DNSSEC añade firmas criptográficas a los datos de una zona DNS para que un resolver pueda comprobar que la respuesta procede de la autoridad esperada y no ha sido alterada durante la consulta. Está pensado para resolver problemas de autenticidad e integridad de datos DNS, no para cifrar la comunicación.
Su funcionamiento depende de una cadena de confianza completa. Una zona firmada con una clave mal publicada o una delegación incompleta puede hacer que un resolver valide la respuesta como incorrecta.
Qué riesgo intenta reducir DNSSEC
El DNS tradicional permite obtener una respuesta, pero el cliente necesita confiar en el camino y en la información que recibe. DNSSEC permite detectar que un registro firmado no coincide con la prueba criptográfica asociada a su zona. Un resolver que valida puede rechazar el resultado en lugar de entregarlo como si fuera auténtico.
Esto no significa que todo resolver valide ni que una firma convierta en correcta la información original. Si la autoridad publica una dirección equivocada y la firma es válida, DNSSEC confirma la autenticidad de ese dato equivocado.
Las piezas de la cadena de confianza
La zona publica una DNSKEY con las claves que participan en la firma. Los registros RRSIG contienen firmas asociadas a conjuntos de registros. En la delegación, el registro DS del padre permite relacionar la zona hija con una clave esperada. El resolver utiliza esas piezas para avanzar desde una raíz de confianza hasta el dominio consultado.
El registrador, el registro de la extensión y el proveedor DNS pueden tener responsabilidades distintas. El proveedor puede firmar la zona, mientras el registrador publica el DS en la delegación. Coordinar ambos lados es esencial.
Qué ocurre durante una validación
Cuando el resolver solicita un registro, obtiene también la información necesaria para comprobar la firma. Verifica la cadena, la vigencia y la correspondencia entre claves y datos. Si una zona se anuncia como segura pero la cadena no coincide, puede devolver un estado de validación fallida en vez de una respuesta utilizable.
Un usuario puede ver el dominio como caído aunque los servidores autoritativos respondan. Por eso una prueba desde un único ordenador no basta para diagnosticar DNSSEC: hay que diferenciar respuesta autoritativa, caché y validación del resolver.
Rotación y cambios de claves
Las claves deben poder cambiarse sin romper la cadena. La rotación exige publicar material nuevo, mantener durante un periodo lo que necesitan los resolvers y retirar lo antiguo en el orden adecuado. El procedimiento exacto depende del proveedor y de la extensión, así que debe seguir su documentación.
Una copia de la configuración, un contacto responsable y una ventana de cambio reducen el riesgo. No conviene activar o retirar DS sin saber qué DNSKEY está sirviendo la zona hija.
Errores de despliegue frecuentes
Entre los fallos habituales están publicar un DS que no corresponde a la clave activa, cambiar de proveedor sin trasladar la firma, olvidar una zona hija o dejar una firma caducada. También puede ocurrir que el dominio cambie de nameserver mientras el nuevo proveedor aún no está preparado para firmar.
Antes de un cambio, consulta la respuesta autoritativa y usa validadores independientes. Conserva una vía de recuperación y documenta quién puede retirar el DS si el servicio deja de validar.
Lo que DNSSEC no hace
DNSSEC no cifra las consultas, no oculta el dominio solicitado y no proporciona HTTPS. Tampoco protege el contenido de una web, las credenciales, el correo ni la cuenta del registrador. Un atacante que compromete las credenciales administrativas puede publicar datos firmados que apunten al destino equivocado.
Qué comprobar antes de activar DNSSEC
Confirma quién firma la zona, quién publica el DS, qué extensión y proveedor aplican las reglas, cómo se rotan las claves y cómo se retira una configuración defectuosa. Prueba con resolvers validadores y revisa cambios desde distintos puntos. DNSSEC aporta una comprobación importante de autenticidad e integridad cuando está bien desplegado, pero forma parte de la seguridad del dominio y no la sustituye por completo.
Firmar no equivale a validar
La zona autoritativa puede publicar DNSKEY y RRSIG correctamente, pero el beneficio aparece cuando el resolver que recibe la respuesta comprueba la cadena. Un cliente que no valida puede seguir aceptando una respuesta sin mostrar esa diferencia. Por eso una prueba debe indicar qué resolver se utilizó y qué estado de validación devolvió.
El registro DS se publica en la zona padre y contiene una referencia derivada de la clave de la zona hija. Si se cambia la clave sin actualizar esa referencia, el resolver puede detectar una inconsistencia. Retirar un DS antes de que la zona deje de firmar tiene efectos distintos a corregir una firma caducada.
DNSSEC y cambios de proveedor
Antes de mover una zona, confirma si el proveedor nuevo puede importar claves, generar firmas y mantener la delegación. Una transferencia de nameservers con un DS antiguo puede dejar el dominio sin validar si la nueva zona sirve otra clave. Coordina el orden del cambio y conserva un plan para desactivar la cadena si el operador lo requiere.
Validación final antes de activar DNSSEC
Confirma autoridad, claves, DS, fechas de firma, rotación, resolvers validadores y procedimiento de recuperación. Comprueba una respuesta correcta y una situación de error controlada. DNSSEC protege la integridad y autenticidad de datos firmados, pero no sustituye TLS, la seguridad del registrador ni la protección de la aplicación.