Lecciones del módulo (2/3)
Trust anchor y rollover automatizado
Trust anchor y rollover automatizado
Un rollover no consiste en cambiar una clave y esperar que Internet se actualice. Los resolutores y las zonas padre pueden guardar datos durante periodos distintos. La trust anchor de la raíz puede gestionarse automáticamente. En una delegación, CDS y CDNSKEY permiten al hijo publicar información que puede ayudar al padre a actualizar el DS, según su política.
La automatización reduce tareas manuales, pero no elimina controles, autorización ni reversión. Comprueba algoritmo, digest, correspondencia DS/DNSKEY, estado de firmas y ventanas de caché antes y después del cambio.
Un procedimiento prudente define requisitos previos, publica la clave nueva, espera propagación, actualiza el padre, verifica desde resolutores independientes y retira la antigua solo al completar la transición. Sigue el proceso compatible con tu registrador y software.
Referencias: RFC 5011 — gestión de trust anchors · RFC 7344 — CDS/CDNSKEY · RFC 8078 — actualización DS
Comprueba lo aprendido
Elige la mejor respuesta. Los ejemplos usan nombres didácticos y no envían consultas DNS reales.
¿Qué debe seguir siendo cierto durante un rollover?