DNSSEC

DNSSEC añade firmas digitales a las respuestas DNS. Así, un resolvedor recursivo que valide DNSSEC puede confirmar que una respuesta proviene realmente de los servidores autoritativos del dominio y que no se ha manipulado. Esto protege frente a ataques como el envenenamiento de caché.

Con Yeap Cloud DNS, una vez activado DNSSEC, los servidores de nombres firman las respuestas al vuelo, por lo que no tiene que gestionar las firmas. Para que DNSSEC surta efecto, también debe enviar el registro DS de la plataforma a su registrador de dominios. Esto establece la cadena de confianza desde la zona superior (por ejemplo, .com).

#Antes de comenzar

• La zona debe estar activa y los servidores de nombres del dominio ya deben apuntar a los asignados por la plataforma (consulte Zonas y registros).
• Asegúrese de que su registrador permita añadir registros DS para el dominio con el algoritmo 13 (ECDSA P-256 / SHA-256) y el tipo de resumen 2 (SHA-256). Los principales registradores y los TLD más comunes admiten ambos.
• Si este dominio tenía DNSSEC activado con un proveedor DNS anterior, elimine primero el registro DS antiguo en su registrador. Espere a que caduque en las cachés antes de cambiar los servidores de nombres. De lo contrario, el dominio podría dejar de resolverse después del cambio.

#Paso 1: Activar DNSSEC para la zona

1. Vaya a DNS → Zonas y haga clic en el icono Configuración de DNSSEC de la fila de la zona. También puede hacer clic en Más acciones → Configuración de DNSSEC en la página de registros de la zona.
2. En la ventana Configuración de DNSSEC, haga clic en Activar DNSSEC y confirme.
3. El sistema genera las claves de firma (una KSK y una ZSK). El campo Estado de DNSSEC de la ventana cambia a Activado. También muestra el Algoritmo de firma, ECDSAP256SHA256, y la etiqueta de clave.

A partir de ese momento, los servidores de nombres publican registros DNSKEY para la zona. Las consultas que solicitan DNSSEC reciben respuestas firmadas (registros RRSIG), y los nombres que no existen reciben respuestas negativas firmadas.

#Paso 2: Obtener el registro DS

Una vez activado DNSSEC, la ventana Configuración de DNSSEC muestra cada campo del registro DS. Cada campo tiene su propio botón para copiar:

Debajo, Formato completo del registro DS muestra el registro entero, como este:

example.com. 3600 IN DS 12345 13 2 3F8A...(digest)

Algunos registradores solicitan la etiqueta de clave, el algoritmo, el tipo de resumen y el resumen en campos separados. Otros aceptan la línea DS completa. Use el formato que solicite su registrador.

#Paso 3: Añadir el registro DS en su registrador

Si el dominio está en otro registrador: inicie sesión en el registrador, busque la configuración de DNSSEC o de registros DS del dominio, introduzca los valores de la tabla anterior y guarde los cambios.

Si el dominio está registrado en Yeap Cloud: abra Dominios → Mis dominios, abra los detalles del dominio y vaya a la pestaña DNSSEC:

• Estado de DNSSEC del servicio DNS muestra el estado de DNSSEC del dominio en Yeap Cloud DNS.
• En Sincronizar DNSSEC, haga clic en Sincronizar con el registrador para enviar el registro DS al registro del TLD.
• También puede completar los campos de Añadir registro DS manualmente y hacer clic en Enviar registro DS.
• Cuando Estado de DNSSEC en el registrador muestre Configurado, el envío se habrá completado correctamente.

El funcionamiento depende de si la conexión con el registrador para ese TLD admite DNSSEC. Si no lo admite, verá un mensaje que lo indica.

#Paso 4: Verificar

Una vez publicado el registro DS, compruebe que la cadena de confianza esté completa:

# Check that the parent zone publishes the DS record
dig +short DS example.com

# Look at the zone's DNSKEY and signatures (use a nameserver assigned to the zone)
dig +dnssec DNSKEY example.com @<assigned-nameserver>

# Query a validating public resolver; the "ad" flag means validation passed
dig +dnssec www.example.com @1.1.1.1

Las herramientas en línea como DNSViz también pueden representar toda la cadena de confianza.

#Regenerar las claves

La opción Regenerar claves de la ventana Configuración de DNSSEC reemplaza la KSK y la ZSK al mismo tiempo y genera un registro DS nuevo. Las claves nuevas surten efecto de inmediato. La plataforma no realiza una rotación gradual en la que las claves antiguas y nuevas se publiquen en paralelo. El DS antiguo de su registrador deja de coincidir con las claves nuevas, y los resolvedores que validan DNSSEC no pueden resolver el dominio hasta que el DS nuevo esté publicado y el antiguo haya caducado en las cachés.

#Desactivar DNSSEC de forma segura

Si desactiva DNSSEC en la consola mientras su registrador aún conserva el registro DS, los resolvedores que validan DNSSEC consideran que las respuestas se han manipulado y el dominio deja de resolverse. Siga este orden:

1. Elimine el registro DS del dominio en su registrador. Para los dominios registrados en Yeap Cloud, puede eliminarlo en la pestaña DNSSEC de los detalles del dominio.
2. Espere a que el registro DS caduque en las cachés. Se recomienda esperar al menos 24–48 horas. Ejecute dig +short DS example.com para confirmar que la zona superior ya no devuelve un registro DS.
3. Vuelva a la ventana Configuración de DNSSEC, haga clic en Desactivar DNSSEC y confirme.

Siga el mismo orden cuando traslade un dominio fuera de la plataforma: elimine el registro DS, espere a que caduque en las cachés y, después, cambie los servidores de nombres o elimine la zona.