Ayuda y Resolución de problemas
Registro DS
Qué es esto
El registro DS (Delegation Signer) vive en la zona padre (por ejemplo, .com) y contiene un hash de la clave de firmado de clave (KSK) de tu zona. Es lo que enlaza tus claves DNSSEC con la cadena de confianza global, y se gestiona a través de tu registrador.
Cómo interpretar tu resultado
Si tu zona está firmada, debería existir un DS y su etiqueta de clave (key tag) debería corresponder a tu KSK actual. Un DS sin un DNSKEY que coincida, o un DNSKEY sin DS, son los dos estados a medias rotos sobre los que conviene actuar.
Problemas comunes y cómo solucionarlos
Registro DS obsoleto tras cambiar de proveedor de DNS
Cómo se manifiesta: El dominio resuelve para algunos usuarios y da SERVFAIL para otros; los fallos empezaron justo después de un cambio de servidores de nombres.
Cómo solucionarlo: Inicia sesión en el registrador y elimina el registro DS antiguo (o reemplázalo por uno que coincida con las claves del nuevo proveedor, si el nuevo proveedor firma la zona). Esta es la caída de DNSSEC más común de todas.
La zona está firmada pero nunca se publicó un DS
Cómo se manifiesta: DNSSEC no ofrece ninguna protección: los resolutores que validan tratan la zona como no firmada, aunque nada esté roto.
Cómo solucionarlo: Obtén los datos del DS (etiqueta de clave, algoritmo, digest) de tu proveedor de DNS e introdúcelos en tu registrador. Muchos paneles de registrador tienen una sección DNSSEC dedicada para esto.
El DS usa un digest obsoleto (SHA-1)
Cómo se manifiesta: Algunos validadores advierten o se niegan; las auditorías de seguridad lo marcan.
Cómo solucionarlo: Publica un nuevo DS usando el tipo de digest 2 (SHA-256) y elimina el de SHA-1.