raíz
La copa del árbol DNS. Los servidores raíz ayudan a los solucionadores a encontrar el TLD correcto.
INFRAESTRUCTURA Y SEGURIDAD DEL DOMINIO
DNS & DNSSEC
Comprenda cómo se conecta su dominio y cómo DNSSEC ayuda a protegerlo
DNS conecta su nombre de dominio a sitios web, correo electrónico y servicios en línea. DNSSEC agrega validación criptográfica que ayuda a los usuarios y resolutores a confiar en la DNS información que reciben.
Fundación
¿Qué es DNS?
DNS significa Sistema de nombres de dominio. Traduce nombres de dominio legibles por humanos, como example.com, en información que las computadoras pueden usar, como 93.184.216.34.
Piense en el dominio como la dirección que la gente recuerda, la IP como la dirección que usan las computadoras y DNS como el sistema que las conecta.
Nombre de dominio example.com Fácil de recordar para la gente.
DNS Sistema de búsqueda Busca hacia donde debe apuntar el dominio.
Dirección IP 93.184.216.34 Ayuda a los dispositivos a localizar el servidor.
Resolución
Cómo funciona DNS
¿Qué sucede después de que alguien ingresa su dominio en un navegador?
01
Usuario
Alguien ingresa example.com en un navegador o aplicación.
02
Solucionador DNS recursivo
El solucionador recursivo inicia la búsqueda si la respuesta aún no está almacenada en caché.
03
Servidores raíz
Root DNS apunta al solucionador hacia el dominio de nivel superior correcto.
04
TLD Servidores
La zona TLD dirige al solucionador al servidores de nombres autorizado del dominio.
05
Autoritario DNS
Los servidores autorizados conservan los registros publicados del dominio y devuelven la respuesta.
06
IP/datos de servicio
El solucionador recibe la dirección IP u otro registro necesario para la solicitud.
07
Sitio web / Servicio
El cliente utiliza esa respuesta para llegar al sitio web, sistema de correo u otro servicio.
Estructura
DNS es una jerarquía global
DNS está organizado como un árbol, desde la raíz hasta la zona autorizada de su dominio.
raíz (.)
.COM
.AM
.GE
Autoritario servidores de nombres
example.com
TLD
Los dominios de nivel superior como .com, .am o .ge administran delegaciones para sus espacios de nombres.
Autorizado
Los servidores autorizados publican los registros que definen hacia dónde apunta su dominio.
recursivo
Los solucionadores recursivos recorren la jerarquía en nombre de los usuarios y almacenan en caché las respuestas.
Tipos de registros
Los componentes básicos de DNS
Estos registros le dicen a Internet cómo su dominio debe conectarse a los servicios.
dirección IPv4
Asigna un nombre de host a una dirección IPv4.
example.com → 93.184.216.34
dirección IPv6
Asigna un nombre de host a una dirección IPv6.
example.com → 2606:2800:220:1:248:1893:25c8:1946
Nombre canónico
Crea un alias de un nombre de host con otro nombre de host.
www.example.com → example.com
intercambio de correo
Dirige el correo electrónico del dominio a los servidores de correo.
example.com → mail.example.com
datos de texto
Publica políticas de verificación, SPF, DKIM y otras políticas de texto.
v=spf1 include:_spf.example.com ~all
Servidor de nombres
Delega la zona a la autoridad servidores de nombres.
example.com → ns1.example.net
Impacto
DNS impulsa más que su sitio web
DNS es la capa de enrutamiento detrás de cómo las personas y los sistemas encuentran su presencia en línea.
Sitio web
Los registros A y AAAA (y relacionados) deciden qué servidores responden a su sitio.
Correo electrónico
MX y los registros TXT de soporte guían la entrega de correo y las comprobaciones de autenticación.
Servicios
APIs, las CDN, los tokens de verificación y las herramientas SaaS a menudo dependen de las entradas DNS.
Infraestructura de dominio
Los registros NS y los datos de zona definen quién publica respuestas autorizadas para el dominio.
Extensiones de seguridad
¿Qué es DNSSEC?
DNSSEC (Extensiones de seguridad del sistema de nombres de dominio) agrega firmas criptográficas a los datos DNS para que un solucionador de validación pueda verificar que las respuestas sean auténticas y no hayan sido manipuladas.
Sin DNSSEC
- DNS las respuestas se pueden buscar, pero no se pueden validar criptográficamente
- Una respuesta falsificada puede parecer una respuesta normal
- La confianza se basa principalmente en la ruta de la red y el comportamiento del almacenamiento en caché.
Con DNSSEC
- Los datos firmados DNS se pueden validar
- Se pueden rechazar firmas no válidas
- Una cadena de confianza vincula raíz → TLD → dominio
Aclaración
DNSSEC No reemplaza DNS
DNS + DNSSEC = DNS con validación
DNS todavía publica y resuelve registros. DNSSEC agrega una capa de verificación encima de esos datos.
¿Qué es DNSSEC?
Una forma de ayudar a los resolutores de validación a confirmar que DNS respuestas coinciden con los datos de la zona firmada en la cadena de confianza.
Que no asumir
DNSSEC no cifra el tráfico del sitio web, reemplaza HTTPS/TLS, oculta direcciones IP o hace que DNS sea privado.
Comparación
DNS frente a DNSSEC
DNS encuentra la respuesta. DNSSEC ayuda a verificar la respuesta.
DNS
- Resuelve nombres en registros.
- Conecta dominios a sitios, correo y servicios.
- No valida criptográficamente las respuestas por sí solo
DNSSEC
- Firma DNS datos con claves criptográficas
- Permite que los resolutores de validación verifiquen la autenticidad
- Ayuda a detectar respuestas firmadas manipuladas o falsificadas
Ruta de validación
Cómo DNSSEC genera confianza
Un solucionador de validación compatible con DNSSEC verifica las firmas a lo largo de la cadena de confianza antes de aceptar una respuesta.
01
Consulta
Un cliente solicita datos DNS para un dominio firmado.
02
Solucionador DNS validador
Un solucionador recursivo compatible con DNSSEC solicita respuestas y firmas relacionadas.
03
Respuesta firmada
La zona autorizada devuelve registros más firmas RRSIG.
04
DNSKEY
El solucionador obtiene las claves públicas de la zona publicadas como registros DNSKEY.
05
DS en padre
Un registro DS en la zona principal vincula la clave secundaria a la jerarquía.
06
Control de cadena
La validación continúa hacia arriba hasta TLD y los anclajes de confianza raíz según sea necesario.
07
Verificar firma
El solucionador de validación comprueba que las firmas coincidan con los datos devueltos.
08
Aceptar o Rechazar
Se aceptan respuestas válidas; una validación fallida puede hacer que la respuesta sea rechazada.
Modelo de confianza
La cadena de confianza DNSSEC
Cada enlace autentica al siguiente, desde la raíz hasta los datos firmados de su dominio.
DNSKEY raíz Ancla de confianza
DS Apunta a TLD
TLD DNSKEY Clave de zona principal
DS Puntos al dominio
DNSKEY de dominio Clave de zona infantil
RRSIG Registros de señales
Validado Respuesta confiable
DNSSEC Registros
Importante DNSSEC Registros
Estos registros hacen posible la validación criptográfica.
Clave pública de zona
Publica la clave pública utilizada para verificar las firmas de una zona firmada.
example.com DNSKEY …
Firmante de la delegación
Publicado en la zona principal para vincular de forma segura una DNSKEY secundaria a la cadena.
example.com DS 2371 13 2 5A8F…
Conjunto de firmas
Lleva la firma criptográfica que cubre un conjunto de registros DNS.
example.com RRSIG A …
como se conectan
DNSKEY firma datos de zona vía RRSIG. DS en el padre autentica la DNSKEY secundaria. Juntos forman el camino de validación.
Por qué es importante
Por qué es importante DNSSEC
DNSSEC ayuda a proteger, detectar y prevenir ciertas clases de ataques de integridad DNS; no es una solución de seguridad completa en sí misma.
suplantación de identidad
Ayuda a detectar respuestas DNS falsificadas que no pasan las comprobaciones de firma en un solucionador de validación.
Envenenamiento de caché
Ayuda a evitar la aceptación de entradas de caché envenenadas cuando falla la validación de datos firmados.
Datos manipulados
Ayuda a detectar registros DNS modificados que ya no coinciden con sus firmas criptográficas.
Redirección de dominio
Ayuda a proteger a los usuarios de ser redirigidos silenciosamente a través de destinos DNS falsificados.
Verificación de integridad
¿Qué sucede cuando DNS es atacado?
Una visión sencilla de cómo la validación cambia el resultado de una respuesta falsificada.
Sin DNSSEC
Respuesta falsa aceptada
Un atacante inyecta una respuesta DNS falsificada. Sin firmas para verificar, un solucionador puede aceptar la respuesta falsa y enviar a los usuarios al destino equivocado.
Sin validación criptográfica de la respuesta DNS
Con DNSSEC
Inválido rechazado / válido aceptado
Un solucionador de validación verifica las firmas. Las respuestas no válidas o manipuladas pueden rechazarse; Las respuestas debidamente firmadas se pueden aceptar con mayor confianza.
Verificación de firma antes de confiar en la respuesta
capas
DNSSEC y HTTPS protegen cosas diferentes
Aseguran diferentes capas. Juntos son más fuertes.
DNS integridad de respuesta
Ayuda a los resolutores de validación a confirmar que los registros DNS son auténticos y no están alterados.
Seguridad de la conexión
Cifra y autentica la conexión entre un cliente y un servidor web.
DNSSEC no reemplaza TLS
Utilice DNSSEC para fortalecer DNS la confianza donde sea compatible y HTTPS para proteger las sesiones del sitio web. Uno no reemplaza al otro.
Límites honestos
Qué DNSSEC protege y qué no protege
Los límites claros generan confianza. DNSSEC es poderoso dentro de la capa DNS, y solo allí.
DNSSEC ayuda
- Validar DNS respuestas
- Detectar datos DNS firmados modificados
- Establecer una cadena de confianza
- Reducir ciertos riesgos de suplantación de identidad
DNSSEC no
- Cifrar el tráfico del sitio web
- Reemplazar HTTPS
- Proteger contraseñas débiles
- Código de aplicación segura
- Prevenir cada ciberataque
GlobalR
Administrar DNSSEC Con GlobalR
Para dominios compatibles, GlobalR le permite administrar registros DNSSEC DS en la interfaz de administración de dominios. La disponibilidad depende de la extensión del dominio y del soporte registro.
Su proveedor DNS normalmente firma la zona y proporciona los detalles de DS. Configura esos valores de DS en GlobalR para que el padre registro pueda publicarlos. GlobalR no inventa la generación automática de claves en esta página.
Descripción general
DNSSEC Registros
Servidores de nombres
Vista previa ilustrativa: no el estado del dominio activo.
| campo | Registro DS #1 | |
|---|---|---|
| Etiqueta clave | 2371 | |
| Algoritmo | 13 | |
| Tipo de resumen | 2 | |
| resumen | 5A8F… | Editar |
DS Registro #2 Agregar DNSSEC Registro
Guardar cambios
Flexibilidad
Soporte para múltiples registros DS
Algunas configuraciones de DNSSEC utilizan varios registros DS, por ejemplo, durante los cambios de clave o según la configuración de registro.
DOMINIO DNSSEC
├── Registro DS 1 ├── Registro DS 2 └── Registro DS 3
Activación
Cómo funciona normalmente la configuración DNSSEC
Los pasos exactos varían según el DNS proveedor de alojamiento, registro y TLD.
01
DNS Proveedor
Firma la zona DNS y prepara el material DNSSEC.
02
Información DS
Proporciona DS / DNSSEC los detalles necesarios para los padres.
03
GlobalR
Registro DS configurado para un dominio compatible.
04
Registro
La zona principal publica la información de DS.
05
Solucionador DNS validador
Puede validar la cadena de confianza para respuestas firmadas.
Proveedor y variación TLD
Los flujos de trabajo difieren entre los hosts DNS y registros. DNSSEC la disponibilidad depende de la extensión del dominio y registro la compatibilidad: GlobalR no promete DNSSEC para cada extensión.
Casos de uso
¿Quién se beneficia de DNSSEC?
DNSSEC es especialmente útil cuando respuestas falsificadas DNS podrían causar graves daños a la confianza o a la marca.
Sitios web comerciales
Agregue otra capa de confianza DNS para los dominios de la empresa.
Financiero / comercio
Útil cuando la integridad del dominio es muy importante para transacciones y cuentas.
Portales de clientes
Ayuda a proteger la confianza DNS en torno a los nombres de host de servicios de cuentas y de inicio de sesión.
Dominios de correo electrónico
Puede contribuir a una postura de seguridad DNS más sólida. Habilitar DNSSEC por sí solo no protege el contenido del correo electrónico.
Dominios críticos para la marca
Ayuda a reducir los riesgos asociados con respuestas DNS falsificadas para marcas de alto valor.
Servicios publicos
Útil para dominios donde la autenticidad del destino es particularmente importante.
Estado ilustrativo
Seguridad de dominio de un vistazo
Solo panel de ejemplo, no monitoreo en vivo de un dominio real.
Seguridad del dominio
example.com
DNS ● Activo
servidores de nombres ● Conectado
DNSSEC ● Habilitado
Registros DS 2
Cadena de Confianza ✓ Válido
Último control Recientemente
Preguntas frecuentes
Preguntas frecuentes
Respuestas cortas sobre DNS, DNSSEC y la gestión de registros DS con GlobalR.
¿Qué es DNS?
DNS (Sistema de nombres de dominio) traduce nombres de dominio legibles por humanos, como example.com, en respuestas utilizables por máquinas, como direcciones IP, servidores de correo y otros registros de servicios.
¿Por qué mi dominio necesita DNS?
Sin DNS, los navegadores y las aplicaciones no pueden buscar hacia dónde debería apuntar su dominio. DNS conecta su dominio a sitios web, correo electrónico y otros servicios en línea.
¿Qué es un registro DNS?
Un registro DNS es una instrucción publicada para un dominio (como A, AAAA, CNAME, MX, TXT o NS) que indica a los resolutores cómo encontrar un servicio o un nombre relacionado.
¿Cuál es la diferencia entre los registros A y CNAME?
Un registro A asigna un nombre directamente a una dirección IPv4. Un CNAME asigna un nombre a otro nombre de host, que luego se resuelve más.
¿Qué es DNSSEC?
DNSSEC (Extensiones de seguridad del sistema de nombres de dominio) agrega firmas criptográficas para que los resolutores de validación puedan verificar que las respuestas DNS sean auténticas y no hayan sido manipuladas en tránsito.
¿DNSSEC reemplaza a DNS?
No. DNSSEC extiende DNS con validación. Aún necesitas DNS para publicar y resolver registros; DNSSEC ayuda a confirmar que esas respuestas son confiables.
¿DNSSEC cifra el tráfico DNS?
No. DNSSEC firma DNS datos para autenticidad e integridad. No cifra DNS consultas ni tráfico del sitio web.
¿DNSSEC reemplaza a HTTPS?
No. DNSSEC ayuda a validar las respuestas DNS. HTTPS/TLS cifra y autentica la conexión a un servidor web. Protegen diferentes capas y funcionan mejor juntas.
¿Qué es un registro DS?
Un registro DS (Firmante de delegación) se publica en la zona principal. Vincula la DNSKEY de un dominio secundario a la cadena de confianza DNSSEC.
¿Qué es DNSKEY?
Un registro DNSKEY publica una clave pública utilizada en una zona firmada con DNSSEC para que los resolutores puedan verificar las firmas de los datos de esa zona.
¿Qué es RRSIG?
Un registro RRSIG es una firma criptográfica que cubre un conjunto de registros DNS (un RRset), lo que permite que un solucionador de validación verifique que los datos coincidan con las claves de la zona.
¿Qué es la cadena de confianza DNSSEC?
La cadena de confianza es la ruta vinculada de claves y registros DS desde la raíz DNS hasta TLDs hasta su dominio, lo que permite que un solucionador de validación demuestre que las respuestas son auténticas.
¿Todos los dominios pueden usar DNSSEC?
La disponibilidad de DNSSEC depende de la extensión del dominio y del soporte de registro. Su proveedor DNS y su flujo de trabajo registrador también deben admitir la firma y la publicación DS.
¿Puedo configurar varios registros DS?
Sí. Algunas configuraciones utilizan varios registros DS, por ejemplo, durante cambios clave o según los requisitos registro. GlobalR admite la gestión de múltiples registros DS donde DNSSEC esté disponible.
¿Cómo administro DNSSEC en GlobalR?
Para dominios compatibles, inicie sesión en su cuenta GlobalR, abra la configuración DNSSEC del dominio y configure los detalles del registro DS proporcionados por su proveedor DNS. DNSSEC la disponibilidad depende de la extensión del dominio y del soporte registro.
Siguiente paso
Dale a tu dominio una base DNS más sólida
Comprenda su configuración DNS, administre la infraestructura de su dominio y agregue la validación DNSSEC cuando sea compatible.
La disponibilidad de DNSSEC depende de la extensión del dominio y del soporte de registro.