Comprobador de DNSSEC

RSS

Test whether a domain is protected by DNSSEC: we verify the DS record at the parent against the zone's DNSKEYs and check that validating resolvers accept its answers.

Prueba: cloudflare.com, ietf.org, dnssec-failed.org (roto a propósito), google.com
DNSSEC está habilitado y es válido para ietf.orgLos resolutores con validación autentican las respuestas de este dominio (indicador AD activado).

Registros DS (en la zona padre)

Etiqueta de claveAlgoritmoResumen (digest)Coincide con una DNSKEY
2371ECDSA P-256/SHA-256SHA-256
B1AE88AFF068DDEC3F7FF662F47D6599C741344…		Sí

Registros DNSKEY (en la zona)

Etiqueta de claveFunciónAlgoritmoFlags
34505ZSKECDSA P-256/SHA-256256
2371KSKECDSA P-256/SHA-256257

Qué es DNSSEC

DNS se diseñó sin ninguna forma de comprobar que una respuesta es genuina, lo que hace posibles los ataques de envenenamiento de caché y de suplantación. DNSSEC (DNS Security Extensions) añade firmas digitales a los registros DNS. Una zona publica sus claves públicas como registros DNSKEY y firma cada conjunto de registros con un RRSIG. La zona padre (por ejemplo .com) publica un registro DS que contiene un hash de la clave de firma de claves de la zona hija. Seguir los enlaces DS → DNSKEY → RRSIG hasta la raíz crea una cadena de confianza que los resolutores que validan pueden verificar. Lee nuestra guía de DNSSEC.

Qué verifica este comprobador

  1. DS en el padre: si el registro del TLD publica un registro DS para el dominio.
  2. DNSKEY en la zona: las claves publicadas, su función (KSK o ZSK) y sus algoritmos.
  3. Coincidencia DS ↔ DNSKEY: recalculamos nosotros mismos la etiqueta y el resumen de cada clave y confirmamos que el registro DS apunta a una clave real.
  4. Validación en vivo: consultamos el dominio a un resolutor que valida (Cloudflare 1.1.1.1) y comprobamos el flag Authenticated Data (AD), además de cualquier error DNS extendido que explique un fallo.

Cómo activar DNSSEC

  1. Activa la firma DNSSEC en tu proveedor de DNS. La mayoría de los grandes proveedores de DNS lo hacen con un clic.
  2. Copia el registro DS que te den (etiqueta de clave, algoritmo, tipo de resumen y resumen).
  3. Añádelo en la configuración de DNSSEC de tu registrador de dominios. Algunos registradores lo hacen automáticamente cuando también alojan tu DNS.
  4. Espera al TTL de la zona padre y vuelve a ejecutar esta comprobación.
¿Cambias de proveedor de DNS? Quita el registro DS en el registrador antes de cambiar los servidores de nombres, o el DS antiguo no coincidirá con las claves del nuevo proveedor y todo tu dominio dejará de resolverse para los usuarios de resolutores que validan.

Preguntas frecuentes

¿DNSSEC cifra el DNS?

No. DNSSEC demuestra que las respuestas son auténticas pero no las oculta. El cifrado lo aportan DNS sobre HTTPS o DNS sobre TLS.

¿Qué algoritmo debo usar?

ECDSA P-256 con SHA-256 (algoritmo 13) es la opción moderna por defecto: pequeño, rápido y ampliamente compatible. Ed25519 (algoritmo 15) también es una buena opción donde se admite.

¿Por qué algunos sitios grandes no usan DNSSEC?

Por riesgo operativo y complejidad, sobre todo en configuraciones grandes con varios proveedores. La adopción varía mucho según el TLD y el proveedor.

Actualizado

Copiado al portapapeles