Qué es la KSK de DNS y qué significa un rollover
La KSK firma las claves DNSSEC de una zona y el rollover las sustituye sin romper la cadena de confianza. La raíz cambió a KSK-2024 en octubre de 2026.
La KSK de DNS es una clave criptográfica que firma el conjunto de claves DNSSEC de una zona para que los validadores puedan confiar en él. KSK viene de Key Signing Key; no cifra consultas ni convierte por sí sola una página en segura. Su función es formar parte de una cadena de confianza: el resolver comprueba firmas y claves desde una clave de confianza inicial hasta los datos DNS que necesita.
KSK, ZSK y la cadena de confianza
DNSSEC añade firmas digitales a los datos publicados en DNS. Un resolver validador no se limita a aceptar la dirección que recibe: verifica que las firmas correspondan a los registros y que las claves usadas para firmarlos puedan enlazarse con una clave que ya considera confiable. En la raíz de DNS, ese punto de partida se distribuye como un trust anchor, o ancla de confianza. Para una zona ordinaria, la relación con su zona padre se establece mediante un registro DS.
En el modelo habitual, la ZSK (Zone Signing Key) firma los registros de la zona, mientras que la KSK firma el conjunto DNSKEY que publica las claves de esa zona. Separar ambas funciones permite renovar con más frecuencia la clave de firma de zona y proteger de forma más estricta la clave de firma de claves. No todas las implementaciones o políticas tienen que usar una separación idéntica, pero es una práctica común en DNSSEC. Una KSK tampoco es universal: cada zona puede gestionar sus propias claves.
La KSK de la raíz tiene un alcance especial porque valida el comienzo de la cadena para todo nombre DNSSEC que cuelgue de ella. La administra el operador de la KSK de la zona raíz bajo procedimientos públicos, y los resolvers deben conocer su clave pública de confianza para validar las firmas. La clave privada se mantiene bajo controles rigurosos; lo que reciben los equipos resolvers es material público que les permite verificar, nunca firmar.
-InfraCrew dice: La KSK no es un botón maestro de Internet; es una pieza muy protegida de una cadena que muchos resolvers deben validar correctamente.-
Qué significa hacer un rollover
Un rollover es la sustitución planificada de una clave por otra. Se genera una clave sucesora, se publica con antelación, se propaga como ancla de confianza y, tras comprobar que los validadores pueden reconocerla, la zona empieza a firmar con ella. Más tarde se revoca y retira la clave anterior. La secuencia evita cambiar la cerradura antes de que los validadores hayan recibido la nueva llave pública.
El periodo de convivencia importa porque la zona raíz no puede avisar individualmente a cada DNS recursivo. Muchos resolvers compatibles usan RFC 5011, un mecanismo de actualización automática que aprende y acepta una nueva ancla tras observarla publicada y firmada durante el intervalo previsto. Otros productos distribuyen el conjunto de anclas mediante paquetes o actualizaciones del proveedor. Por eso, un rollover depende tanto de la operación central como de que el software que valida DNSSEC siga manteniéndose al día.
-InfraCrew dice: Un cambio de clave con años de aviso sigue siendo un cambio distribuido; la latencia esta vez también tiene calendario.-
El cambio de 2026 y su efecto operativo
La raíz empezó a firmar con KSK-2024 el 11 de octubre de 2026, sustituyendo a KSK-2017 en las firmas de la zona. La nueva clave se había publicado en enero de 2025 para dar tiempo a actualizar anclas; IANA indica que los validadores DNSSEC deben tenerla disponible para continuar validando correctamente. KSK-2017 permanece aún como ancla válida durante la transición, y su revocación está programada para enero de 2027, seguida de su retirada posterior.
La mayoría de las personas no cambiará nada: su proveedor o el resolver de su organización suele validar DNSSEC. El riesgo se concentra en resolvers desactualizados o con anclas manuales. Si un validador no reconoce KSK-2024 cuando la raíz la usa, puede rechazar respuestas válidas y causar errores de resolución aunque los dominios sigan funcionando.
Qué debe comprobar quien opera resolvers
Quien administra resolvers propios debe revisar la versión de BIND, Unbound, Knot Resolver u otro software, y confirmar que el mecanismo de actualización de trust anchors está activo o que el paquete de anclas incluye KSK-2024. También conviene revisar registros de validación y comprobar que el resolver está recibiendo el conjunto de anclas vigente, siguiendo la guía del proveedor. No se recomienda desactivar DNSSEC como solución general: puede ocultar la avería, pero elimina la comprobación de autenticidad que DNSSEC aporta.
KSK también se aplica a claves de otras zonas, así que el procedimiento depende de su operador. IANA publica calendario y estado del rollover raíz; las zonas delegadas deben coordinar el cambio con la zona padre y sus validadores. Cambia la confianza criptográfica de las respuestas, no el nombre ni la dirección del dominio.
Diccionario de la Crew
DNSSEC — Extensiones de DNS para verificar la autenticidad de sus datos.
Resolver validador — Servidor recursivo que comprueba firmas DNSSEC.
ZSK — Clave que firma los registros de una zona.
Trust anchor — Clave pública inicial de confianza.
Rollover — Sustitución planificada de una clave por su sucesora.