¿Qué es DNSSEC y qué ataques puede ayudar a evitar?
Publicado el 2026-10-26 por frfrand
DNSSEC explicado: firmas DNS, validación de respuestas, cadena de confianza y limitaciones frente a HTTPS.
DNSSEC añade firmas criptográficas a determinados datos DNS para que los resolvedores que validan puedan comprobar su autenticidad e integridad. No cifra las consultas DNS ni sustituye HTTPS; protege una parte diferente del camino.
Una forma sencilla de entenderlo
Si recibís una dirección escrita en un papel, ¿cómo sabés que alguien no la reemplazó? DNSSEC se parece a añadir una firma verificable a la respuesta, de modo que un sistema preparado pueda comprobar que la información fue publicada por la zona correspondiente y no modificada por un intermediario.
¿Cómo funciona en la práctica?
Las zonas DNS firmadas publican registros que permiten verificar firmas, como DNSKEY y RRSIG, y establecen una cadena de confianza mediante registros DS en los niveles apropiados. Un resolvedor validador comprueba esa cadena antes de aceptar ciertos resultados. La configuración depende de los servidores autoritativos y del registrador de dominio.
Lo que no resuelve y sus límites
Una zona firmada incorrectamente puede causar fallos de resolución que parecen una caída del sitio. DNSSEC tampoco demuestra que el sitio al que te conectás sea honesto, ni protege el contenido HTTP, las contraseñas o la base de datos. La privacidad del usuario es otro problema: DNSSEC no oculta qué nombre consultaste.
Cómo aplicarlo y comprobarlo sin sorpresas
Comprobá si tu proveedor DNS admite firmas y cómo gestiona las claves. Si necesitás publicar un registro DS, asegurate de que coincida con la información de la zona. Probá el resultado desde resolvedores validadores y planificá los cambios de proveedor; una migración descuidada puede dejar el dominio inaccesible.
¿Cómo aparece en ArduMaker?
Si administrás dominios que apuntan a aplicaciones en VPS de ArduMaker, DNSSEC depende de la zona autoritativa y del registrador, no del hecho de que la web esté alojada en un VPS. Es útil separar estos conceptos al investigar fallos de resolución.
¿Por qué un sitio puede fallar al activar DNSSEC?
El problema no siempre está en el servidor web. Si la cadena de firmas DNS es inválida, un resolvedor validador puede rechazar la respuesta antes de que el navegador intente la conexión HTTPS. Por eso, ante una caída posterior a un cambio de proveedor DNS, conviene verificar DNSSEC antes de reiniciar una aplicación que está perfectamente operativa.
¿Conviene activarlo siempre?
Es útil cuando el registrador y el servicio autoritativo proporcionan un mantenimiento adecuado. Si no podés gestionar correctamente rotaciones de claves, cambios de proveedor y supervisión de la cadena, primero prepará el procedimiento. La seguridad también implica no romper la disponibilidad de los usuarios.
Para recordar
DNSSEC añade firmas criptográficas a determinados datos DNS para que los resolvedores que validan puedan comprobar su autenticidad e integridad. Entender cuándo se aplica, cómo falla y qué datos revisar es más útil que memorizar comandos sueltos.
Para ampliar: ICANN: DNSSEC.