La zona de nivel superior .PK (Pakistán) ha publicado su firma DNSSEC en la cadena de confianza, un paso técnico que permite la validación de integridad y autenticidad de las respuestas DNS. La noticia fue difundida en CircleID el 20 de octubre de 2026 y confirma que la delegación con firma (DS) está presente en la zona raíz/chain of trust.
Qué significa que .PK esté firmado con DNSSEC
DNSSEC (Domain Name System Security Extensions) añade firmas digitales a los registros DNS para que los resolutores puedan comprobar que la respuesta recibida no ha sido alterada y proviene realmente del propietario legítimo. Cuando la zona de un dominio de nivel superior (TLD) publica claves y firmas, los delegados —las subzonas y dominios bajo ese TLD— pueden publicar sus propias firmas y ser validadas por resolutores que realizan DNSSEC.
Estado actual: solo un dominio valida correctamente
Según la información publicada, aunque .PK está ahora firmado, en la práctica solo un dominio registrado bajo .PK está devolviendo respuestas que validan correctamente con DNSSEC. Esto puede deberse a varias causas técnicas que afectan a la adopción y a la correcta publicación de firmas por parte de registrantes y registradores.
Por qué solo un dominio valida
- Falta de publicación de registros DS: Para que un dominio valide se necesita publicar en el registrador el registro DS (Delegation Signer) que enlaza la clave de la subzona con la clave del TLD. Si el registrador o el propietario no sube ese DS, la cadena de confianza queda rota.
- Configuración errónea de la zona: la zona del dominio debe contener los registros DNSKEY y los RRsets firmados (RRSIG). Errores en las firmas, claves rotas o incoherencias entre registros pueden provocar fallos de validación.
- Soporte de registradores y herramientas: algunos paneles de registrador y DNS hosting no automatizan correctamente la gestión de claves y la publicación de DS, lo que dificulta que los clientes activen DNSSEC.
- Propagación y caché: tras una firma o la publicación de un DS puede existir un periodo en el que resolutores aún sirven respuestas antiguas o en caché que no validan.
Impacto y a quién afecta
La firma del TLD .PK es un avance positivo para la seguridad del ecosistema DNS de Pakistán, pero mientras la adopción a nivel de dominios sea mínima la protección real ofrecida por DNSSEC será limitada. Afecta especialmente a:
- Administradores de DNS y propietarios de sitios bajo .PK que deseen proteger las consultas DNS frente a manipulación (spoofing o cache poisoning).
- Registradores y proveedores de DNS que deben integrar soporte para publicar registros DS y facilitar la gestión de claves a sus clientes.
- Operadores de resolutores y redes que deberían configurar validación DNSSEC para aprovechar la nueva capacidad del TLD.
Qué deben hacer los administradores y dueños de web
- Comprobar si su registrador y proveedor DNS soportan DNSSEC y, en caso afirmativo, revisar la documentación oficial para publicar registros DS correctamente.
- Generar las claves DNSKEY y firmar su zona con RRSIG si gestionan su propio servidor DNS. Si usan DNS gestionado, pedir al proveedor que implemente DNSSEC por ellos.
- Verificar la validez con herramientas de diagnóstico DNSSEC (por ejemplo, validadores y comprobadores online y utilidades como dig +dnssec) para confirmar que la cadena de confianza completa está operativa.
- Coordinar con el registrador la publicación del registro DS en la delegación del TLD .PK una vez la zona esté firmada correctamente.
La firma del TLD es el primer paso; la seguridad efectiva exige que los registrantes y proveedores terminen la cadena de confianza. Sin esos pasos adicionales, la presencia de DNSSEC en .PK solo tendrá impacto limitado.
Lee también:
- Claves privadas de ocho certificados intermedios de eMudhra comprometidas; Cloudflare publica mitigaciones y parches
- Vulnerabilidad en Siemens Software Center explotada para distribuir malware mediante DLLs maliciosas
Fuente: CircleID
