Defaults.Exposed › Informes

¿Funciona el DNSSEC obligatorio? Lo que revela la adopción impulsada por los registros (2026)

Publicado 2026-06-29

Cifras a fecha de 2026-06-29 · metodología v7. Datos censales agregados de 261 millones de dominios evaluados, por terminación de dominio nacional (un indicador de la política del registro, no de la ubicación de la empresa). «Impulsado por el registro» = el registro de la terminación promueve activamente DNSSEC mediante incentivos o requisitos — en su mayoría incentivos a los registradores, no mandatos legales. «Válido» = una cadena DNSSEC que valida; «roto» = firmado pero que falla la validación. Véase cómo evaluamos.

¿Realmente mueve la adopción obligar a los registradores a impulsar DNSSEC? Sí — de forma decisiva — pero con una salvedad. En las terminaciones cuyos registros impulsan DNSSEC, el 9,1% de los dominios tienen una firma válida, frente a solo el 1,3% en las terminaciones que lo dejan en manos de los propietarios — aproximadamente 7× más alto. La política funciona donde la adopción voluntaria se estanca. La salvedad: incluso entre los líderes, más dominios rompen DNSSEC de los que lo hacen bien — así que la presión del registro resuelve activarlo, no hacerlo correctamente.

¿Impulsar DNSSEC aumenta la adopción?

Sin ambigüedad. Las terminaciones nacionales impulsadas por el registro se agrupan en torno al 10–18 % de DNSSEC válido; las terminaciones de laissez-faire se sitúan cerca del suelo global del 1,99%. Un mayor porcentaje de válidos es mejor; el porcentaje de rotos es el coste de equivocarse. A fecha de 2026-06-29:

El 18,38% de Suecia es más de diez veces el 1,62% de .com. La brecha no tiene que ver con la tecnología — es el mismo protocolo en todas partes — sino con si alguien en la cadena tuvo un motivo para desplegarlo.

La salvedad: más roto que funcionando

He aquí la mitad incómoda. En todas las terminaciones impulsadas por el registro de arriba, la tasa de rotos es más alta que la tasa de válidos — Suecia presenta un 30,35% roto frente a un 18,38% válido; los Países Bajos un 22,98% frente a un 11,86%. En el conjunto de las terminaciones impulsadas es 15,7% roto frente a 9,1% válido.

Eso importa porque un DNSSEC roto no es inofensivo: un resolutor que valida se negará a resolver un dominio cuyas firmas no cuadran, de modo que una mala configuración puede dejar el dominio fuera de línea — sitio web y correo — para una parte de internet. Impulsar la adopción sin impulsar la corrección escala las caídas junto con la protección. Es el mismo problema de ejecución que muestra toda la web en la paradoja de DNSSEC, solo que amplificado donde más dominios lo intentan.

Por qué la política del registro supera a dejarlo en manos de los propietarios

DNSSEC no tiene un evento forzoso para un propietario individual: nada se rompe ni avisa si lo omites, así que en una terminación de laissez-faire como .com la adopción se mantiene plana cerca del 1,62% indefinidamente. Los registros que escaparon de eso lo hicieron mediante economía, no edictos — normalmente incentivos a los registradores (descuentos o reembolsos por firmar zonas) más automatización del proveedor, que es como los registros nórdicos, checo y neerlandés elevaron a toda su población. Es un experimento natural limpio: mismo protocolo, misma dificultad, resultados muy distintos — y la diferencia es la política del registro.

¿Mandato o incentivo — qué mueve realmente la aguja?

Sobre todo el incentivo. A pesar del marco «obligatorio» con el que suele plantearse la pregunta, las terminaciones de alta adopción de aquí por lo general fomentan DNSSEC en lugar de exigirlo legalmente; los mandatos estrictos son más raros (algunos gobiernos lo exigen para los dominios del sector público). La lección para cualquier registro: alinear la economía de los registradores y la automatización hacia la firma funciona — pero debería ir acompañado de firma gestionada y rotación de claves, o simplemente fabricas más zonas rotas.

Preguntas frecuentes

¿Exigir o incentivar DNSSEC aumenta realmente la adopción? Sí — alrededor de 7× en nuestros datos: 9,1% válido en terminaciones impulsadas por el registro frente a 1,3% en las de laissez-faire, a fecha de 2026-06-29.

¿Qué país o TLD tiene más DNSSEC? Entre las grandes terminaciones, Suecia (.se) lidera con un 18,38% válido — más de diez veces el 1,62% de .com.

Si la adopción es mayor, ¿se hace DNSSEC correctamente? A menudo no. En todas las terminaciones de alta adopción, el DNSSEC roto supera al válido (15,7% frente a 9,1% en el conjunto de las terminaciones impulsadas) — y un DNSSEC roto puede dejar un dominio fuera de línea.

¿Debería una pequeña empresa activar DNSSEC? Solo si se gestiona correctamente — una firma rota es peor que ninguna. Usa un proveedor que se encargue de la firma y la rotación de claves, y verifica que valida. Véase cómo arreglar DNSSEC.

Comprueba el DNS de tu dominio

Comprueba si tu DNSSEC es válido, está roto o ausente — y el resto de tu postura — de forma privada y gratuita.

Comprueba tu dominio → · La paradoja de DNSSEC → · ¿Quién gestiona el DNS de internet? → · Arreglar DNSSEC → · Solo datos agregados. Datos almacenados y procesados en la UE.