¿Qué es DNSSEC?
Comprende la autenticación de respuestas DNS, su cadena de confianza y sus límites.
DNSSEC añade firmas digitales a los datos DNS para que un resolutor validador pueda comprobar que una respuesta es auténtica y no se ha modificado durante el tránsito. Cuando se implementa correctamente, protege la integridad de las respuestas DNS. No cifra las consultas DNS, no oculta la actividad de navegación ni sustituye a HTTPS para una web.
Cómo funciona la validación
Una zona firmada publica firmas y datos DNSKEY. Una cadena de confianza conecta la zona superior con la subordinada, normalmente mediante un registro DS en la zona superior. Un resolutor validador comprueba esa cadena antes de aceptar una respuesta firmada. Si las firmas o los enlaces son incorrectos, la validación puede fallar aunque el valor A o MX subyacente parezca verosímil.
Por eso tanto el registrador como el proveedor DNS son importantes durante la configuración: el proveedor DNS firma la zona y la información DS del lado superior debe coincidir. Un registro DS obsoleto después de cambiar de proveedor puede hacer que un dominio parezca inaccesible para los resolutores validadores.
Lo que DNSSEC no resuelve
DNSSEC autentica los datos DNS; no demuestra que el servidor nombrado en la respuesta sea seguro ni que su contenido web sea verdadero. Tampoco mantiene segura una cuenta del registrador. Los certificados HTTPS y el cifrado de transporte abordan problemas diferentes. DNS over HTTPS puede cifrar la conexión con un resolutor, pero por sí solo no valida la cadena DNS firmada.
Un dominio sin firmar no está necesariamente comprometido. La conveniencia de activar DNSSEC depende de la compatibilidad del proveedor y de la capacidad para mantener correctamente las claves y la delegación.
Comprobaciones prácticas
Al activarlo, sigue las instrucciones de tu proveedor DNS, publica en el registrador el DS correspondiente y prueba la validación antes de retirar al proveedor antiguo. Después de cualquier cambio de servidor de nombres o clave, comprueba que DS y DNSKEY sigan coincidiendo. Utiliza /whois para ver el contexto DNS, pero emplea un resolutor validador específico o una herramienta de diagnóstico para confirmar la cadena de confianza. La guía de registros DNS sitúa los tipos relacionados en contexto.
Fuentes
Compruébalo con WhoisFind
Consulta los datos disponibles de un dominio y revisa su contexto antes de sacar conclusiones.
Abrir la herramienta