DNSSEC explicado: qué es y por qué lo necesitas (Guía 2026)

El DNS es la guía telefónica de internet: traduce nombres de dominio (sealgrade.com) a direcciones IP (203.0.113.5). Pero el DNS original no tiene seguridad: cualquiera que intercepte una consulta DNS puede devolver una respuesta falsa y redirigir al usuario a un sitio malicioso.

Aquí entra DNSSEC: una extensión del protocolo DNS que añade firmas criptográficas a las respuestas. Si el resolver DNS detecta que las firmas no son válidas, descarta la respuesta.

En esta guía te explico qué es DNSSEC, cómo funciona, qué problemas resuelve y cómo activarlo en tu dominio.

1. El problema que resuelve DNSSEC

El DNS fue diseñado en los años 80, cuando la seguridad no era una prioridad. El protocolo original no verifica la autenticidad de las respuestas. Esto permite varios ataques:

• DNS cache poisoning: un atacante inyecta respuestas falsas en la caché de un resolver DNS. A partir de ahí, todos los usuarios que usen ese resolver van a la web del atacante.
• DNS hijacking: se modifican los registros DNS del dominio en el registrador o proveedor para redirigir el tráfico.
• Man-in-the-middle en DNS: en redes wifi públicas, un atacante puede interceptar consultas DNS y devolver respuestas falsas.

2. ¿Qué es DNSSEC?

DNSSEC (Domain Name System Security Extensions) es una extensión del protocolo DNS definida en los RFC 4033, 4034 y 4035. Añade firmas criptográficas a los registros DNS para que los resolvers puedan verificar:

• Autenticidad: la respuesta viene realmente del servidor autoritativo legítimo.
• Integridad: el contenido de la respuesta no ha sido modificado.
• No repudio: el servidor autoritativo no puede negar haber emitido la respuesta.

DNSSEC no cifra las respuestas DNS. Solo las firma. Es una protección contra manipulación, no contra espionaje.

3. Cómo funciona (firmas y cadena de confianza)

DNSSEC usa criptografía asimétrica: cada zona DNS tiene un par de claves (pública y privada). Los registros se firman con la clave privada, y los resolvers verifican con la pública.

Los registros de DNSSEC

DNSSEC introduce varios tipos de registros nuevos:

La cadena de confianza

Para que DNSSEC funcione a nivel global, existe una cadena de confianza que empieza en la raíz de internet:

1. La raíz de internet (.) está firmada con una clave pública conocida por todos los resolvers.
2. La raíz publica registros DS de los TLDs (como .com, .es, .org).
3. Cada TLD publica registros DS de sus dominios (por ejemplo, tudominio.com).
4. Tu dominio publica su DNSKEY firmado, y los resolvers validan toda la cadena.

Si algún eslabón de la cadena falla, el resolver rechaza la respuesta.

Ejemplo de registro DS

tudominio.com.  IN  DS  12345 8 2 (
    A1B2C3D4E5F6... (hash de la clave pública)
)

El registro DS es simplemente un hash de la clave pública del dominio, publicado por el TLD. Permite al resolver validar que la clave del dominio es legítima.

4. Qué ataques previene (y cuáles no)

✅ Ataques que SÍ previene

• DNS cache poisoning: las respuestas falsas no llevarán firma válida.
• DNS hijacking a nivel de resolver: los resolvers DNSSEC-aware rechazan respuestas sin firma.
• Man-in-the-middle DNS: no pueden falsificar respuestas firmadas.
• Spoofing de dominios: no se pueden simular registros MX, TXT, etc.

❌ Ataques que NO previene

• DNS hijacking a nivel de registrador: si un atacante roba tu cuenta del registrador y cambia los NS, puede apuntar tu dominio a otro servidor. DNSSEC no lo evita (pero el nuevo servidor necesitaría la clave privada para firmar).
• Espionaje DNS: DNSSEC no cifra el tráfico. Cualquiera puede ver qué dominios consultas. Para eso, usa DoH o DoT.
• Fallo del propio dominio: si tu web es comprometida (XSS, RCE), DNSSEC no ayuda.
• Ataques a la aplicación: DNSSEC solo protege el DNS, no la web.

5. Cómo activar DNSSEC en tu dominio

Activar DNSSEC requiere dos pasos:

1. Activar DNSSEC en tu proveedor DNS (Cloudflare, Route53, etc.).
2. Publicar el registro DS en tu registrador del dominio (GoDaddy, Namecheap, IONOS, etc.).

Opción A · Cloudflare (recomendado)

Cloudflare simplifica enormemente DNSSEC:

1. Ve a DNS → Settings → DNSSEC.
2. Pulsa Enable DNSSEC.
3. Cloudflare te muestra el registro DS que debes publicar en tu registrador.
4. Cópialo y publícalo en tu registrador (GoDaddy, Namecheap, IONOS...).

Si el registrador y Cloudflare se comunican automáticamente (por ejemplo, Cloudflare Registrar), puede ser transparente.

Opción B · Otros proveedores DNS

En AWS Route53, Google Cloud DNS, Azure DNS o proveedores tradicionales:

1. Activa DNSSEC en la zona DNS.
2. El proveedor genera el par de claves (DNSKEY).
3. Exporta el registro DS que debes publicar en el registrador.
4. Publícalo manualmente.

Opción C · Tu propio servidor DNS

Si gestionas tu propio BIND, Knot o PowerDNS, hay que:

1. Generar las claves DNSSEC (ZSK y KSK).
2. Firmar la zona con dnssec-signzone.
3. Publicar los registros DNSKEY, RRSIG y NSEC.
4. Comunicar el DS al registrador.
5. Automatizar la renovación de firmas (cada 30 días).

6. Cómo verificar que funciona

Tienes varias formas de comprobar que DNSSEC está correctamente configurado:

Con dig desde terminal

dig +dnssec tudominio.com

Si DNSSEC está activo, verás una línea flags: ... ad; (Authenticated Data) en la respuesta. También verás registros RRSIG junto a los registros normales.

Con herramientas online

• DNSViz (dnsviz.net): la mejor herramienta para visualizar y diagnosticar la cadena DNSSEC.
• Verisign DNSSEC Debugger: analiza la cadena paso a paso.
• ICANN DNSSEC Validator: valida dominios firmados.

Con la auditoría de Sealgrade

Sealgrade comprueba DNSSEC en 30 segundos junto con el resto de checks de seguridad de tu dominio. Te dice si está activo, si la cadena es válida y qué le falta.

7. DNSSEC vs DoH vs DoT

Es común confundir DNSSEC con DoH (DNS over HTTPS) y DoT (DNS over TLS). Son tres cosas distintas y complementarias:

DNSSEC no cifra. DoH/DoT no firman. Lo ideal es tener los tres: DNSSEC para autenticidad, DoH/DoT para privacidad.

Como propietario de un dominio, tú solo puedes activar DNSSEC. DoH/DoT son del lado del cliente (el navegador o el sistema operativo del usuario).

8. Conclusión

DNSSEC es una capa de seguridad invisible pero potente. En resumen:

1. El DNS original no verifica autenticidad: cualquiera puede falsificar respuestas.
2. DNSSEC añade firmas criptográficas para evitar manipulación.
3. Protege contra cache poisoning, DNS hijacking y man-in-the-middle.
4. NO protege contra robo de cuenta en el registrador ni contra ataques a la web.
5. Activar DNSSEC en Cloudflare es 1 clic + copiar un registro DS en tu registrador.
6. No cifra el tráfico DNS — para eso está DoH/DoT.

Si aún no tienes DNSSEC activo, es una de las mejoras más rápidas y con mejor relación coste/beneficio que puedes hacer en tu dominio. 5 minutos de configuración, protección contra uno de los ataques más peligrosos de internet.