El registro estatal de Pakistán (PKNIC) firmó la zona .pk y publicó su registro DS en la raíz en octubre de 2026, completando la firma del TLD y permitiendo la existencia de una cadena de confianza desde el root hasta .pk. Pese a ese avance, la adopción efectiva por parte de los dominios bajo .pk es aún testimonial.
Qué mostró el escaneo: la cadena se corta bajo el TLD
Un análisis realizado el 11 de octubre sobre 158.561 nombres bajo .pk reveló que solo newspak.pk validaba “end to end” —es decir, el resolutor comprobó la firma desde la raíz, pasando por .pk, hasta la propia zona del dominio. Otros 1.230 dominios habían firmado sus zonas y publicaban claves DNSKEY, pero carecían del registro DS en la zona padre (.pk) necesario para enlazar esas firmas con la raíz.
El resto del muestreo se repartió así: 117.572 nombres (aproximadamente 74%) estaban sin firmar; 25.875 entradas ya no existen; y 13.883 no pudieron clasificarse porque sus servidores de nombres no respondieron o agotaron el tiempo de espera.
Por qué un dominio firmado no basta
Firmar la propia zona y publicar una DS en el padre son pasos distintos. La zona del dominio produce claves y firma sus registros (DNSKEY y RRSIG), pero la DS es un hash de la clave que debe publicarse en la zona padre para que los resolutores que validan confirmen la continuidad de la cadena hacia la raíz. Si la DS no está en .pk, los resolutores tratan la zona como no firmada aunque sus registros estén firmados.
En .pk buena parte del trabajo de firmar ya existe: los 1.230 dominios con DNSKEY muestran demanda y capacidad técnica por parte de registrantes o proveedores DNS. El cuello de botella es la publicación del DS en la zona padre, una acción que normalmente pasa por el registrador o por el propio registro cuando la arquitectura del TLD lo requiere.
Qué puede hacer el registro y los administradores
- Publicar los DS pendientes: dado que muchos subdominios relevantes (com.pk, org.pk, edu.pk, gov.pk) son manejados dentro de la propia zona .pk, el registro podría publicar los DS para los 1.230 dominios que ya cuentan con DNSKEY, multiplicando rápidamente el número de dominios validables.
- Automatizar la transferencia de DS: aceptar DS vía EPP (RFC 5910) y soportar mecanismos automáticos como CDS/CDNSKEY (RFC 7344 y RFC 8078) permitiría que las zonas publiquen sus deseos de delegación sin procesos manuales y reduciría errores en rollovers de claves.
- Publicar una DNSSEC Practice Statement (DPS): un documento público sobre gestión de llaves y procedimientos de emergencia mejora la confianza y guía a operadores y resolutores sobre expectativas operativas.
Impacto práctico y recomendaciones para administradores
Para administradores de DNS y propietarios de sitios bajo .pk: si ya han firmado su zona, deben confirmar que su registrador o el registro publique la DS en .pk. Si aún no han firmado, firmar la zona es el primer paso, pero no suficiente. En entornos con DNSSEC activo a nivel de TLD, la ausencia del DS en el padre implica que los resolutores validadores no aprovecharán las firmas y tratarán la zona como insegura.
Además, los operadores de .pk deberían mejorar la infraestructura: al momento de las mediciones ninguna de las cuatro servidores autoritativos públicos se encontraba alojada en Pakistán, y algunas carecían de IPv6, lo que afecta latencia y resiliencia para los usuarios locales.
La situación documentada es una instantánea pocos días después de la publicación del DS en la raíz; es posible que desde entonces algunos registrantes hayan completado la cadena. Si el registro implementa los pasos de automatización y publica los DS ya existentes, la cantidad de dominios validables bajo .pk podría aumentar de forma sustancial en pocas semanas.
Lee también:
- Informe de Interisle 2026: dominios baratos, registros masivos y subdominios gratuitos atraen alictivos
- Salesforce anuncia la compra de Braze por unos 5.660 millones de dólares
Fuente: CircleID
