Identifica la clave y delegación afectadas
Determina si cambia una clave de firma de zona, de firma de clave o el registro DS del padre. Comprueba quién controla cada parte y si el registrador o proveedor automatiza la transición.
Confirma datos DS y DNSKEY, validez de firmas y TTL antes de empezar. No improvises una secuencia genérica si el proveedor administra la rotación.
Supervisa la validación durante la transición
Usa comprobaciones DNSSEC en servidores autoritativos y varios resolvedores validadores antes y después de cada fase. Conserva la clave anterior hasta que se cumpla la condición segura de retirada.
Prepara recuperación y evita cambios DNS no relacionados al mismo tiempo. Si falla la validación, revisa coherencia DS/DNSKEY y estado del proveedor antes de modificar más registros.