El cambio de la clave raíz del DNS se fija para el 11 de octubre: cómo deben prepararse los resolutores

La zona raíz del Sistema de Nombres de Dominio de Internet tiene programado cambiar su clave de firma de claves activa el 11 de octubre de 2026, en lo que será apenas la segunda sustitución de la clave raíz en la historia de DNSSEC. La modificación reemplazará la clave KSK-2017 (etiqueta de clave 20326) por la KSK-2024 (etiqueta de clave 38696). Los resolutores DNS con validación que no confíen en la clave de reemplazo para esa fecha fallarán en la verificación criptográfica de firmas, lo que provocará que sitios web completamente funcionales resulten inalcanzables en los dominios de nivel superior afectados.

Anclas de confianza y descubrimiento automático de claves

La validación de DNSSEC depende de una cadena de confianza que se inicia en la zona raíz. Como la raíz carece de una zona superior que verifique sus credenciales, los resolutores validadores dependen de anclas de confianza preconfiguradas. Conforme al estándar RFC 5011, los resolutores descubren automáticamente las claves de repuesto cuando estas se publican en el conjunto de datos DNSKEY de la raíz. La clave KSK-2024 ha permanecido en la zona raíz desde el 11 de enero de 2025. Para aceptar una nueva clave de forma automática, un resolutor debe observarla y verificarla de manera criptográfica continuamente durante al menos 30 días. No obstante, las experiencias previas demuestran que las actualizaciones de software o las migraciones entre servidores pueden borrar el estado de las claves aprendidas, lo que llevó a proveedores como Cloudflare a incluir la KSK-2024 directamente en el código de su software junto a la KSK-2017 desde julio de 2024.

Verificación de preparación mediante centinelas del RFC 8509

Para verificar si un resolutor ascendente confía en la clave entrante, los operadores pueden recurrir al mecanismo de centinela de ancla de confianza de la clave raíz definido en el RFC 8509. Este protocolo envía consultas de dominio con formatos específicos, como is-ta-38696 y not-ta-38696, para evaluar la compatibilidad del resolutor. Un resolutor validador que confía en la KSK-2024 devuelve registros de dirección DNS estándar para la consulta de confianza, mientras que responde de manera deliberada con un estado SERVFAIL ante la consulta de no confianza. Cloudflare ha activado el soporte para el RFC 8509 en su servicio 1.1.1.1 y en Gateway DNS para permitir que administradores y usuarios comprueben sus rutas de conexión antes de que se efectúe el cambio.

Mantenimiento del algoritmo y futuros pasos criptográficos

La transición de octubre de 2026 actualizará el par de claves de firma manteniendo inalterado el algoritmo actual RSA/SHA-256. Tras este reemplazo, la ICANN prevé revocar la KSK-2017, eliminarla de la zona raíz y destruir su clave privada en 2027. Entre las futuras iniciativas en debate figura la migración de la raíz hacia firmas ECDSA P-256 de menor tamaño y la eventual implantación de anclas de confianza poscuánticas como ML-DSA-44. La ejecución periódica de estas transiciones de clave garantiza que los operadores puedan actualizar de forma confiable sus anclas de confianza antes de dar el paso hacia algoritmos de nueva generación.

Ilustración editorial generada con IA; no es una fotografía documental.

Fuente: The keys to the Internet change on October 11. Are you ready?