Para qué sirve
DNSSEC permite validar firmas de datos DNS. La prueba comprueba el comportamiento del resolvedor elegido, sin fiarse de una sola bandera. Validar firmas no cifra las consultas. Tampoco demuestra que tu navegador utilice ese resolvedor: puede tener un servicio DNS sobre HTTPS diferente al del sistema.
Cómo hacer la prueba
- Introduce el resolvedor permitido que quieras probar. Anota su dirección y por qué corresponde a la configuración que investigas.
- Ejecuta el ensayo y espera los controles de dominio firmado válido, dominio deliberadamente inválido y ese mismo dominio con la comprobación desactivada.
- Lee las respuestas junto al veredicto. Un error general no equivale al rechazo específico de una firma incorrecta.
Qué medimos
El servidor envía consultas DNS por UDP y utiliza TCP si la respuesta está truncada. Compara validación activa y Checking Disabled, o comprobación desactivada.
El resolvedor recibe los dominios de control desde el servidor de prueba. La herramienta no observa directamente las consultas del navegador ni guarda un historial permanente.
Cómo interpretar el resultado
- Validación confirmada
- El dominio válido responde, el inválido falla con validación activa y devuelve datos al desactivarla. El conjunto respalda un rechazo por DNSSEC.
- Validación ausente
- El resolvedor devuelve datos del dominio con firma inválida mientras la comprobación está activa; no rechaza ese control como se esperaba.
- Indeterminado
- Filtrado, tiempo agotado, rechazo o fallo del control válido impiden interpretar el conjunto. No prueban ausencia de validación.
Comparar antes y después
- Guarda la referencia con el mismo resolvedor, puerto, controles y servidor de prueba. Conserva las tres respuestas.
- Cambia únicamente el resolvedor evaluado y repite. Si activas una VPN, comprueba si también modifica el servicio DNS utilizado.
- Compara la secuencia completa desde el mismo origen. El resultado de un resolvedor no se traslada automáticamente al navegador.
Límites de la prueba
- Un navegador puede utilizar DNS sobre HTTPS y omitir el resolvedor del sistema, sin que la página conozca su elección.
- La disponibilidad de los dominios de control y el acceso del servidor afectan al resultado.
Qué puedes hacer
- La validación aparece ausente
- Revisa la política del resolvedor y selecciona uno que valide si ese es tu objetivo; confirma que el dispositivo lo utiliza.
- La prueba es indeterminada
- Comprueba acceso y repite. No cambies varios ajustes ni conviertas un fallo de red en diagnóstico DNSSEC.
Preguntas frecuentes
¿DNSSEC oculta los dominios?
No. Valida firmas; el cifrado del transporte DNS es una cuestión distinta.
¿La bandera AD basta?
Es un indicio complementario. Los controles cruzados permiten distinguir validación y avería con más fundamento.