Qué hace esta herramienta
Esta herramienta recorre la cadena de confianza DNSSEC de cualquier dominio y te muestra, nivel a nivel, si está correctamente firmado. Obtienes la raíz (.), el TLD (como `.com`) y tu dominio, cada uno con sus registros DNSKEY, el registro DS en la zona padre, el algoritmo en uso (RSASHA256, ECDSAP256, ED25519, ...) y el key tag.
La comprobación criptográfica real la hace el resolver validador de Cloudflare 1.1.1.1: configuramos el resolver para que verifique firmas y leemos su flag AD (Authenticated Data). Verde significa firmado y validado, amarillo significa que el nivel simplemente no usa DNSSEC, rojo significa que las firmas o los registros DS no coinciden y la cadena está rota.
Cómo usarla
- Escribe un dominio como `cloudflare.com` (sin `https://`, sin ruta).
- Pulsa Validar DNSSEC. Consultamos DoH para DNSKEY en cada nivel y DS en el padre.
- Lee la tarjeta de cadena de arriba abajo: raíz, luego TLD, luego tu dominio. Cada tarjeta va con un color.
- Verde = firmado y autenticado. Amarillo = no hay DNSSEC en este nivel (no es un error, simplemente está sin proteger). Rojo = cadena rota, los clientes pueden rechazar el dominio.
- Inspecciona las tablas DS / DNSKEY: los key tags deben coincidir entre una DNSKEY hija y el DS del padre. El algoritmo y el tipo de digest indican qué cripto se usa.
- Prueba los chips de ejemplo: cloudflare.com, paypal.com, ietf.org están completamente firmados. example.com está firmado pero su subzona no, así que cae en "parcial".
Cuándo es útil
Seis sitios donde un validador de cadena DNSSEC supera leer la salida cruda de `dig +trace +dnssec`:
- Auditar un dominio en el que acabas de activar DNSSEC. Pulsaste el interruptor en tu registrador, pegaste el registro DS en el padre, ahora necesitas confirmar que ambos lados coinciden. La visualización de la cadena hace evidente en segundos un desajuste de key tags.
- Depurar errores de "DNSSEC validation failure". Los usuarios finales ven un `SERVFAIL` repentino solo en resolvers validadores (Cloudflare, Google, Quad9). La tarjeta roja señala el nivel que se rompió y el mensaje explica por qué.
- Checklist previo al lanzamiento para banca, administración y cualquier dominio de alta confianza. Un DNSSEC completamente firmado bloquea toda una clase de ataques (envenenamiento de caché, suplantación DNS on-path). Confirma antes de salir a producción.
- Comparar dos dominios en paralelo. Lanza `tubanco.es` contra un competidor y mira quién despliega DNSSEC realmente.
- Verificar una rotación en la zona padre. Rotaste la KSK en el registro, enviaste un DS nuevo, quieres confirmar que terminó la propagación y el flag AD ha vuelto a true.
- Enseñar DNSSEC. La cadena de tres niveles (raíz, TLD, SLD) más los registros por nivel es la forma más limpia de explicar delegación y confianza a alguien que nunca lo ha visto.
Herramientas relacionadas: consulta DNS, consulta DNS inverso PTR, verificador DNS de email, consulta WHOIS, generador de claves DKIM.