Este 11 de octubre de 2026 está previsto el relevo de una de las claves que sostienen la seguridad del DNS. Según el calendario de IANA, KSK-2024 sustituirá a KSK-2017 como clave de firma de la raíz. El cambio requiere atención de los operadores que validan DNSSEC.
Un resolutor que no confíe en la nueva clave puede rechazar respuestas legítimas y hacer que una web operativa parezca inaccesible.
Qué cambia en la raíz del DNS
El DNS permite localizar los servicios asociados a un nombre de dominio. DNSSEC añade firmas digitales para comprobar la autenticidad de sus registros. Esa comprobación sigue una cadena de confianza que comienza en la raíz.
La KSK firma el conjunto de claves públicas de la raíz. Los resolutores deben confiar en ella para verificar las respuestas. El relevo no modifica las direcciones de las páginas.
Quién debe comprobar la configuración
ICANN pide a los operadores verificar que KSK-2024, identificada con la etiqueta 38696, esté presente en sus anclas de confianza. Su aviso insiste en comprobar el resultado, aunque el software tenga activadas las actualizaciones automáticas.
Si falta, hay que revisar esa función y seguir las instrucciones del proveedor del resolutor para actualizar las anclas. Es una tarea especialmente relevante para quien administra un servicio DNS propio en una empresa o una red doméstica.
Qué necesita hacer un usuario corriente
Cloudflare explica que la mayoría de responsables de webs no necesita cambiar nada. También asegura que sus servicios 1.1.1.1 y Gateway DNS ya confían en KSK-2024.
La compañía ofrece un test de preparación que consulta al resolutor utilizado por el navegador. Se apoya en el protocolo de comprobación RFC 8509, por lo que su utilidad depende del soporte del resolutor.
El proceso continúa en 2027
La nueva clave se publicó en la raíz el 11 de enero de 2025. IANA prevé revocar KSK-2017 el 11 de enero de 2027 y retirarla de la zona el 22 de marzo. Cambiar la clave que firma y retirar la anterior son fases distintas.
El calendario consultado mantiene el cambio para este domingo. Esta información describe la operación prevista; no confirma que ya se haya completado.
Para quienes mantienen infraestructura de red, también hemos repasado los parches de seguridad de SonicWall SMA1000.
