La raíz del DNS cambia su clave de firma KSK el 11 de octubre: qué deben revisar los operadores de resolvers

El 11 de octubre de 2026 la zona raíz del DNS tiene programado cambiar su clave de firma de claves (KSK, por sus siglas en inglés). Según una publicación de Cloudflare del 6 de octubre, es apenas la segunda vez que ocurre; la primera fue en 2018. La nueva clave, KSK-2024, identificada con el key tag 38696, reemplazará a KSK-2017 (key tag 20326) como firmante del conjunto de claves públicas de la raíz.

La mayoría de los operadores de sitios web no necesita hacer cambios. Quienes sí deben actuar son las organizaciones que operan resolvers propios que validan DNSSEC: tienen que confirmar que su software confía en KSK-2024 y, si la clave falta, seguir las instrucciones del fabricante y la guía de ICANN para actualizar los anclajes de confianza. Cloudflare advierte que, si un resolver no confía en la nueva clave, sus usuarios podrían no alcanzar sitios bajo cualquier dominio de nivel superior, aunque esos sitios funcionen con normalidad. La empresa indica que quienes usan su DNS para sus dominios, el resolver 1.1.1.1 o Gateway DNS no tienen que hacer nada, porque sus sistemas ya confían en KSK-2024.

Qué es la KSK y por qué es el punto de partida

DNSSEC permite que un resolver verifique con firmas digitales que las respuestas del DNS son auténticas y no fueron alteradas. Esa verificación sigue una cadena de confianza: la raíz responde por dominios como .com, y estos por los dominios que cuelgan de ellos. La raíz no tiene un nivel superior que la respalde, así que el resolver arranca desde una clave pública que ya tiene cargada como confiable, el llamado anclaje de confianza (trust anchor).

La raíz usa dos claves con funciones distintas. La clave de firma de zona (ZSK) firma los registros de la raíz, incluidos los que apuntan a los dominios de nivel superior. La KSK firma la lista de claves públicas de la raíz. Si el resolver no reconoce la KSK que firma esa lista, la cadena entera falla desde el comienzo.

Cómo llega la nueva clave a los resolvers

El estándar RFC 5011 permite que los resolvers aprendan un nuevo anclaje de forma automática. La raíz publica la nueva KSK junto a la vigente, y el resolver la acepta después de observarla y verificarla durante al menos 30 días. Según Cloudflare, KSK-2024 está publicada en la raíz desde el 11 de enero de 2025, por lo que los resolvers con actualización automática tuvieron tiempo de incorporarla.

El riesgo está en otro lado. Durante el primer cambio, en 2018, Cloudflare observó resolvers que perdían la clave aprendida tras actualizaciones de software o migraciones entre equipos. Por eso la empresa incorporó KSK-2024 directamente en los anclajes de su software en julio de 2024. Para cualquier operador, la lección es la misma: un servidor reinstalado, migrado o restaurado desde una copia antigua puede no tener la nueva clave aunque el resto de la infraestructura sí la tenga.

Cómo verificarlo

Cloudflare habilitó una prueba de preparación que consulta al resolver que usa el navegador si confía en la nueva clave. Se basa en el RFC 8509, que define un mecanismo llamado sentinel para preguntarle a un resolver, mediante consultas DNS comunes, si confía en una clave raíz determinada. La empresa aclara que, si no se puede confirmar que el resolver soporta ese mecanismo, el resultado es inconcluso y no significa que falte la clave. También advierte que la prueba en el navegador puede verse afectada por el uso de DNS seguro o de una VPN, por lo que conviene verificar directamente cada resolver propio. Cloudflare pide a proveedores y desarrolladores que incorporen soporte para RFC 8509.

Por qué importa en Latinoamérica

Las fuentes no aportan cifras sobre cuántos resolvers de la región validan DNSSEC ni cuántos podrían no tener la nueva clave. El riesgo se concentra en quienes operan su propia resolución de nombres: proveedores de acceso a internet, universidades y redes académicas, organismos públicos, bancos y empresas con infraestructura local. En esos casos, un resolver desactualizado afectaría a todos los usuarios que dependen de él. Con el cambio previsto para el domingo 11 de octubre, la recomendación es revisar ahora el inventario de resolvers, incluidos los de sedes remotas y los equipos de contingencia.

Lo que viene después

KSK-2017 y KSK-2024 usan el mismo algoritmo, RSA/SHA-256: el cambio reemplaza el par de claves, no el método de firma. La IANA plantea un intervalo ideal de tres años entre cambios, pero esta vez pasaron ocho; ICANN lo atribuye a la pandemia y a la actualización del hardware que protege las claves privadas. El proceso sigue en 2027, cuando ICANN prevé revocar KSK-2017, retirarla de la raíz y eliminar su clave privada. ICANN también propuso un cambio futuro de algoritmo a ECDSA P-256, que Cloudflare aclara que no es poscuántico. Según la empresa, llevar DNSSEC a criptografía poscuántica requerirá otro cambio de clave raíz, y estos ejercicios sirven para probar cómo se distribuyen y verifican los nuevos anclajes.