El sistema de nombres de dominio se creó para ser rápido. No se creó para ser seguro. Cuando se diseñó el DNS en los años 80, nadie imaginó un mundo en el que los atacantes intentarían falsificar respuestas DNS para redirigir a tus visitantes a webs falsas. DNSSEC, siglas de DNS Security Extensions, se creó para cerrar esa brecha. Añade firmas digitales a los registros DNS para que cada respuesta de un servidor DNS pueda verificarse como auténtica antes de que el navegador confíe en ella.
¿Qué es DNSSEC?
DNSSEC es un conjunto de extensiones de seguridad añadidas al protocolo DNS. Funciona adjuntando una firma criptográfica a cada registro DNS de tu dominio. Cuando un resolutor consulta tu dominio, comprueba si la firma coincide antes de aceptar la respuesta. Si la firma falta o no coincide, la respuesta se rechaza. Esto impide que los atacantes inyecten respuestas DNS falsas en el sistema.
DNSSEC no cambia cómo funciona el DNS. El proceso de consulta es el mismo. Tu dominio sigue resolviéndose a una dirección IP a través de una cadena de servidores DNS. La diferencia es que cada paso de esa cadena ahora puede verificarse. El resolutor no se limita a confiar en la respuesta. Comprueba una firma criptográfica para confirmar que la respuesta vino de una fuente autorizada y no fue alterada por el camino.
¿Qué problema resuelve DNSSEC?
Sin DNSSEC, las respuestas DNS se aceptan tal cual. No hay una forma integrada de comprobar si la respuesta vino del servidor correcto o si fue modificada en tránsito. Esto abre la puerta a un tipo concreto de ataque llamado envenenamiento de la caché DNS, también conocido como suplantación de DNS.
En un ataque de envenenamiento de caché, un atacante envía respuestas DNS falsificadas a un resolutor antes de que llegue la respuesta legítima. El resolutor guarda la respuesta falsa en su caché y se la sirve a todo el que consulta ese dominio. Cada visitante que escribe tu dominio en su navegador es enviado a un servidor que controla el atacante en lugar de a tu web real.
La web falsa puede ser idéntica a la tuya. Los visitantes pueden introducir credenciales de acceso, datos de pago o información personal sin darse cuenta de que están en un servidor totalmente distinto. El ataque es invisible para el visitante porque la URL de su navegador sigue mostrando tu dominio.
DNSSEC lo evita haciendo detectables las respuestas falsificadas. Si la firma no coincide, el resolutor rechaza la respuesta y el visitante no es enviado a un destino falso.
¿Cómo funciona DNSSEC?
DNSSEC usa un sistema de claves públicas y privadas para firmar los registros DNS. Así funciona el proceso a grandes rasgos.
Cuando activas DNSSEC, tu proveedor de DNS genera un par de claves criptográficas para tu dominio. La clave privada se usa para crear una firma digital de cada registro DNS. La clave pública se publica como un registro DNS más para que los resolutores puedan acceder a ella.
Cuando un resolutor consulta tu dominio, recibe la respuesta DNS junto con la firma. Después usa la clave pública para verificar que la firma coincide con los datos de la respuesta. Si todo cuadra, la respuesta es de fiar. Si la firma no es válida o falta, el resolutor trata la respuesta como no fiable y no la pasa al navegador.
Esta verificación funciona mediante una cadena de confianza. La clave pública de tu dominio está referenciada por un registro DS (Delegation Signer) en la zona superior. Por ejemplo, si tu dominio es yourbrand.com, la zona .com tiene un registro DS que apunta a la clave pública de tu dominio. La propia zona .com está firmada y verificada por la zona raíz. Cada nivel de la cadena valida el nivel de abajo, desde la raíz hasta tu dominio concreto.
¿Qué pasa sin DNSSEC?
Sin DNSSEC, cada respuesta DNS que genera tu dominio carece de firma. Los resolutores aceptan la primera respuesta que llega, sin forma de confirmar que viene de una fuente legítima. Esto significa que un atacante bien situado puede colar respuestas falsificadas en el sistema y redirigir a tus visitantes sin activar ninguna alarma.
Para la mayoría de las webs pequeñas, el riesgo de un ataque dirigido de envenenamiento de DNS es bajo. Los atacantes suelen ir a por objetivos de alto valor como bancos, proveedores de correo y grandes plataformas de comercio electrónico. Pero el riesgo no es cero. Las redes Wi-Fi públicas, los routers comprometidos y las vulnerabilidades de cierto software de resolutores pueden crear oportunidades de suplantación de DNS a menor escala.
El impacto práctico de no tener DNSSEC depende de tu situación. Si manejas datos sensibles, aceptas pagos o dependes de tu web como principal punto de contacto con los clientes, vale la pena tener la verificación adicional.
¿Necesitas DNSSEC en tu dominio?
La respuesta sincera es que depende. DNSSEC añade protección real, pero no es obligatorio para todos los dominios.
Deberías activar DNSSEC si tu web gestiona pagos, recoge información sensible o está en un dominio de mucha visibilidad. Las webs de gobiernos, los servicios financieros y las marcas de salud se benefician de tener DNSSEC activo. Si la seguridad del dominio es una prioridad para tu marca, DNSSEC es una capa más que vale la pena añadir.
Puede que no lo necesites de inmediato si tienes una web informativa pequeña sin funciones de inicio de sesión y tu registrador todavía no admite DNSSEC o cobra extra por él. Muchas webs funcionan sin él y no pasa nada. El SSL ya cifra la conexión entre el visitante y tu servidor, lo que protege los datos en tránsito. DNSSEC resuelve un problema distinto, en concreto la integridad de la propia consulta DNS.
Si tu registrador lo admite y la configuración es sencilla, activarlo apenas tiene inconvenientes. La protección que añade es real, aunque el riesgo que cubre no se aplique por igual a todos los dominios.
¿Cómo activas DNSSEC?
Activar DNSSEC requiere actuar en dos sitios. El primero es tu proveedor de DNS, donde están alojados los registros DNS de tu dominio. El segundo es tu registrador de dominios, donde está registrado tu dominio.
Los pasos generales son estos.
- Inicia sesión en tu proveedor de DNS y activa DNSSEC para tu dominio. Esto genera las claves criptográficas y empieza a firmar tus registros DNS.
- Copia el registro DS que te da tu proveedor de DNS. Este registro contiene una referencia a la clave pública de tu dominio.
- Inicia sesión en tu registrador de dominios y añade el registro DS a los ajustes de tu dominio. Esto vincula las claves DNSSEC de tu dominio con la zona superior.
- Espera a la propagación. Como cualquier cambio en un registro DNS, puede tardar unas horas en propagarse el nuevo registro DS por internet.
- Prueba tu configuración con una herramienta online de validación de DNSSEC para confirmar que todo funciona.
Si tu registrador y tu proveedor de DNS son la misma empresa, el proceso es más simple. Algunos proveedores gestionan ambos pasos desde un único panel. Otros exigen copiar los registros entre dos cuentas distintas.
El error más común durante la configuración es introducir mal el registro DS. Revisa dos veces la etiqueta de clave, el número de algoritmo, el tipo de resumen y el valor del resumen antes de guardar. Un dígito equivocado en cualquiera de esos campos romperá la cadena de confianza y podría dejar tu dominio inaccesible hasta que se corrija el error.
¿Qué no hace DNSSEC?
DNSSEC resuelve un problema concreto: verificar que las respuestas DNS son auténticas. Es importante entender qué queda fuera de su alcance.
DNSSEC no cifra tus consultas DNS. El contenido de cada consulta DNS sigue siendo visible para cualquiera que vigile la red. Si te importa la privacidad de las consultas DNS, eso es un problema aparte que resuelven DNS sobre HTTPS (DoH) o DNS sobre TLS (DoT), no DNSSEC.
DNSSEC no cifra el tráfico entre el visitante y tu web. Eso lo hace un certificado SSL, que crea una conexión cifrada mediante HTTPS. DNSSEC y SSL protegen cosas distintas en etapas distintas de la conexión.
DNSSEC no evita todos los tipos de ataques a tu dominio. No impide que alguien robe tus credenciales del registrador y transfiera tu dominio. No protege contra los correos de phishing que suplantan a tu marca. Y no bloquea los ataques DDoS dirigidos a tus servidores DNS. Para esas amenazas, necesitas protecciones aparte como la autenticación en dos pasos, el bloqueo de dominio y la mitigación de DDoS.
¿En qué se diferencia DNSSEC del SSL?
DNSSEC y SSL son ambos capas de seguridad, pero protegen partes distintas de la conexión entre un visitante y tu web.
SSL (y su sucesor TLS) cifra los datos que circulan entre el navegador del visitante y tu servidor web. Una vez establecida la conexión, todo lo que el visitante envía y recibe queda protegido de las escuchas. SSL también verifica que el servidor con el que habla el visitante tiene un certificado válido para tu dominio.
DNSSEC protege el paso que ocurre antes de que entre el SSL. Cuando un visitante escribe tu dominio, el navegador primero busca la dirección IP mediante DNS. DNSSEC se asegura de que esa consulta devuelva la dirección IP correcta. Sin él, un atacante podría redirigir al visitante a un servidor totalmente distinto, uno que incluso podría tener su propio certificado SSL para un dominio parecido.
Ambas capas cumplen una función. SSL protege la conversación. DNSSEC protege el camino que toma el visitante para empezar esa conversación. Usar ambas da a tus visitantes la máxima garantía de que están en tu web real y de que sus datos están seguros.
Cómo gestiona WEMASY DNSSEC
WEMASY gestiona el DNS de cada dominio conectado a su plataforma. Cuando creas tu web en WEMASY, el DNS de tu dominio se gestiona a través de la infraestructura de WEMASY, que incluye certificados SSL, gestión de servidores de nombres y configuración de registros DNS. Si tu dominio y tu registrador admiten DNSSEC, puedes activarlo añadiendo el registro DS en tu registrador y apuntándolo al DNS de WEMASY. Para ver qué incluye cada plan, visita los precios.
Cierre del Módulo 6
Este capítulo cierra el módulo de seguridad de dominios. A lo largo de los capítulos anteriores has visto el panorama completo. Has aprendido qué significa la seguridad de dominio, cómo el bloqueo de dominio, la protección de privacidad y la atención a las renovaciones mantienen tu dominio bajo tu control, y las amenazas concretas como el secuestro, la okupación y las estafas de renovación que apuntan a los dueños de dominios. DNSSEC añade la última capa al proteger la propia consulta DNS, el paso que conecta el nombre de tu dominio con tu web real. Con todas estas protecciones en marcha, tu dominio está cubierto desde el registro hasta la resolución.
Preguntas frecuentes sobre DNSSEC
¿Puede DNSSEC romper mi web si se configura mal?
Sí. Si el registro DS de tu registrador no coincide con las claves de tu proveedor de DNS, los resolutores que validan DNSSEC rechazarán por completo las respuestas DNS de tu dominio. Esto puede dejar tu web inaccesible para los visitantes cuyos resolutores aplican la validación DNSSEC. Prueba siempre tu configuración con una herramienta de validación de DNSSEC después de activarlo, y mantén tus claves sincronizadas si alguna vez cambias de proveedor de DNS. Con el creador de webs de WEMASY, puedes configurarlo directamente en tu web.
¿Ralentiza DNSSEC mi web?
El impacto en la velocidad es mínimo. DNSSEC añade una pequeña cantidad de datos extra a las respuestas DNS por las firmas, y los resolutores hacen un paso de verificación adicional. En la práctica, esto suma solo unos milisegundos a la consulta DNS. Los visitantes no notarán ninguna diferencia en el tiempo de carga de la página.
¿Todos los registradores admiten DNSSEC?
No todos. La mayoría de los registradores importantes admiten DNSSEC, pero algunos registradores más pequeños o económicos todavía no lo ofrecen. Antes de intentar activar DNSSEC, consulta la documentación o la página de soporte de tu registrador para confirmar que te permiten añadir registros DS. Si no lo permiten, puede que tengas que transferir tu dominio a un registrador que sí.
¿Qué pasa con DNSSEC si cambio de proveedor de DNS?
Si cambias de proveedor de DNS, tienes que actualizar tu configuración de DNSSEC. El nuevo proveedor generará claves nuevas y tendrás que sustituir el registro DS de tu registrador por el nuevo. Durante la transición hay un margen en el que el antiguo registro DS ya no coincide con las claves nuevas. Planifica el cambio con cuidado. Quita primero el antiguo registro DS, espera a la propagación, migra tu DNS, activa DNSSEC en el nuevo proveedor y después añade el nuevo registro DS.
¿Es DNSSEC lo mismo que DNS sobre HTTPS?
No. Resuelven problemas distintos. DNSSEC verifica que una respuesta DNS es auténtica y no ha sido manipulada. DNS sobre HTTPS (DoH) cifra la propia consulta DNS para que nadie que vigile tu red pueda ver qué dominios consultas. DNSSEC protege la integridad. DoH protege la privacidad. Pueden usarse juntos, pero uno no sustituye al otro.