Comprende la cadena de firmas
La validación DNSSEC depende de una cadena entre el DS de la zona padre, el DNSKEY de la hija y sus registros firmados. Registrador, proveedor DNS e intermediarios deben publicar información coincidente.
Al cambiar de proveedor, rotar claves o transferir el dominio, confirma quién administra la firma y la actualización del DS. Un DS antiguo junto a otra clave en la zona hija puede provocar fallos de validación.
Actívalo y mantenlo con cuidado
Comprueba que el proveedor DNS admite DNSSEC y documenta la rotación de claves y las actualizaciones del registrador. Sigue su secuencia específica, porque los controles y plazos varían.
Tras activarlo, utiliza herramientas de validación y consulta varios resolutores; repite la comprobación después de cambios. Ten un plan para corregir pronto un DS obsoleto y no elimines firmas sin revisar la cadena activa.