Comprobador de DNSSEC

RSS

Test whether a domain is protected by DNSSEC: we verify the DS record at the parent against the zone's DNSKEYs and check that validating resolvers accept its answers.

Prueba: cloudflare.com, ietf.org, dnssec-failed.org (roto a propósito), google.com
DNSSEC está roto para dnssec-failed.orgLa validación falla, así que los usuarios de resolutores con validación (como 1.1.1.1 y 8.8.8.8) no pueden resolver este dominio en absoluto.
Diagnóstico del resolutor: EDE(9): DNSKEY Missing no SEP matching the DS found for dnssec-failed.org.

Registros DS (en la zona padre)

Etiqueta de claveAlgoritmoResumen (digest)Coincide con una DNSKEY
42069ECDSA P-256/SHA-256SHA-256
62726F6B656E20636861696E206F66207472757…		No

Registros DNSKEY (en la zona)

Etiqueta de claveFunciónAlgoritmoFlags
32784ZSKECDSA P-256/SHA-256256
50719KSKECDSA P-256/SHA-256257

Qué es DNSSEC

DNS se diseñó sin ninguna forma de comprobar que una respuesta es genuina, lo que hace posibles los ataques de envenenamiento de caché y de suplantación. DNSSEC (DNS Security Extensions) añade firmas digitales a los registros DNS. Una zona publica sus claves públicas como registros DNSKEY y firma cada conjunto de registros con un RRSIG. La zona padre (por ejemplo .com) publica un registro DS que contiene un hash de la clave de firma de claves de la zona hija. Seguir los enlaces DS → DNSKEY → RRSIG hasta la raíz crea una cadena de confianza que los resolutores que validan pueden verificar. Lee nuestra guía de DNSSEC.

Qué verifica este comprobador

  1. DS en el padre: si el registro del TLD publica un registro DS para el dominio.
  2. DNSKEY en la zona: las claves publicadas, su función (KSK o ZSK) y sus algoritmos.
  3. Coincidencia DS ↔ DNSKEY: recalculamos nosotros mismos la etiqueta y el resumen de cada clave y confirmamos que el registro DS apunta a una clave real.
  4. Validación en vivo: consultamos el dominio a un resolutor que valida (Cloudflare 1.1.1.1) y comprobamos el flag Authenticated Data (AD), además de cualquier error DNS extendido que explique un fallo.

Cómo activar DNSSEC

  1. Activa la firma DNSSEC en tu proveedor de DNS. La mayoría de los grandes proveedores de DNS lo hacen con un clic.
  2. Copia el registro DS que te den (etiqueta de clave, algoritmo, tipo de resumen y resumen).
  3. Añádelo en la configuración de DNSSEC de tu registrador de dominios. Algunos registradores lo hacen automáticamente cuando también alojan tu DNS.
  4. Espera al TTL de la zona padre y vuelve a ejecutar esta comprobación.
¿Cambias de proveedor de DNS? Quita el registro DS en el registrador antes de cambiar los servidores de nombres, o el DS antiguo no coincidirá con las claves del nuevo proveedor y todo tu dominio dejará de resolverse para los usuarios de resolutores que validan.

Preguntas frecuentes

¿DNSSEC cifra el DNS?

No. DNSSEC demuestra que las respuestas son auténticas pero no las oculta. El cifrado lo aportan DNS sobre HTTPS o DNS sobre TLS.

¿Qué algoritmo debo usar?

ECDSA P-256 con SHA-256 (algoritmo 13) es la opción moderna por defecto: pequeño, rápido y ampliamente compatible. Ed25519 (algoritmo 15) también es una buena opción donde se admite.

¿Por qué algunos sitios grandes no usan DNSSEC?

Por riesgo operativo y complejidad, sobre todo en configuraciones grandes con varios proveedores. La adopción varía mucho según el TLD y el proveedor.

Actualizado

Copiado al portapapeles