Comprobación de la configuración DNSSEC

Esta herramienta consulta la red: lo que escribes va a servicios de terceros y nunca pasa por los servidores de este sitio

Servicio DNS

Escribe un dominio y pulsa «Ejecutar». El resultado se muestra solo en tu navegador.

La forma habitual en que DNSSEC falla no es «no está configurado» sino configurado a medias — y una configuración a medias no avisa de nada: o el dominio queda sin validar en silencio, o deja de resolverse. Esta herramienta obtiene las dos mitades y las compara: los registros DS que publica el padre y las DNSKEY que publica la zona. ⚠️ La comparación se apoya en el key tag. Un registro DS lleva un key tag que debe ser igual al valor calculado a partir de una de las DNSKEY según la RFC 4034. La herramienta calcula el key tag de cada DNSKEY y lo coteja con el DS, y así distingue «configurado correctamente» de «se rotaron las claves pero nadie actualizó el DS en el registrador» — esto último es invisible si solo se miran los dos registros. ⚠️ Consulta el vértice de la zona, no el nombre que escribiste. La firma DNSSEC se hace en el vértice (`example.com`, no `www.example.com`). Si escribes un subdominio, la herramienta lo resuelve al vértice y lo indica; de lo contrario diría «no habilitado» de un dominio perfectamente firmado. ⚠️ Esta herramienta usa la red. La consulta sale de tu navegador directamente hacia el servicio DNS público de Alibaba Cloud o Tencent mediante DNS over HTTPS; el dominio nunca pasa por nuestros servidores. Para ver los registros en sí, usa Consulta de registros DNS. ⚠️ Comprueba si la configuración es coherente, no si las firmas son válidas — eso exige verificar las firmas con la clave pública, que es tarea del resolutor. La herramienta muestra el bit AD del resolutor como indicio, pero eso no es una validación completa.

Funciones

Compara los registros DS del padre con las DNSKEY de la zona y da cinco veredictos distintos
Calcula el key tag de cada DNSKEY (RFC 4034) y lo coteja con los DS uno a uno
Distingue cinco estados: habilitado, no habilitado, la zona sin DNSKEY, el padre sin DS, key tags que no coinciden
Separa «sin efecto» (firma desperdiciada) de «incompleto» (el dominio ahora mismo no resuelve)
Desglosa todos los campos de DS y DNSKEY: números de algoritmo resueltos a nombres, KSK y ZSK etiquetados, clave pública tal cual
Resuelve al vértice de la zona automáticamente y lo dice
Muestra el bit AD del resolutor como indicio de que la cadena fue validada
Permite cambiar de servicio DNS; si el principal no responde, pasa al alternativo

Cómo se usa

Escribe un dominio — un subdominio también vale, se resuelve al vértice por ti
Pulsa Comprobar
Lee el veredicto y, debajo, el detalle de DS y DNSKEY
Si el veredicto señala un problema, usa la explicación para completar la mitad que falta en tu registrador o proveedor de DNS

Preguntas frecuentes

¿Por qué consulta example.com si escribí www.example.com?: Las claves y firmas DNSSEC solo existen en el vértice de la zona — el nombre `example.com` en sí. En `www` no hay ni DS ni DNSKEY. Consultar el nombre tal cual daría un veredicto de «no habilitado», y ese veredicto sería falso; por eso la herramienta resuelve al vértice y lo indica.
¿Qué significa «Sin efecto: el padre no tiene DS»?: Significa que en tu proveedor de DNS el DNSSEC está activado y la zona publica una DNSKEY, pero nunca se añadió un registro DS en el registrador. El resolutor solo sabe que debe validar leyendo el DS de la zona padre (`.com`, para `example.com`); sin DS nada se lo indica, así que la firma se desperdicia. Añade el registro DS en tu registrador; la consola de tu proveedor de DNS te dará el valor para pegar.
¿«Incompleto: la zona no tiene DNSKEY» puede tumbar mi sitio?: Sí. En ese estado el resolutor cree que el dominio debería estar firmado pero no puede obtener la clave pública, así que devuelve SERVFAIL — el dominio se comporta como si estuviera caído. Es una situación por completo distinta de «no habilitado»: esta exige arreglo inmediato, la otra no requiere nada.
¿Qué es un key tag y por qué calcularlo?: Un key tag es una suma de verificación de 16 bits sobre una DNSKEY (RFC 4034, apéndice B). Funciona como un número de serie corto de la clave y permite que un DS diga a qué DNSKEY se refiere. La herramienta lo calcula a partir de la clave pública y lo compara con el DS, de modo que se detecta «se rotaron las claves pero no se actualizó el DS», un problema invisible en los propios registros.
¿Sustituye esto a un validador DNSSEC?: No, y no es su propósito. Comprueba si la configuración es coherente (si DS y DNSKEY encajan y si están las dos mitades); no verifica firmas. Verificar una firma exige comprobar los registros RRSIG contra la clave pública, que es tarea del resolutor. Así que un veredicto de «habilitado» no descarta otros problemas en la cadena, como una firma caducada.

Herramientas relacionadas

Consulta DNS

Web

Consulta los registros DNS de cualquier dominio: A, AAAA, MX, TXT, NS, CNAME, SOA y CAA, con TTL y campos analizados. La consulta sale de tu navegador.

Desglose de dominio

Web

Divide un dominio en subdominio, dominio registrado, sufijo público y TLD, con el tipo de TLD, un nombre de país localizado y el Punycode para IDN.

Códigos de estado HTTP

Web

Consulta un código de estado HTTP: significado, clase 1xx–5xx, usos típicos y trampas habituales. También busca por palabra clave. Todo local.

Analizador de URL

Web

Descompone una URL en esquema, host, puerto, ruta, parámetros y ancla, con cada parámetro en crudo y decodificado. Todo en tu navegador.

Analizador de UA

Web

Analiza un User-Agent: navegador, versión, sistema, tipo de dispositivo y motor, con las reglas que coinciden. Solo coincidencia de patrones.

Tipos MIME

Web

Consulta el tipo MIME a partir de una extensión, o la extensión por defecto de un tipo de medio. Solo los habituales. Todo en tu navegador.

← Volver a todas las herramientas