esto vincula tu zona con su padre, que se vincula con el suyo, hasta llegar a la raíz: una cadena de confianza continua. Un resolutor validante sigue esa cadena desde la raíz hacia abajo, comprobando cada firma, y solo confía en respuestas cuyas firmas verifican.
Cómo leer tus resultados de la comprobación DNSSEC
IPeek informa de si el dominio está firmado con DNSSEC y de si un resolutor validante lo autentica. Un resultado autenticado (a menudo mostrado como el flag AD, o Authenticated Data) significa que la cadena de confianza está intacta y los registros están verificados. Si el dominio no está firmado, DNSSEC simplemente no está activado: algo común y no un error, pero significa que los registros no están protegidos. Un dominio firmado que falla la validación es más grave: apunta a una cadena rota, normalmente un registro DS ausente o que no coincide en el registrador.
Problemas habituales de DNSSEC y cómo arreglarlos
El fallo más común es una cadena de confianza rota, donde la zona está firmada pero el registro DS en el padre está ausente, obsoleto o no coincide con la clave actual. Esto hace que los resolutores validantes devuelvan SERVFAIL y puede dejar el dominio completamente inaccesible para los usuarios tras resolutores validantes. Suele ocurrir durante las rotaciones de clave o al activar DNSSEC sin subir el registro DS al registrador. Arréglalo asegurándote de que el registro DS del registrador coincida con la clave activa de tu zona, y nunca elimines claves antiguas antes de que la actualización del DS haya propagado.