Comprobador DNSSEC

• Verificación instantánea de validación de DNSSEC: nuestro verificador de DNSSEC consulta registros DS, DNSKEY y RRSIG instantáneamente a través de la API DNS sobre HTTPS de Cloudflare. Compruebe si algún dominio tiene DNSSEC habilitado en segundos con información detallada del registro criptográfico; no requiere instalación.
• Análisis detallado de registros criptográficos: vea detalles completos de DNSSEC, incluidas etiquetas clave de registros DS y tipos de resumen, nombres de algoritmos DNSKEY y funciones clave (KSK/ZSK) y firmas RRSIG con marcas de tiempo de inicio y vencimiento. Comprenda la cadena DNSSEC completa para cualquier dominio.
• DNS sobre HTTPS seguro y privado: todas las consultas DNSSEC se envían directamente desde su navegador al punto final DNS sobre HTTPS de Cloudflare a través de una conexión HTTPS cifrada. No se almacenan datos de consulta en nuestros servidores: sus comprobaciones de DNSSEC son completamente privadas.
• Gratis y no requiere instalación: utilice nuestro verificador DNSSEC gratuito directamente en su navegador sin descargas, complementos y sin necesidad de cuenta. Verifique el estado de DNSSEC para cualquier dominio desde cualquier dispositivo, en cualquier momento, completamente gratis y sin límites de uso.

• Verificación de seguridad del dominio: los propietarios de dominios preocupados por la seguridad utilizan el verificador DNSSEC para verificar que DNSSEC esté configurado correctamente para sus dominios. Las comprobaciones periódicas garantizan que la cadena criptográfica de confianza esté intacta y que los registros DNS estén protegidos contra ataques de suplantación de identidad y envenenamiento de caché.
• Auditoría de infraestructura y DevOps: los ingenieros de DevOps utilizan el verificador DNSSEC para auditar las configuraciones de DNS durante la configuración y las migraciones de la infraestructura. Verifique que DNSSEC esté configurado correctamente después de transferencias de dominio, cambios de registrador o cambios de proveedor de DNS.
• Evaluación de la protección contra la suplantación de DNS: los investigadores de seguridad y los administradores de red utilizan el verificador DNSSEC para evaluar qué dominios de su organización están protegidos contra la suplantación de DNS. Identifique dominios que carecen de protección DNSSEC y priorice los esfuerzos de remediación.
• Monitoreo del estado del DNS: los administradores de red utilizan el verificador DNSSEC como parte del monitoreo continuo del estado del DNS. Verifique que las firmas DNSSEC sean válidas y no hayan caducado, y que los registros DS en la zona principal coincidan con los registros DNSKEY del dominio.
• Investigación de seguridad e inteligencia sobre amenazas: los investigadores de seguridad utilizan el verificador DNSSEC para investigar las configuraciones de DNS de dominios sospechosos. El estado de DNSSEC puede indicar qué tan consciente es la seguridad de un operador de dominio y ayudar a evaluar la confiabilidad de dominios desconocidos.
• Cumplimiento y auditoría regulatoria: los funcionarios y auditores de cumplimiento utilizan el verificador DNSSEC para verificar que los dominios cumplan con los requisitos DNSSEC exigidos por marcos de seguridad como PCI DSS, NIST y BSI. Genere resultados de verificación para la documentación de cumplimiento.

DNSSEC (Extensiones de seguridad del sistema de nombres de dominio) es un conjunto de especificaciones que agregan firmas criptográficas a los registros DNS. Estas firmas permiten a los solucionadores de DNS verificar que los registros que reciben no hayan sido manipulados durante el tránsito. Sin DNSSEC, los atacantes pueden falsificar respuestas DNS mediante técnicas como la suplantación de DNS y el envenenamiento de caché, redirigiendo a los usuarios a sitios web maliciosos incluso cuando escriben el nombre de dominio correcto. Nuestro verificador de DNSSEC consulta los registros DNS a través de DNS sobre HTTPS utilizando el solucionador público de Cloudflare para verificar el estado de DNSSEC de cualquier dominio.

1. Ingrese un nombre de dominio: escriba cualquier nombre de dominio en el campo de entrada (por ejemplo, ejemplo.com). La herramienta elimina automáticamente protocolos y rutas.
2. Consulta de registros DNSSEC: la herramienta consulta tres tipos de registros DNSSEC del solucionador DoH de Cloudflare: registros DS (firmante de delegación) de la zona principal, registros DNSKEY del propio dominio y registros RRSIG (firma de registro de recursos). También verifica el indicador AD (datos autenticados) en el encabezado de respuesta DNS.
3. Resultados de la revisión: el verificador DNSSEC muestra un estado claro de aprobación/rechazo, tablas de registro detalladas que muestran parámetros criptográficos (etiquetas clave, algoritmos, tipos de resumen), funciones clave (KSK/KSR/ZSK) y marcas de tiempo de firma. Copie cualquier valor con un clic.

• DS (firmante de delegación): almacenado en la zona principal (por ejemplo, .com por ejemplo.com). Contiene un hash del registro DNSKEY de la zona secundaria. Los registros DS son la forma en que se establece la cadena de confianza: el padre firma el registro DS y los resolutores lo utilizan para verificar la DNSKEY del niño. Sin un registro DS, un dominio no puede tener una validación DNSSEC completa.
• DNSKEY: Contiene la clave pública utilizada por la zona para firmar sus registros DNS. Existen dos tipos: KSK (clave de firma de clave, indicador 257) que se utiliza para firmar otros registros DNSKEY y ZSK (clave de firma de zona, indicador 256) que se utiliza para firmar todos los demás registros de la zona. La KSK es lo que autentica el registro DS en la zona principal.
• RRSIG (Firma de registro de recursos): la firma digital adjunta a cada conjunto de registros DNS. Cada registro RRSIG especifica qué algoritmo se utilizó, cuándo se creó la firma, cuándo caduca, qué clave la firmó y el valor de la firma en sí. Los solucionadores verifican los registros RRSIG con la DNSKEY de la zona para autenticar cada respuesta DNS.

DNSSEC admite múltiples algoritmos criptográficos para firmar registros DNS. Los algoritmos comunes incluyen RSA/SHA-256 (algoritmo 7, ampliamente compatible), RSA/SHA-512 (algoritmo 8, más fuerte), ECDSA P-256 (algoritmo 13, curva elíptica moderna) y Ed25519 (algoritmo 15, eficiente y moderno). El tipo de resumen en los registros DS indica la función hash utilizada: SHA-256 (tipo 2) es el estándar actual, mientras que SHA-1 (tipo 1) se está eliminando debido a vulnerabilidades de colisión. Las mejores prácticas modernas utilizan el algoritmo 13 (ECDSA P-256) o 15 (Ed25519) con resúmenes SHA-256 para una seguridad y un rendimiento óptimos. Nuestro verificador DNSSEC muestra todos estos valores para que pueda verificar que un dominio utiliza parámetros criptográficos seguros y actuales.