[{"data":1,"prerenderedAt":237},["ShallowReactive",2],{"seo-verification":3,"blog-activar-dnssec-dominio-cliente-registrador-ds-es":6},{"google":4,"bing":5},"EycwPY2XMyTkVzas3n1ygeNJFGAH513qrMjfDljzsMQ","",{"key":7,"data":8},"blog-activar-dnssec-dominio-cliente-registrador-ds-es",{"id":9,"slug":10,"slugs":11,"title":15,"excerpt":16,"readTime":17,"views":18,"isPinned":19,"publishedAt":20,"updatedAt":21,"category":22,"categories":28,"featuredImage":30,"bgImage":31,"posterImage":32,"relatedSolution":30,"intro":33,"sections":34,"ctaTitle":183,"ctaBody":184,"ctaButton":185,"ctaUrl":186,"relatedPosts":187},529,"activar-dnssec-dominio-cliente-registrador-ds",{"fr":12,"en":13,"ar":14,"es":10},"activer-dnssec-domaine-client-registrar","enable-dnssec-client-domain-registrar-ds","تفعيل-dnssec-نطاق-العميل-سجل-ds-registrar","Activar DNSSEC en el dominio de un cliente sin DS huérfano","Activar DNSSEC en el orden correcto: firmar la zona, publicar el DS en el registrador, verificar con dig y delv y cambiar de proveedor DNS sin DS huérfano.",11,0,false,"2026-10-29T00:00:00+00:00","2026-10-29T15:45:55+00:00",{"id":23,"name":24,"slug":25,"color":26,"icon":27},8,"Seguridad y monitorización","securite-monitoring","bg-rose-500\u002F10 text-rose-400","security",[29],{"id":23,"name":24,"slug":25,"color":26,"icon":27},null,"\u002Fblog\u002Fcovers\u002Fbg.svg","\u002Fblog\u002Fcovers\u002Factiver-dnssec-domaine-client-registrar-poster.svg","Activar DNSSEC en el dominio de un cliente requiere dos gestos: firmar la zona en el operador DNS y publicar después el registro DS en el registrador. El riesgo está en el orden y en la vuelta atrás: un DS que ya no corresponde a ninguna clave publicada deja el dominio inaccesible para los resolvedores validadores, mientras sigue respondiendo en otros sitios. Esta guía da la secuencia, los comandos de verificación con su salida real, el procedimiento para cambiar de proveedor DNS sin dejar un DS huérfano y lo que ServOrbit.com hace y no hace.",[35,39,42,67,102,105,115,118,139,142,173,177,180],{"type":36,"title":37,"body":38},"h2","Por qué un error de DS es una caída y no un defecto","DNSSEC se apoya en una cadena de confianza: la zona padre (por ejemplo la de la extensión) publica un registro DS, huella de la clave de firma de la zona del cliente, y los resolvedores validadores comparan esa huella con las claves que la zona publica realmente. Si la huella ya no corresponde a ninguna clave, el resolvedor no puede probar que las respuestas sean auténticas y se niega a responder: el usuario recibe un SERVFAIL.\n\nEso es lo que hace traicionero el error. El dominio sigue respondiendo en un resolvedor que no valida, así que una prueba rápida desde un equipo o una red de empresa puede parecer correcta, mientras los usuarios detrás de un resolvedor público validador no resuelven nada. Un DS huérfano no reduce la seguridad: corta el dominio. El resto de la guía sirve para no fabricar nunca uno y para saber salir de él.",{"type":36,"title":40,"body":41},"Quién hace qué: operador DNS, registrador, registro","Intervienen tres actores, y la confusión entre ellos causa la mayoría de los incidentes. El operador DNS aloja la zona y posee las claves: firma y publica los registros DNSKEY y RRSIG. El registrador es la interfaz comercial donde el titular gestiona su nombre, y transmite el registro DS al registro. El registro mantiene la zona padre y publica el DS.\n\nEl DS nunca se crea, por tanto, solo en el registrador: copia una información producida por el operador DNS. Si el dominio está en un registrador pero sus servidores de nombres apuntan a otro operador, la firma se pide al operador DNS y el DS se introduce en el registrador. Aquí se da por conocida la definición general de DNSSEC y su papel contra el envenenamiento de caché; el artículo sobre el cambio de clave raíz del 11 de octubre de 2026, desde el lado del resolvedor, trata el otro extremo de la cadena.",{"type":43,"title":44,"steps":45},"steps","Activar DNSSEC en el orden correcto",[46,49,52,55,58,61,64],{"title":47,"body":48},"Comprobar que la extensión y el registrador aceptan el DS","Antes de tocar la zona, confirme que el registrador ofrece un campo DS para esa extensión y que el registro acepta el algoritmo previsto. No todos los registros aceptan todos los algoritmos: la lista de la extensión es la que cuenta, no la del operador DNS. Algunas extensiones no ofrecen DNSSEC en absoluto, por norma del registro.",{"title":50,"body":51},"Escribir el plan de vuelta atrás antes de empezar","Anote el estado actual: servidores de nombres, TTL de la zona, ausencia de DS. Obténgalo con `dig NS your-domain.com +short` y `dig DS your-domain.com +short`. Escriba también quién puede eliminar el DS en el registrador, y por qué canal, si surge un problema. Una vuelta atrás que depende de una persona ilocalizable no lo es.",{"title":53,"body":54},"Firmar la zona en el operador DNS","Active la firma en la interfaz del operador, o con sus herramientas si gestiona usted mismo el servidor. El operador genera la clave de firma de clave (KSK) y la clave de firma de zona (ZSK), y publica después los DNSKEY y los RRSIG. En esta fase nada cambia para los resolvedores: sin DS en la zona padre, la zona está firmada pero no validada, así que no hay riesgo.",{"title":56,"body":57},"Esperar la propagación de los DNSKEY y las firmas","Los resolvedores conservan en caché las respuestas antiguas hasta que termina su TTL. Espere al menos el TTL más largo de la zona antes de continuar y compruebe que `dig +dnssec your-domain.com DNSKEY` devuelve las claves y su firma desde cada uno de los servidores de nombres.",{"title":59,"body":60},"Obtener los parámetros del DS","El operador DNS proporciona cuatro valores: el key tag, el algoritmo, el tipo de digest y la huella. Compruebe que corresponden a la KSK publicada (el campo flags vale 257) y elija el digest SHA-256, tipo 2. Cópielos y péguelos en lugar de teclearlos: un solo carácter erróneo produce un DS huérfano.",{"title":62,"body":63},"Publicar el DS en el registrador","Introduzca los cuatro valores en el campo DS del registrador. El registro publica entonces el DS en la zona padre, con un retraso propio de la extensión. Mientras ese retraso no haya pasado, algunos resolvedores ven todavía el estado anterior: concluya solo tras verificar.",{"title":65,"body":66},"Verificar la cadena de extremo a extremo","Consulte el servidor del padre, luego un resolvedor validador y después `delv`, como se detalla en la sección siguiente. Mantenga abierto el plan de vuelta atrás hasta que los tres controles sean correctos desde al menos dos resolvedores públicos validadores distintos.",{"type":68,"title":69,"headers":70,"rows":74},"comparison","Algoritmos y digests: lo que exige la RFC 8624",[71,72,73],"Parámetro","Valor","Estado en la RFC 8624",[75,79,83,87,91,95,98],[76,77,78],"Firma ECDSAP256SHA256","13","MUST, elección habitual",[80,81,82],"Firma RSASHA256","8","MUST",[84,85,86],"Firma ED25519","15","RECOMMENDED",[88,89,90],"Firma ED448 y ECDSAP384SHA384","16 y 14","MAY",[92,93,94],"Firmas RSASHA1 y variantes","5, 7 y 10","NOT RECOMMENDED",[96,97,82],"Digest del DS: SHA-256","2",[99,100,101],"Digest del DS: SHA-1 y GOST","1 y 3","MUST NOT para la delegación",{"type":36,"title":103,"body":104},"Verificar con dig y delv, con salidas reales","Bastan cuatro controles. El primero, `dig +dnssec your-domain.com DNSKEY`, debe devolver dos DNSKEY con los flags 256 (ZSK) y 257 (KSK) y un RRSIG. El segundo, `dig DS your-domain.com @\u003Cservidor del padre>`, consulta directamente la zona padre y debe devolver una línea de la forma `\u003Ckey tag> \u003Calgoritmo> \u003Ctipo de digest> \u003Chuella>`, por ejemplo `2371 13 2 \u003Chuella>` (valores ilustrativos): el key tag debe ser el de la KSK publicada por el operador.\n\nEl tercero, `dig +dnssec your-domain.com A @1.1.1.1`, debe mostrar la bandera `ad` (authenticated data) en la línea flags, por ejemplo `flags: qr rd ra ad`. El cuarto, `delv your-domain.com A @1.1.1.1`, debe mostrar `; fully validated` antes de la respuesta. Un fallo tiene este aspecto: `dig` devuelve `status: SERVFAIL`, a menudo con EDE 9 DNSKEY Missing, y `delv` indica `resolution failed`.",{"type":106,"title":107,"items":108},"ul","Lo que puede bloquear en el registrador o el registro",[109,110,111,112,113,114],"**Sin campo DS** — el registrador no ofrece la entrada para esa extensión, o solo mediante ticket: pregúntelo antes de firmar la zona.","**Algoritmo rechazado** — el registro solo acepta una parte de los algoritmos de la RFC 8624; lea la lista de la extensión y no la del operador DNS.","**Digest limitado** — algunos formularios solo aceptan SHA-256; es la elección correcta, pero hay que saberlo antes de generar el DS.","**Retraso de publicación** — la zona padre no se actualiza al instante; el retraso depende de la extensión, así que no pruebe demasiado pronto.","**Extensión sin DNSSEC** — algunas extensiones no ofrecen la función; el dominio sigue siendo válido pero no puede firmarse.","**Validación manual** — la solicitud pasa por un ticket del registrador o un contacto, lo que alarga la vuelta atrás: inclúyalo en el plan.",{"type":36,"title":116,"body":117},"Cambiar de proveedor DNS sin dejar un DS huérfano","Es el caso que más caídas produce. El DS se queda en el registrador mientras cambian los servidores de nombres: si el nuevo operador no firma, o firma con otras claves, el antiguo DS no corresponde a nada y los resolvedores validadores responden SERVFAIL. El mismo incidente ocurre en una migración de zona en la que se conserva el DS antiguo.\n\nLa RFC 6781 distingue dos casos, según coopere o no el operador anterior. Si coopera, ambos operadores intercambian sus claves públicas y publican los dos juegos durante el cambio, lo que evita cualquier periodo sin firmar. Si no coopera, la RFC concluye que la única operación viable es dejar que la zona pase a no firmada: retirar el DS, cambiar los servidores de nombres y luego insertar un DS que apunte a la zona recién firmada. En caso de duda, aplique la versión prudente que sigue, válida en ambos casos.",{"type":43,"title":119,"steps":120},"Procedimiento prudente para cambiar de proveedor DNS",[121,124,127,130,133,136],{"title":122,"body":123},"Preparar la zona en el nuevo operador","Recree todos los registros, sin firmar ni cambiar los servidores de nombres. Compare las dos zonas registro por registro, por ejemplo con `dig @\u003Cservidor antiguo> your-domain.com MX +short` y luego `dig @\u003Cservidor nuevo> your-domain.com MX +short`, y lo mismo para A y TXT.",{"title":125,"body":126},"Anotar el TTL del DS","Consulte `dig DS your-domain.com @\u003Cservidor del padre>` y anote el TTL mostrado: es el tiempo durante el cual los resolvedores pueden seguir creyendo en el DS antiguo.",{"title":128,"body":129},"Eliminar el DS en el registrador","Haga eliminar el DS y compruebe su desaparición con el mismo comando sobre el servidor del padre. La zona pasa a no estar firmada para los resolvedores, lo que es un estado válido y sin caída.",{"title":131,"body":132},"Esperar a que expire el TTL del DS","Espere al menos la duración anotada antes de tocar los servidores de nombres. Retirar las claves antes de que el DS haya expirado de las cachés recrea exactamente el DS huérfano que se quiere evitar.",{"title":134,"body":135},"Cambiar los servidores de nombres","Modifique los NS en el registrador. Compruebe el cambio con `dig NS your-domain.com @\u003Cservidor del padre>` y pruebe la resolución desde un resolvedor validador. La guía sobre el cambio de servidores de nombres detalla la operación en el área de cliente.",{"title":137,"body":138},"Firmar en el nuevo operador y republicar el DS","Active la firma, espere la propagación de los DNSKEY, obtenga los nuevos parámetros y publique el DS como en la activación inicial. Termine con los cuatro controles de dig y delv.",{"type":36,"title":140,"body":141},"Rollover de claves, CDS y CDNSKEY","Dos operaciones de mantenimiento se parecen pero no tienen el mismo efecto en el registrador. Un rollover de ZSK no requiere ninguna acción en el registrador, porque el DS solo cubre la KSK. Un rollover de KSK exige un nuevo DS: la RFC 6781 describe la doble firma en cuatro fases, con una espera de al menos el TTL del DS antes de retirar la clave antigua. En un cambio de algoritmo, la misma RFC pide retirar primero el DS del padre y después el DNSKEY y las firmas.\n\nPara evitar la introducción manual, la RFC 7344 define los registros CDS y CDNSKEY: el operador DNS publica en la zona el DS deseado y el agente del padre puede consumirlo, tras la validación DNSSEC. La RFC 8078 añade la supresión, mediante `CDS 0 0 0 0` o `CDNSKEY 0 3 0 0`. Aun así, el registro o el registrador decide si los consume, y su compatibilidad depende de la extensión. El 13 de octubre de 2026, ICANN abrió una consulta pública sobre la evaluación de seguridad y estabilidad de la automatización del DS, abierta hasta el 23 de noviembre de 2026. El anuncio no menciona CDS ni CDNSKEY: la automatización ni está adoptada ni es inminente en esta fase.",{"type":68,"title":143,"headers":144,"rows":148},"Síntomas, causas y remedios",[145,146,147],"Síntoma","Causa probable","Remedio",[149,153,157,161,165,169],[150,151,152],"SERVFAIL en 1.1.1.1 u 8.8.8.8, respuesta normal en otros","DS huérfano o clave ausente de la zona","Retirar el DS, esperar su TTL, republicar un DS correcto",[154,155,156],"`EDE: 9 (DNSKEY Missing)` en la salida de dig","Ningún DNSKEY corresponde al DS","Comparar el key tag del DS con la KSK publicada",[158,159,160],"`delv` responde `resolution failed`","Cadena de confianza rota","Probar con `dig +cd` para confirmar que la zona responde sin validación",[162,163,164],"Sin bandera `ad` pero sin error","Resolvedor no validador o DS aún no publicado","Consultar otro resolvedor, esperar el retraso del registro",[166,167,168],"Caída tras cambiar los servidores de nombres","Nuevo operador sin firmar, DS antiguo conservado","Seguir el procedimiento prudente, empezando por retirar el DS",[170,171,172],"Firmas caducadas","Firma automática detenida en el operador","Reactivar la firma, comparar las fechas del RRSIG",{"type":174,"title":175,"body":176},"tip","El plan de vuelta atrás se redacta antes, no durante","Anote por escrito el estado inicial, el comando que prueba cada etapa y la persona que puede eliminar el DS en una urgencia. En caso de duda, la salida más corta es siempre la misma: eliminar el DS en el registrador y esperar su TTL. La zona vuelve a no estar firmada pero accesible, y después se diagnostica sin presión con `dig +cd`.",{"type":36,"title":178,"body":179},"Lo que hace ServOrbit.com y lo que no hace","DNSSEC no se activa en autoservicio desde el área de cliente. Para solicitarlo, abra un ticket desde su área de cliente o escriba a support@servorbit.com. La compatibilidad depende de la extensión y de su registro, en particular para los dominios .ma. ServOrbit.com no firma las zonas por usted y no expone un campo DS en el área de cliente: esta guía describe el método, no una función automática. El DNS gestionado de Cloudflare, presentado en la guía de activación correspondiente, solo se menciona aquí en un punto: cambiar de servidores de nombres en un dominio ya firmado expone al DS huérfano. Para añadir o modificar registros durante la preparación, la guía sobre registros DNS sigue siendo la referencia, y la de la transferencia saliente cubre el caso de un cambio de registrador. Guía proporcionada, sin soporte incluido.",{"type":36,"title":181,"body":182},"La documentación oficial","RFC 6781, prácticas operativas de DNSSEC: https:\u002F\u002Fwww.rfc-editor.org\u002Frfc\u002Frfc6781.html\n\nRFC 8624, algoritmos y digests: https:\u002F\u002Fwww.rfc-editor.org\u002Frfc\u002Frfc8624.html\n\nRFC 7344, CDS y CDNSKEY: https:\u002F\u002Fwww.rfc-editor.org\u002Frfc\u002Frfc7344.html\n\nRFC 8078, gestión del DS por el hijo: https:\u002F\u002Fwww.rfc-editor.org\u002Frfc\u002Frfc8078.html\n\nConsulta de ICANN sobre la automatización del DS: https:\u002F\u002Fwww.icann.org\u002Fen\u002Fannouncements\u002Fdetails\u002Ficann-seeks-input-on-security-stability-assessment-of-dnssec-ds-automation-13-10-2026-en\n\nCambio de KSK de la raíz: https:\u002F\u002Fwww.icann.org\u002Fresources\u002Fpages\u002Fksk-rollover-en","Dominios y DNS en un mismo lugar","Seguir sus dominios, sus servidores de nombres y su alojamiento desde un único espacio simplifica la preparación de un cambio. Para una solicitud de DNSSEC abra un ticket desde el área de cliente; la asistencia depende de la extensión.","Gestionar mis dominios","\u002Fdomaines",[188,204,224],{"id":189,"slug":190,"slugs":191,"title":195,"excerpt":196,"readTime":197,"views":18,"isPinned":19,"publishedAt":198,"updatedAt":199,"category":200,"categories":201,"featuredImage":30,"bgImage":31,"posterImage":203,"relatedSolution":30},493,"rollover-ksk-raiz-dnssec-2026-revisar-resolver",{"fr":192,"en":193,"ar":194,"es":190},"rollover-ksk-racine-dns-2026-dnssec-resolveurs","root-dnssec-ksk-rollover-2026-check-your-resolver","تغيير-مفتاح-الجذر-dnssec-2026-فحص-المحلل","Rollover de la KSK raíz de DNSSEC: revise su resolver","La raíz DNS ya está firmada por KSK-2024 (key tag 38696). Compruebe el ancla de confianza de Unbound, BIND, Knot Resolver, systemd-resolved o dnsmasq y corríjala.",12,"2026-10-22T00:00:00+00:00","2026-10-23T13:27:02+00:00",{"id":23,"name":24,"slug":25,"color":26,"icon":27},[202],{"id":23,"name":24,"slug":25,"color":26,"icon":27},"\u002Fblog\u002Fcovers\u002Frollover-ksk-racine-dns-2026-dnssec-resolveurs-poster.svg",{"id":205,"slug":206,"slugs":207,"title":211,"excerpt":212,"readTime":213,"views":214,"isPinned":19,"publishedAt":215,"updatedAt":216,"category":217,"categories":221,"featuredImage":30,"bgImage":31,"posterImage":223,"relatedSolution":30},449,"cambiar-servidores-de-nombres-dominio",{"fr":208,"en":209,"ar":210,"es":206},"changer-serveurs-de-noms-domaine","change-domain-nameservers","تغيير-خوادم-الأسماء-للنطاق","Cambiar los servidores de nombres de un dominio","Modifique los servidores de nombres (NS) de un dominio registrado en ServOrbit desde el área de cliente, sin cortar su sitio web ni su correo.",2,1,"2026-10-16T00:00:00+00:00","2026-10-16T01:57:35+00:00",{"id":197,"name":218,"slug":219,"color":220,"icon":219},"Guías","guides","bg-emerald-500\u002F10 text-emerald-400",[222],{"id":197,"name":218,"slug":219,"color":220,"icon":219},"\u002Fblog\u002Fcovers\u002Fchanger-serveurs-de-noms-domaine-poster.svg",{"id":225,"slug":226,"slugs":227,"title":231,"excerpt":232,"readTime":213,"views":214,"isPinned":19,"publishedAt":215,"updatedAt":216,"category":233,"categories":234,"featuredImage":30,"bgImage":31,"posterImage":236,"relatedSolution":30},446,"activar-dns-gestionado-cloudflare-dominio",{"fr":228,"en":229,"ar":230,"es":226},"activer-dns-manage-cloudflare-domaine","activate-managed-cloudflare-dns-domain","تفعيل-dns-المدار-cloudflare-على-النطاق","Activar el DNS gestionado de Cloudflare en un dominio","Active el DNS gestionado (Cloudflare) de un dominio desde su área de cliente: importación de registros, delegación de servidores de nombres y verificación.",{"id":197,"name":218,"slug":219,"color":220,"icon":219},[235],{"id":197,"name":218,"slug":219,"color":220,"icon":219},"\u002Fblog\u002Fcovers\u002Factiver-dns-manage-cloudflare-domaine-poster.svg",1793289294258]