DNSSEC
DNS Security Extensions: firmas digitales en los registros DNS que permiten a los resolvers verificar que una respuesta vino del dueño de la zona y no fue alterada.
Qué significa
Con DNSSEC, una zona firma sus registros (RRSIG), publica sus claves públicas (DNSKEY) y coloca un hash de su clave (DS) en la zona padre. Los resolvers que validan siguen la cadena de confianza desde la raíz y rechazan las respuestas falsificadas o modificadas. El RFC 4033 señala que aporta autenticación de origen e integridad, no confidencialidad.
Para el correo es la base de DANE: los registros TLSA solo cuentan cuando DNSSEC los valida, y REQUIRETLS acepta un MX firmado con DNSSEC como prueba del servidor correcto. También protege los registros MX, SPF y DKIM de respuestas DNS falsificadas.
Activarlo involucra a tu host DNS (la firma) y a tu registrador (la publicación del DS). Un desajuste después de cambiar de host deja el dominio sin resolver para los resolvers que validan, así que planea las mudanzas con cuidado.
Términos relacionados
En este sitio
Fuentes
En qué se basa esta definición. La redacción es nuestra; los hechos son de las fuentes.
- RFC 4033: DNS Security Introduction and Requirementsrfc-editor.org
- ICANN: DNSSEC, what is it and why is it importanticann.org
- Microsoft Learn: How SMTP DANE workslearn.microsoft.com
Los 432 términos del glosarioLa wiki: blacklists y códigos de rebote