Un estudio publicado en la International Journal of Information Management Data Insights evaluó la presencia de registros DS en el dominio principal de 698 registradores acreditados por ICANN y concluyó que únicamente 66 de esos dominios, el 9,46%, disponían de un registro DS en la zona padre en la fecha del muestreo (junio de 2025). El registro DS en la zona padre es la evidencia necesaria para que un resolutor que valida DNSSEC trate a un dominio como firmado.
Qué midió el estudio y qué no
Los autores agruparon las acreditaciones publicadas por ICANN por dominio registrable y eligieron, por grupo, la acreditación con el menor IANA ID, quedando 698 dominios distintos. En cada caso consultaron si existía al menos un registro DS en la zona superior; si lo había, el dominio se consideró firmado. No comprobaron si la cadena de validación funcionaba en la práctica, qué algoritmos se usaban ni si los servidores de nombres del registrador estaban en zonas firmadas.
Hallazgos principales
- Por dominio principal la tasa de firmas es del 9,46% (66/698). Si se cuenta por acreditación individual —muchas pertenecen a un mismo operador— la tasa cae al 2,32%.
- Existen diferencias regionales marcadas: los registradores con dirección en Europa firmaron el 22,73% de sus dominios (35 de 154), mientras que Norteamérica alcanzó 7,45% (19/255) y Asia 3,46% (9/260). El resto de regiones combinadas da 5,72% (31/542).
- El análisis estadístico reveló que la región explica más la variación que el tamaño del registrador. Aunque, aisladamente, los registradores más grandes tienden a firmar con más frecuencia, ese efecto pierde significación cuando se controla por región: en modelos conjuntos, la variable «región» sigue significativa y «tamaño» no.
- La diferencia entre Europa y el resto es potente: tras controlar por tamaño, los registradores europeos tenían varias veces más probabilidades de tener su dominio principal firmado que los de otras regiones.
Limitaciones y aclaraciones
El estudio es una instantánea de junio de 2025; no permite seguir tendencias temporales. Tampoco prueba causalidad sobre por qué Europa muestra mayor adopción: la variable «región» puede englobar factores regulatorios, estructura de mercado, experiencia con ccTLD y esfuerzo de las registrerías locales en promover DNSSEC. Además, el dominio principal es un proxy del comportamiento de una empresa: un registrador puede firmar la zona donde aloja el panel de clientes y dejar sin firmar otros puntos críticos como el endpoint EPP, o delegar DNS en terceros. La medida tampoco refleja negocios centrados en ccTLDs, lo que puede subestimar la actividad real de registradores europeos.
Por qué importa para administradores y propietarios de webs
Los registradores son quienes implementan diariamente el mecanismo técnico que traslada registros DS desde clientes al registro. Si la mayoría no aplica DNSSEC ni siquiera a su propio dominio público —la tarjeta de presentación donde publican el panel de control y páginas de acceso—, la barrera a la adopción por parte de terceros difícilmente es solo técnica. Para administradores y propietarios de sitios web, el mensaje práctico es doble:
- Comprobar el estado DNSSEC de su propio dominio y, en su caso, exigir al registrador el soporte y la correcta propagación de DS hacia el registro.
- Vigilar las páginas de control y los endpoints de gestión (por ejemplo, EPP) y considerar la firma de esas zonas como parte de la higiene de seguridad, no solo como una «función para clientes».
Implicaciones para políticas y próximos pasos
El estudio ofrece una referencia cuantitativa sobre la situación actual que puede alimentar el debate político: la vigente Registrar Accreditation Agreement obliga a aceptar y transmitir datos DNSSEC de los clientes, pero no exige que los registradores firmen su propio dominio. La pregunta de si esa obligación debería ampliarse a los dominios de los registradores es de naturaleza normativa y proporcional; los datos presentados establecen el punto de partida antes de una posible discusión regulatoria.
El trabajo incluye los datos y la canalización de análisis en Zenodo, lo que permite reproducir las cifras reportadas sin acceso a la red.
Lee también:
- AdMedia pide desestimar la demanda de Yahoo que le acusa de falsificar la cesión de la marca Advertising.com
- Shopify confirma en su informe que pagó 99 millones de dólares por el dominio shop.com
Fuente: CircleID
