Comprobador DNSSEC: revisa firmas y cadena de confianza
Comprueba si tu dominio está firmado con DNSSEC, si la cadena desde el registrador hasta tus servidores de nombres es correcta y cuándo caducan las firmas.
Comprobar DNSSEC
Escribe el dominio, por ejemplo tu-dominio.es.
Las consultas se hacen a través del resolvedor DNS Quad9 (Suiza). Guardamos el dominio consultado y una dirección IP anonimizada durante 30 días como máximo.
Así funciona DNSSEC
¿Qué es DNSSEC?
Sin DNSSEC, un atacante puede falsificar respuestas DNS y desviar a los visitantes a otro servidor sin que se note. Con DNSSEC, tu servidor de nombres firma cada respuesta. Un resolver que valida, como el de tu proveedor de internet o Quad9, comprueba la firma y descarta las respuestas falsificadas.
La cadena de confianza
Para que la firma valga algo, el resolver tiene que confiar en la clave. De eso se encarga una cadena: la zona raíz avala la clave del dominio de nivel superior, como .es, y este avala la clave de tu dominio mediante un registro DS. El DS lo publicas en tu registrador; tu servidor de nombres sirve la clave (DNSKEY) y las firmas (RRSIG).
Qué comprueba el comprobador DNSSEC
Consultamos un resolver que valida y leemos DS, DNSKEY y firmas. Si el DS no coincide con ninguna clave, las firmas han caducado o la zona usa algoritmos obsoletos, te decimos qué falla. Cuando DNSSEC está roto, los resolvers que validan no devuelven ninguna respuesta: el dominio es inaccesible para muchos usuarios aunque los servidores de nombres funcionen.
Errores típicos de DNSSEC
DS antiguo tras cambiar de proveedor
Si trasladas tu dominio a otro proveedor de DNS, las claves cambian. Si el DS antiguo sigue en el registrador, DNSSEC se rompe y el dominio cae para muchos usuarios. Borra el DS antes del traslado o sustitúyelo justo después.
Falta el DS en el registrador
Muchos servidores de nombres firman la zona automáticamente, pero sin DS en el registrador falta el último eslabón de la cadena. La zona cuenta entonces como no firmada. Añade el DS que te muestra tu proveedor de DNS.
Firmas caducadas
Las firmas solo son válidas unos días o semanas y deben renovarse con regularidad. Si la firma automática deja de funcionar, el dominio cae en cuanto caduca la última firma.
Algoritmos obsoletos
Las zonas con RSA/SHA-1 (algoritmo 5 o 7) deberían cambiarse. Se recomiendan ECDSA P-256 (13) o RSA/SHA-256 (8). Para el DS en el registrador: SHA-256 en lugar de SHA-1.
Preguntas frecuentes
Escribe tu dominio arriba. El comprobador DNSSEC muestra si hay un DS publicado en el registrador, qué claves tiene la zona y si un resolver que valida acepta las firmas.
No es obligatorio y la mayoría de dominios no están firmados. Pero DNSSEC protege frente a respuestas DNS falsificadas y es requisito para técnicas como DANE. Si tu proveedor ofrece DNSSEC con un clic, merece la pena.
Una causa habitual es un DNSSEC roto, por ejemplo un DS antiguo tras cambiar de proveedor. Los resolvers que validan dejan de responder y otros no, por eso el dominio funciona para unos usuarios y para otros no. El comprobador DNSSEC muestra la causa.
La Key Signing Key (KSK) solo firma las claves de la zona; a ella apunta el DS del registrador. La Zone Signing Key (ZSK) firma todos los demás registros. Así se puede cambiar la ZSK sin tocar el DS del registrador.
Primero borra el DS en el registrador y espera a que caduque su TTL, normalmente uno o dos días. Solo después desactiva la firma en tu proveedor de DNS. En el orden inverso, el dominio queda inaccesible mientras tanto.
ECDSA P-256 con SHA-256 (algoritmo 13) es hoy la opción habitual: claves cortas y respuestas pequeñas. RSA/SHA-256 (8) también es seguro. Conviene sustituir los algoritmos con SHA-1 (5 y 7).
