Cómo solucionar SERVFAIL por fallos de validación de DNSSEC

Cuando una zona está firmada con DNSSEC pero la cadena de confianza está rota, los resolvedores que validan (incluidos 8.8.8.8 y 1.1.1.1) devuelven SERVFAIL para todo lo de la zona: MX, A, todo. El correo y la web dejan de funcionar para una gran parte de internet.

Qué significa

DNSSEC solo funciona si el registro DS de la zona padre coincide con tu DNSKEY activo y tus firmas RRSIG están vigentes. Si se rompe cualquier eslabón, los validadores tratan las respuestas como falsificadas (“bogus”).

Por qué ocurre

Las causas habituales son una rotación de claves en la que el DS del registrador no se actualizó para coincidir con la nueva clave, firmas RRSIG vencidas, o una zona que se dejó sin firmar mientras su registro DS quedó en la zona padre.

Diagnostícalo

Usa juntas las herramientas DNSKEY, DS y RRSIG: confirma que los key tags de tu DS coinciden con un DNSKEY publicado y que las ventanas de validez de las RRSIG no han vencido.

Corrígelo

1. Si una rotación salió mal, actualiza el registro DS en tu registrador para que coincida con el DNSKEY actual (los key tags deben coincidir).

2. Si las firmas vencieron, vuelve a firmar la zona para que las RRSIG estén vigentes y corrige lo que detuvo la firma automática.

3. Si querías desactivar DNSSEC, elimina primero el registro DS en el registrador y luego quita la firma; nunca al revés.