Comprobación DNSSEC
Consultamos los registros DS en la zona padre, el conjunto DNSKEY de la zona y sus firmas, y preguntamos a un resolutor validador si la respuesta se valida.
DNSSEC permite a un resolvedor comprobar que una respuesta DNS procede realmente del titular de la zona. Funciona como una cadena de confianza: la zona superior (por ejemplo .fi o .es) publica un registro DS, huella de la clave de firma de claves de la zona; la zona publica sus claves como DNSKEY y firma sus datos con registros RRSIG; un resolvedor validador sigue la cadena desde la raíz y marca con el indicador AD las respuestas que ha podido verificar.
La comprobación consulta los DS de la zona superior, el conjunto DNSKEY y sus firmas, y pregunta a nuestro resolvedor si la respuesta se validó. También verifica que la etiqueta de clave de cada DS coincide con una clave de la zona: el punto de rotura más habitual al rotar claves o cambiar de proveedor DNS.
Un dominio sin firmar no está roto; simplemente no está protegido frente a respuestas falsificadas.
Preguntas frecuentes
¿Qué significa «firmado pero sin validar»?
La zona superior publica DS, pero el resolvedor no aceptó las firmas de la zona. Los resolvedores validadores responden SERVFAIL y el dominio puede desaparecer para sus usuarios. Causa habitual: un DS que quedó tras pasar a un proveedor DNS con otras claves.
¿Necesito DNSSEC?
Protege frente a respuestas DNS falsificadas (envenenamiento de caché) y es requisito de mecanismos como DANE. Su proveedor DNS y su registrador deben admitirlo.
¿Por qué el resultado para www.example.com trata de example.com?
DNSSEC se configura por zona. Un nombre de host dentro de una zona está cubierto por las claves de esta, así que la comprobación informa sobre la zona que contiene el nombre.