Comprobador DNSSEC
DNSSEC firma las respuestas que proporciona su dominio, para que un cliente pueda saber que no fueron falsificadas en el camino. Una configuración a medio terminar es peor que ninguna: una firma rota no hace que el dominio sea menos seguro, sino que lo hace desaparecer. Verifique un dominio que usted controle y vea si DNSSEC está activado y si se valida.
Watched, not just checked
This is one scan of one layer, run once. In AYAsec the same check runs on a schedule across every asset you own, and you are told the day a grade drops.
Qué es DNSSEC, en un párrafo
Las respuestas DNS ordinarias no están firmadas: un solucionador cree en lo que llega primero. DNSSEC agregafirmas para las respuestas y una cadena de confianza que va desde la raíz, a través del dominio de nivel superior, hasta su zona. Tu zona publica sus claves públicas; el padre publica una huella digital de ellos (el registro DS). Un solucionador de validación recorre esa cadena y rechaza una respuesta que no coincide.
Cinco razones para comprobar tu propio DNSSEC
01
Ver si DNSSEC está activado
Está desactivado de forma predeterminada en la mayoría de los proveedores y tiene que seractivado en dos lugares: el proveedor de DNS, que firma la zona, y el registrador, que publica el registro DS en el padre. Hacer sólo uno de ellos deja el dominio firmado en papel y desprotegido en la práctica. Una comprobación desde fuera es la única forma de ver el resultado de ambos.
02
Una cadena rota desconecta el dominio
Esta es la parte que diferencia a DNSSEC de cualquier otro registro de esta lista. Si las firmas no coinciden con el registro DS (después de una migración de proveedor, una transferencia de clave o un cambio de registrador), los resolutores de validación responden con un error, no con una dirección incorrecta. El dominio deja de resolverse para todos los que están detrás de dicho solucionador, lo que incluye una gran parte de Internet, y no hay ningún problema en el servidor.
03
Habilitado no es lo mismocomo validando
Las claves se pueden publicar y las firmas pueden existir y la cadena aún puede romperse en alguna parte. Lo que cuenta es si un solucionador de validación acepta el resultado, y eso es lo que pregunta esta página.
04
Caminata por zonas, o cómo NSEC enumera sus nombres
Para demostrar que un nombre no existe, DNSSEC tiene que firmar los espacios entre los nombres que sí existen. Con NSEC simple, esa prueba nombra el siguiente registro en la zona, por lo que cualquiera puede preguntar algunaspreguntas y lea la lista completa de nombres. NSEC3 los modifica para hacerlo más difícil. Una zona que enumera sus nombres para quien la solicite está regalando su estructura interna.
05
Evidencia de que el dominio está protegido
Las aseguradoras y los clientes empresariales preguntan sobre DNSSEC por su nombre. Un informe fechado que muestra que la cadena se validó y cuándo cambió es una mejor respuesta que una captura de pantalla de un panel DNS, y es evidencia que puedemantener.
Conozca el día en que cambia su DNSSEC
DNSSEC es el único conjunto de registros donde un cambio de rutina puede arruinarlo todo: una migración de proveedor, una transferencia de registrador, una transferencia de clave que nadie programó.
Los escaneos programados convierten eso en una diferencia de la que te hablan: esta zona fue firmada la semana pasada y ahora no, esta cadena dejó de validar, esta calificación bajó. Las alertas llegan a la aplicación, por correo electrónico o a través de Slack, Teams, Jira o ungancho web.
Paso 01 · Nombra el dominio
Un dominio que usted controla, agregado a su cuenta AYAsec. La propiedad se verifica antes de enviar cualquier cosa: AYAsec no programará análisis en infraestructura sobre la cual no haya demostrado control y [demostrará que requiere un registro DNS] (https://docs.ayasec.ai/guides/verify-domain/cloudflare/). La comprobación rápida anterior omite esto: sin cuenta, sin verificación, sólo limitación de velocidad de IP y una regla de que el objetivo tiene que ser undirección pública.
Paso 02 · Deje que se ejecute la verificación
Los datos DNSSEC son públicos, por lo que se leen en lugar de sondearse. Le pide a un solucionador de validación las claves y la respuesta y mira lo que dice.
Paso 03 · Leer el resultado
Los hallazgos llegan ordenados por gravedad y puntuados de A+ a F. Una zona que no valida y una zona que simplemente no está firmada no se encuentran en la misma lista indiferenciada.
De qué es parte esto
DNSSEC es uno de varioscosas que AYAsec verifica como parte de su escaneo de DNS, junto con SPF, DKIM, DMARC, MTA-STS y TLS-RPT, y la configuración del servidor de nombres y el estado de los registros. Es un escaneo y esta página es aproximadamente una parte de lo que analiza.
DNS lleva el 20% de la calificación compuesta. Los otros son HTTP al 30%, TLS ypuertos al 20 % cada uno y credibilidad del dominio al 10 %. Todos ellos juntos son lo que gestión de la superficie de ataque significa en la práctica.
Preguntas antes de comprobar
¿Qué puedo comprobar?
Infraestructura de su propiedad o contratada para realizar pruebas. La verificación rápida anterior no verifica eso por usted: solo limita la velocidad por IP y se niega a apuntar a nada que no sea una dirección pública. En su lugar, agregue el dominio a una cuenta de AYAsec y el control se verificará antes de que se ejecute cualquier cosa programada: un límite tanto legal como práctico, ya que un escaneo no verificado tampoco le sirve como evidencia.
Los datos DNSSEC son públicos. ¿Por qué es necesario¿verificación?
Los datos son públicos y el cheque es de sólo lectura, por lo que el cheque en sí es inofensivo. La verificación se trata de lo que sucede a continuación: un dominio en su cuenta AYAsec es monitoreado, calificado y mantenido en su historial, y nada de eso debería ser posible para un dominio que no es suyo.
¿DNSSEC cifra algo?
No. Prueba que una respuesta es genuina; no lo esconde. Cifrar el tráfico entre un cliente y un solucionador es unacosa diferente.
¿Vale la pena correr el riesgo de DNSSEC de romper el dominio?
Para la mayoría de los dominios, sí, siempre y cuando esté encendido y luego visto. El riesgo es real pero limitado: surge en los momentos en que cambian las claves o los proveedores. Una revisión programada es lo que convierte un “esperamos que la cadena esté bien” en un aviso el día que no lo está.
Mi proveedor me firma la zona. ¿Ya terminé?
No hasta que el registrador publique el registro DS coincidente. Una zona firmada sinEl DS del padre no está validado por nadie.
¿Conservas los resultados?
No es la comprobación rápida anterior: permanece en la memoria durante unos quince minutos para que puedas leerla una vez y luego desaparece. Se trata de una elección deliberada de privacidad, no de una limitación: nadie más que tú ve ese análisis y puedes descargar el resultado completo antes de que caduque. En su lugar, agregue el dominio a una cuenta de AYAsec y cada escaneo se conserva: una serie que le indica qué edición lo rompió. La retención depende de su plan.
Mantenga la historia, no solo laresultado
Ejecute la verificación completa de DNS en sus propios dominios, según un cronograma, con cada cambio marcado para quien necesite verlo.
Las otras damas
comprobador de seguridad DNS
SPF, DKIM, DMARC, MTA-STS y los propios registros
Comprobador DMARC: ¿qué sucede con el correo que no pasa la verificación?
MTA-STSchecker: ¿está protegida la conexión que transporta su correo?
Datos estructurados para incrustar
{
"@context": "https://schema.org",
"@type": "SoftwareApplication",
"name": "AYAsec DNSSEC Checker",
"applicationCategory": "SecurityApplication",
"operatingSystem": "Web browser",
"url": "https://ayasec.ai/dnssec-checker/",
"offers": { "@type": "Offer", "price": "0", "priceCurrency": "EUR" }
}No añada el marcado FAQPage o HowTo - Google retiró ambos tipos de resultados.