1. Inicio
  2. Herramientas gratuitas
  3. Verificador de DNSSEC

Verificador de DNSSEC: ¿este dominio está firmado y la firma valida?

En resumen: Pega un dominio o una lista y mira cuáles están firmados y validan, cuáles están rotos (los resolvedores que validan los rechazan), cuáles tienen claves pero no DS en el registro y cuáles no están firmados. Límite: Pregunta a un solo resolvedor público que valida: no recorre la cadena por su cuenta, no revisa cada servidor de nombres por separado ni la caducidad de las firmas, y solo mira el dominio registrado.

Un verificador de DNSSEC te dice si un dominio está firmado y si las firmas validan. Pega un dominio, o hasta 100 (500 tras iniciar sesión con Google): a cada uno se le pide su registro DS en el registro y sus registros DNSKEY en el proveedor de DNS, a través de un resolvedor público que valida, y vuelve como Signed and valid, Broken, Keys but no DS o Not signed.

DS and DNSKEY asked of a validating public resolver over HTTPS; nothing is sent to the domain. 100 domains a run, or 500 when you sign in.

La herramienta es la misma que en la versión en inglés: sus botones y los motivos de cada resultado aparecen en inglés. Actualizado el 5 de noviembre de 2026 · Equipo de SimpleVerifier

Cómo comprobar si un dominio tiene DNSSEC activo

  1. Pega un dominio, o una lista con uno por línea: hasta 100 por pasada, o 500 tras iniciar sesión gratis con Google. Sirven direcciones de correo y URL; los subdominios se reducen al nombre registrado.
  2. Haz clic en Check DNSSEC. Los registros DS y DNSKEY de cada dominio se piden a Google Public DNS por HTTPS, con Cloudflare como respaldo.
  3. Lee el estado y los motivos: las etiquetas de clave (key tags) y los algoritmos encontrados, si el DS coincide con una clave y si el resolvedor validó la respuesta.
  4. Arregla primero los Broken, porque los resolvedores que validan rechazan esos dominios. Para Keys but no DS, copia el registro DS de tu proveedor de DNS en la configuración DNSSEC de tu registrador.

¿Cómo funciona la validación DNSSEC?

DNSSEC añade firmas a las respuestas DNS para que un resolvedor pueda saber que no fueron falsificadas (RFC 4033). El proveedor de DNS del dominio firma la zona y publica sus claves públicas como registros DNSKEY. El registro publica un registro DS, una huella de la clave de firma de claves, en la zona superior (.com, .org, etc.). Un resolvedor que valida sigue la cadena desde la clave de la raíz, pasando por cada DS, hasta las claves del dominio (RFC 4035).

Este verificador pide los dos registros a un resolvedor que valida, con la marca AD (datos autenticados) solicitada, como describe el RFC 6840. Si el resolvedor activa AD, la cadena validó. Si responde SERVFAIL pero contesta con la comprobación desactivada, la cadena existe pero falla: eso es Broken.

¿Qué significan los estados?

Signed and valid: DS en el registro, DNSKEY en la zona, y el resolvedor lo validó. Broken: hay un DS publicado, pero las claves o firmas de la zona no coinciden con él, así que los resolvedores que validan se niegan a responder por el dominio. Es el que hay que arreglar ya; la causa habitual es pasar a un nuevo proveedor de DNS sin quitar el DS antiguo en el registrador.

Keys but no DS: el proveedor de DNS firma la zona, pero el DS nunca se añadió en el registrador, así que no se valida nada. Signed, not validated: los dos están publicados, pero el resolvedor no validó, normalmente por un algoritmo que no admite. Not signed: no existe ninguno de los dos registros, que sigue siendo el caso de la mayoría de los dominios.

¿Qué algoritmos DNSSEC debería usar un dominio?

El RFC 8624 indica qué algoritmos deben usar quienes firman y quienes validan. ECDSAP256SHA256 (algoritmo 13) y RSASHA256 (8) son los dos que todo firmante debe admitir; RSAMD5, DSA y ECC-GOST no deben usarse para firmar, y RSASHA1 (5 y 7) no se recomienda. Para los resúmenes DS, SHA-256 (tipo 2) es obligatorio y SHA-1 no debe usarse en delegaciones nuevas. El verificador nombra cada algoritmo según el registro de algoritmos DNSSEC de la IANA y marca los débiles.

Preguntas frecuentes

¿Cómo sé si DNSSEC está activo?
Busca un registro DS del dominio en su zona superior y registros DNSKEY en la zona del propio dominio. Este verificador pide los dos y muestra si un resolvedor que valida aceptó la cadena.
¿Qué pasa si DNSSEC está roto?
Los resolvedores que validan, como Google Public DNS, Cloudflare 1.1.1.1 y Quad9, devuelven SERVFAIL para el dominio, así que su web y su correo dejan de funcionar para todos los que los usan. Quitar el registro DS obsoleto en el registrador lo arregla cuando caducan las cachés.
¿Dónde activo DNSSEC?
En dos sitios. Activa la firma en tu proveedor de DNS (por ejemplo Cloudflare o Route 53) y copia el registro DS que te da en la configuración DNSSEC de tu registrador. Si el registrador también es tu proveedor de DNS, a menudo es un solo interruptor.
¿Puedo comprobar el DNSSEC de muchos dominios a la vez?
Sí. Pega hasta 100 dominios por pasada, o 500 tras iniciar sesión gratis con Google, y descarga los resultados en CSV.
¿DNSSEC afecta a la entregabilidad del correo?
No estar firmado no la perjudica. Un DNSSEC roto sí: los servidores de correo que validan no pueden consultar los registros MX, SPF o DKIM del dominio, así que el correo hacia y desde él falla. El verificador de dominios para cold email revisa esos registros.
¿El verificador de DNSSEC es gratis?
Sí. 100 dominios por pasada sin cuenta y 500 tras iniciar sesión gratis con Google, sin tarjeta.

¿Tienes una lista? Las primeras 100 direcciones son gratis.

Inicia sesión con Google, pega las direcciones o sube un CSV y cada una pasa por la misma comprobación SMTP del buzón, con resultados para descargar. Sin tarjeta.

Los dominios catch-all y los servidores que no responden salen como riesgosos, nunca como válidos.

Al continuar aceptas los Términos y la Política de privacidad. Terms · Privacy

Herramientas gratuitas en español

¿Listo para limpiar tus listas de correo?

Comprobación SMTP real, sin créditos ni cobro por correo.

Empezar

Cancela cuando quieras • Sin configuración