DNSSEC: ¿merece la pena proteger más tu dominio?
Autor: Redacción Domeny.ForSale Publicado Actualizado
En resumen: Conviene activar DNSSEC si el proveedor de DNS y el registrador lo gestionan de forma automatizada y el dominio es importante para la empresa, el correo o las ventas. Este mecanismo reduce el riesgo de falsificación de las respuestas DNS, pero no cifra el tráfico ni sustituye a HTTPS, a la protección de la cuenta del registrador ni a una configuración correcta del correo. En cambio, un cambio mal ejecutado de claves o servidores DNS puede dejar el dominio temporalmente inaccesible.
Qué protege exactamente DNSSEC
DNS, el sistema de nombres de dominio, convierte un nombre como tienda.example en la dirección de un servidor. Una respuesta DNS convencional no incluye ningún mecanismo que permita al destinatario confirmar su autenticidad mediante criptografía. Un atacante puede intentar proporcionar una dirección falsa, por ejemplo, mediante el envenenamiento de la caché del servidor DNS.
DNSSEC, siglas de Domain Name System Security Extensions, añade firmas digitales a los registros DNS. Un resolutor que admita la validación —el servidor DNS que responde a las consultas del usuario— puede comprobar si los datos proceden de la zona correcta y no se han modificado por el camino.
La confianza se establece mediante una cadena que va desde la zona superior hasta el dominio. En la práctica, el proveedor de DNS almacena las claves y firma la zona, mientras que en el registrador se publica un registro DS que apunta a la clave correspondiente. Solo si estos elementos coinciden puede el resolutor validar la respuesta.
Por ejemplo, un cliente introduce la dirección de un banco o una tienda. Si recibe una respuesta DNS falsificada, el resolutor que valida DNSSEC debería rechazarla en lugar de dirigir al usuario al servidor del atacante. No obstante, la protección solo funciona si toda la cadena está correctamente configurada y el resolutor utilizado comprueba realmente las firmas.
Qué no garantiza DNSSEC
DNSSEC confirma la autenticidad de los datos DNS, pero no los oculta. Las consultas y las respuestas pueden seguir siendo visibles en la red, salvo que se utilice un mecanismo independiente para cifrar el transporte de DNS, como DNS over HTTPS o DNS over TLS.
Este mecanismo tampoco protege:
- el panel del registrador frente al acceso de un atacante que se haya hecho con la cuenta,
- la web frente a vulnerabilidades de la aplicación y código malicioso,
- la conexión con el sitio sin una implementación correcta de HTTPS,
- el correo frente a la suplantación sin una configuración adecuada de SPF, DKIM y DMARC,
- los servidores autoritativos frente a fallos o sobrecargas.
DNSSEC tampoco corrige registros que sean erróneos desde el principio. Si el propietario del dominio firma una dirección IP incorrecta, la firma solo confirmará que esa es la información publicada por el administrador de la zona.
Cuándo tiene especial sentido activarlo
Su uso está especialmente justificado en dominios destinados a banca, pagos, comercio electrónico, inicio de sesión en servicios, gestión de datos de clientes o correo empresarial. En estos casos, dirigir a los usuarios a un sistema falso puede tener consecuencias más graves que en una web meramente informativa.
DNSSEC también es una opción razonable para sitios más pequeños si el proveedor de DNS automatiza la firma y el cambio de claves. En ese caso, la protección adicional no suele requerir una gestión diaria. Aun así, hay que conocer el procedimiento para migrar el dominio a otro proveedor de DNS.
Es necesario actuar con cautela si se gestiona DNS por cuenta propia, la documentación de los proveedores no es clara o la empresa no tiene a nadie responsable de las claves. La mejora de seguridad sigue siendo real, pero aumenta el riesgo de cometer errores operativos.
El principal riesgo: una cadena de confianza rota
El problema más habitual al implantar esta protección no es la firma en sí, sino la falta de correspondencia entre el registro DS del registrador y la clave utilizada por el proveedor de DNS. En ese caso, el resolutor que realiza la validación considerará que las respuestas no son fiables. Para el usuario, esto puede parecer una caída total de la web y del correo, aunque los servidores sigan funcionando.
Esta situación puede producirse al cambiar de proveedor de DNS. Si la clave antigua deja de ser válida y el registro DS sigue apuntando a ella, el dominio no superará la validación. Por eso, no se deben eliminar los ajustes antiguos ni introducir los nuevos sin respetar el orden adecuado.
Antes de migrar, hay que consultar las instrucciones de ambos proveedores y del registrador. El procedimiento depende de sus sistemas, de los algoritmos que admitan y de cómo se actualice el registro DS. Por tanto, los requisitos vigentes deben confirmarse en la documentación oficial de los proveedores.
Cómo decidir y activar la protección de forma segura
Primero, comprueba si la extensión del dominio, el registrador y el proveedor de los servidores autoritativos DNS admiten DNSSEC. Averigua también si el registro DS se enviará automáticamente o si tendrás que pegarlo a mano en el panel del registrador.
El procedimiento práctico es el siguiente:
- Guarda la configuración actual de DNS y comprueba que el dominio funciona correctamente.
- Activa la firma en el proveedor de DNS siguiendo sus instrucciones.
- Añade o confirma el registro DS en el registrador si no se hace automáticamente.
- Tras la propagación, comprueba la cadena de validación con una herramienta de diagnóstico compatible con DNSSEC.
- Deja por escrito el procedimiento para cambiar de proveedor y desactivar DNSSEC, y guarda los datos de contacto del soporte técnico.
Si las tres partes gestionan el mecanismo de forma automática, activar DNSSEC suele ser el siguiente paso adecuado. Si la gestión es manual, prepara primero un procedimiento para migrar el dominio y restablecer su funcionamiento en caso de problemas: no basta con marcar una opción en el panel.
Lee también
