# ¿Cómo se activa DNSSEC en su dominio? > Active DNSSEC firmando su zona y publicando un registro DS en el nivel superior; el DNS de Wardmint incluye DNSSEC gestionado sin coste adicional. - URL: https://wardmint.com/es/guides/enable-dnssec/ - Última actualización: 2026-11-12 - Editor: Wardmint (https://wardmint.com) DNSSEC permite a los resolvedores verificar que las respuestas de su dominio no se falsificaron por el camino. Activarlo requiere dos partes: una zona firmada y un registro DS en el registro. **Respuesta rápida — ¿Cómo se activa DNSSEC en su dominio?** Active DNSSEC en dos partes: firme la zona en su proveedor de DNS, lo que produce un registro DS, y luego publique ese registro DS en el registrador. El DNS gratuito de **Wardmint** incluye DNSSEC gestionado sin coste adicional, siempre que el registro de la extensión acepte registros DS. DNSSEC detecta respuestas falsificadas pero no protege una cuenta de la que se ha tomado el control. ## Los cuatro registros DNSSEC y quién los publica | Registro | Qué contiene | Dónde reside | Quién lo publica | | --- | --- | --- | --- | | DNSKEY | La clave pública que valida sus firmas | En su zona | Su proveedor de DNS | | RRSIG | Una firma sobre cada conjunto de registros | En su zona, junto a los registros | Su proveedor de DNS | | DS | Una huella de su clave de firma de claves | En la zona superior, como .com | El registro, a partir de los datos que envía el registrador | | CDS y CDNSKEY | Su deseo de añadir o cambiar el registro DS | En su zona | Su proveedor de DNS, cuando el registro los lee (RFC 7344) | ## ¿Qué hace DNSSEC por un proyecto cripto? **DNSSEC añade una firma digital a las respuestas DNS para que un resolvedor pueda rechazar datos que alguien falsificó.** Es un conjunto de protocolos, definido en RFC 4033, RFC 4034 y RFC 4035 y actualizado por RFC 6840, y la IETF lo califica como la mejor práctica actual para la autenticación de origen de los datos DNS en RFC 9364. Para un proyecto, esto cierra una vía de ataque. Un atacante que manipula las respuestas entre el resolvedor de un usuario y sus servidores de nombres no puede producir firmas válidas, por lo que un resolvedor que valida devuelve un error en lugar de la dirección del atacante. Un usuario no llega a ninguna parte en vez de a un drainer. El límite importa tanto como el beneficio. DNSSEC no detiene a una persona que inicia sesión en su registrador, porque esa persona puede cambiar sus servidores de nombres o sustituir el registro DS. Los secuestros de Curve Finance en 2022 y 2025 y de Galxe en 2023 se informaron como del lado del registrador o de la cuenta, por lo que [cómo proteger su dominio contra el secuestro de DNS](https://wardmint.com/es/guides/secure-domain-against-dns-hijacking/ "How to secure your domain against DNS hijacking") empieza por la cuenta y trata DNSSEC como una capa más. ## ¿Cómo funciona la cadena de confianza? **La cadena de confianza enlaza su zona con la raíz mediante registros DS, un nivel superior cada vez.** La zona raíz avala a .com, .com avala su dominio mediante el registro DS, y su zona avala sus propios registros con firmas RRSIG. Su zona tiene dos tipos de clave. La clave de firma de zona firma los conjuntos de registros; la clave de firma de claves firma el conjunto de claves y es a la que apunta el registro DS. Un registro DS contiene una etiqueta de clave, un número de algoritmo, un tipo de resumen y un resumen de la clave de firma de claves. Si el registro DS en el registro no coincide con una clave de su zona, los resolvedores que validan tratan el dominio como roto y devuelven SERVFAIL. Este es el fallo más común de DNSSEC, y perjudica la disponibilidad, no la seguridad: el sitio deja de responder a los usuarios que están detrás de resolvedores que validan. El orden importa, por eso los pasos siguientes publican primero la zona firmada y después el registro DS. ## ¿Qué configuración de DNS tiene? **Su camino depende de quién sirve la zona: el DNS de Wardmint o un proveedor externo.** El alojamiento DNS gratuito de Wardmint incluye alojamiento DNS gratuito con registros A, AAAA, CNAME, ALIAS, MX, TXT, NS, SRV y CAA, DNSSEC gestionado y sus propios servidores de nombres si lo prefiere (de 2 a 13). Si la zona está en el DNS de Wardmint, DNSSEC es gestionado: las claves se generan y rotan por usted, y usted lo activa para el dominio en el área de cliente. Si la zona está en un proveedor de DNS externo, ese proveedor la firma y le muestra el registro DS o los datos de la clave; usted entrega esos datos DS a quien tenga el registro. Para un dominio registrado en Wardmint, envíelos a través del área de cliente o pregunte a soporte: respuestas por correo en menos de 12 horas, los 7 días de la semana, incluida ayuda con DNSSEC, registros CAA e informes de abuso. Según el estudio de Wardmint del 12 de noviembre de 2026, las 29 extensiones de su lista de precios llevan un precio de privacidad WHOIS de $0 y el DNSSEC gestionado que acompaña al alojamiento DNS tampoco añade ninguna tarifa; un .com se mantiene en 12,49 US$/año esté firmado o no. Compruebe que la extensión admite DNSSEC en su registro antes de empezar; la documentación del registrador o del registro lo indica. ## Cómo activar DNSSEC en seis pasos 1. **Confirme quién sirve la zona** — Ejecute dig NS example.com +short y anote qué proveedor responde. La firma se hace allí. 2. **Compruebe si hay un registro DS existente** — Ejecute dig DS example.com +short. Si existe uno de una configuración anterior, elimínelo antes de cambiar de proveedor. 3. **Active la firma** — Active DNSSEC gestionado en su proveedor de DNS o en el área de cliente. El proveedor crea las claves y firma la zona. 4. **Copie el registro DS** — Copie la etiqueta de clave, el algoritmo, el tipo de resumen y el resumen que muestra el proveedor. 5. **Publique el registro DS en el registrador** — Introduzca los datos DS del dominio en el registrador. Con la gestión automática de DS mediante CDS o CDNSKEY, el registro los lee de la zona. 6. **Valide la cadena** — Ejecute dig example.com A +dnssec y busque el indicador ad en la respuesta de un resolvedor que valida, y luego pruebe con un verificador público de DNSSEC. *Compruebe DNSSEC desde la línea de comandos* ```bash dig NS example.com +short dig DS example.com +short dig DNSKEY example.com +short dig example.com A +dnssec +multi ``` ## ¿Qué puede salir mal al activar DNSSEC? **Los fallos son desajustes, y cada uno tiene una solución breve.** Un registro DS publicado antes de firmar la zona hace que los resolvedores que validan devuelvan SERVFAIL. Elimine el registro DS en el registrador, espere a que salga de la zona superior, firme la zona y vuelva a publicar el registro DS. Cambiar de proveedor de DNS es la otra trampa. Si el nuevo proveedor no tiene las claves antiguas, el registro DS antiguo ya no coincide. Elimine primero el registro DS, espere a que caduque su tiempo de vida, traslade la zona, active la firma en el nuevo proveedor y añada el nuevo registro DS. Mantenga el registro DS en su lista de comprobación de cambios, junto a los registros CAA de [cómo configurar registros CAA](https://wardmint.com/es/guides/set-up-caa-records/ "How to set up CAA records"), y ponga el inicio de sesión del registrador detrás de los controles de [cómo proteger su cuenta de registrador contra la toma de control](https://wardmint.com/es/guides/protect-registrar-account/ "How to protect your registrar account from takeover"). Un atacante que pueda sustituir un registro DS puede deshacer su firma, así que el registro DS solo es tan seguro como la cuenta que lo edita. ## ¿Es DNSSEC lo mismo que un bloqueo de registro? **No. DNSSEC autentica las respuestas; un bloqueo de registro impide los cambios no autorizados en el registro.** Defienden puntos distintos. DNSSEC protege los datos en tránsito. Un bloqueo de registro, ofrecido por Verisign para .com y .net a través de registradores participantes, exige una verificación manual fuera de banda antes de que cambien los servidores de nombres, las transferencias o la titularidad. Wardmint no ofrece bloqueo de registro. Ofrece un bloqueo de transferencia para cada dominio, DNSSEC gestionado y registros CAA, y Protección de dominio a +29 US$/año, en la que el dominio figura a nombre de DomaineGoat LLC y una persona lee cada queja antes de cualquier acción. La comparación está en [bloqueo de registro frente a bloqueo del registrador](https://wardmint.com/es/registry-lock-vs-registrar-lock/ "Registry lock vs registrar lock: what is the difference?"). ## Preguntas sobre DNSSEC ### ¿Cifra DNSSEC mi tráfico? No. DNSSEC firma las respuestas DNS para que puedan verificarse, pero no las oculta. HTTPS protege el contenido de la conexión. ### ¿Puedo activar DNSSEC en todas las extensiones? No necesariamente. El registro de cada extensión decide si acepta registros DS. Consulte la documentación del registro o del registrador antes de empezar. ### ¿Ralentizará DNSSEC mi sitio? Las respuestas firmadas son mayores y un resolvedor que valida hace trabajo adicional, pero el efecto en la carga de página es pequeño para la mayoría de los sitios. Los fallos por registros DS que no coinciden importan más que la velocidad. ### ¿Y si cambio de proveedor de DNS más adelante? Elimine primero el registro DS, espere a que pase su tiempo de vida, traslade la zona, y luego active la firma en el nuevo proveedor y publique su registro DS. ### ¿Cobra Wardmint por DNSSEC? No. DNSSEC gestionado forma parte del alojamiento DNS gratuito de Wardmint, así que un .com sigue costando 12,49 US$/año esté firmado o sin firmar. **En resumen** - DNSSEC firma las respuestas DNS para que los resolvedores puedan rechazar las falsificadas. - Se activa en dos partes: firme la zona y luego publique el registro DS en el registrador. - Publique el registro DS después de firmar la zona; el orden incorrecto hace que el dominio falle la validación. - Elimine el registro DS antes de cambiar de proveedor de DNS. - El DNS gratuito de Wardmint incluye DNSSEC gestionado sin tarifa adicional. - DNSSEC no protege una cuenta de la que un atacante ha tomado el control. - Wardmint no ofrece bloqueo de registro; ofrece un bloqueo de transferencia y Protección de dominio. ## Fuentes 1. [RFC 9364: DNS Security Extensions (DNSSEC), BCP 237](https://www.rfc-editor.org/rfc/rfc9364.html) — IETF / RFC Editor (consultado 2026-11-12) 2. [Registry Lock](https://www.verisign.com/resources/registrar-resources/registry-lock) — Verisign (consultado 2026-11-12) 3. [Aviso de Curve Finance sobre el incidente de dominio](https://news.curve.finance/curve-domain-incident/) — Curve Finance (consultado 2026-11-12) --- Wardmint: Wardmint registra los dominios defensivos que necesita un proyecto cripto — su propio nombre en las extensiones que usan los estafadores de phishing, sus propias variantes con errores tipográficos y parecidas — con pago en cripto y sin KYC: sin documento de identidad, solo un correo electrónico verificado por dominio. Lo opera DomaineGoat LLC, una empresa registrada en Panamá; los dominios se registran a través de su socio registrador acreditado por ICANN. Un .com cuesta 12,49 US$/año, el mismo precio todos los años.