Internet cambia su clave raíz DNSSEC el 11 de octubre: qué puede pasar

Internet afronta este domingo 11 de octubre de 2026 uno de esos cambios gigantescos que, paradójicamente, deberían pasar inadvertidos para casi todo el mundo. La nueva clave criptográfica KSK-2024 comenzará a firmar la zona raíz del sistema DNS, sustituyendo en esa función a KSK-2017. Dicho de forma menos áspera: cambia una de las piezas que permiten comprobar que las direcciones de Internet son auténticas y no han sido manipuladas.

Para la inmensa mayoría de usuarios no habrá que actualizar el móvil, reiniciar el router ni cambiar ninguna configuración. Tampoco está previsto un apagón global. El riesgo está concentrado en operadores, empresas, proveedores y otras redes que utilizan resolutores DNS con validación DNSSEC y que, por una configuración antigua o defectuosa, todavía no confíen en la nueva clave. Ahí sí puede ocurrir algo bastante menos abstracto: páginas que dejan de abrir, aplicaciones incapaces de conectarse y consultas DNS que devuelven errores aunque la conexión a Internet siga físicamente funcionando.

Internet no se apaga: cambia su anclaje de confianza

La palabra importante aquí es DNS, el Sistema de Nombres de Dominio. Es la infraestructura que convierte nombres comprensibles como elfolio.es en direcciones que las máquinas pueden localizar. Sin ese mecanismo, navegar sería parecido a intentar llamar a alguien conociendo su nombre pero sin disponer de agenda, número ni contacto alguno.

DNSSEC añade una capa de verificación criptográfica al DNS. Su cometido no es cifrar la navegación ni ocultar qué páginas visita alguien, sino permitir que determinados sistemas comprueben que la información DNS recibida es legítima. Esa cadena de comprobaciones comienza arriba del todo, en la zona raíz, y tiene como referencia una Key Signing Key o KSK, que funciona como anclaje de confianza.

El cambio del 11 de octubre es lo que técnicamente se denomina rollover: se sustituye la clave utilizada para firmar por otra preparada con antelación. No es una reparación de emergencia ni responde a que la anterior haya sido comprometida. Rotar las claves periódicamente forma parte del mantenimiento normal de un sistema criptográfico. Mejor comprobar que el mecanismo de sustitución funciona cuando todo está tranquilo que descubrirlo durante una crisis real.

Qué puede fallar realmente con DNSSEC

El escenario problemático aparece cuando un resolvedor DNS valida DNSSEC pero continúa confiando únicamente en la clave antigua. Cuando la raíz empiece a ser firmada con KSK-2024, ese equipo no podrá reconstruir correctamente la cadena de confianza y puede terminar rechazando las respuestas DNS.

Desde el ordenador o el teléfono del usuario el resultado puede ser desconcertante. Hay WiFi, el router muestra conexión y quizá incluso algunos servicios almacenados en caché siguen respondiendo, pero determinados dominios dejan de resolverse. El navegador puede mostrar que un sitio no está disponible; otros programas sencillamente parecerán haberse quedado sin Internet. En los sistemas afectados pueden aparecer errores del tipo SERVFAIL, es decir, un fallo del servidor DNS al intentar resolver el nombre.

No significa que esos sitios web hayan desaparecido ni que sus servidores estén caídos. El obstáculo se encuentra antes: el sistema encargado de traducir y validar sus nombres no consigue aceptar la nueva cadena criptográfica. Es una diferencia importante. Internet puede estar perfectamente encendida mientras una red concreta parece, desde dentro, haberse quedado a oscuras.

La clave que los operadores deben tener instalada

Los responsables de resolutores con validación DNSSEC deben comprobar expresamente que KSK-2024, identificada mediante el Key Tag 38696, figure entre sus anclajes de confianza. La precaución tiene sentido: no basta con suponer que una actualización automática funcionó porque alguna vez se dejó configurada.

Los sistemas modernos pueden incorporar nuevas claves mediante el mecanismo definido en RFC 5011. Para que una clave nueva pase automáticamente a considerarse fiable, el resolvedor debe observarla durante un periodo previo. KSK-2024 lleva mucho tiempo visible: fue publicada en la zona raíz el 11 de enero de 2025 y desde febrero de ese año podía comenzar a ser aceptada mediante este proceso automático. No estamos, por tanto, ante una llave aparecida la noche anterior con las prisas propias del cerrajero.

Más del 95% de los resolutores observados ya la reconocen

Los datos disponibles antes del cambio ofrecen una fotografía bastante tranquilizadora. Más del 95% de los resolutores que reportan información habían reconocido y adoptado correctamente KSK-2024, una evolución comparable a la observada antes del cambio realizado con éxito en 2018.

Ese porcentaje necesita una pequeña cautela: mide los resolutores que participan en esos mecanismos de observación, no cada dispositivo conectado a Internet. Tampoco permite convertir sin más el porcentaje restante en millones de usuarios que vayan a quedarse sin servicio. Una sola infraestructura DNS puede atender desde unas pocas máquinas hasta poblaciones enormes; otras redes ni siquiera realizan validación DNSSEC.

La preocupación técnica se concentra especialmente en equipos abandonados, configuraciones congeladas, dispositivos antiguos, imágenes de sistemas que llevan años sin actualizarse o instalaciones donde el anclaje de confianza se introdujo manualmente. Son precisamente las esquinas menos visibles de la infraestructura. Las redes bien mantenidas y los sistemas que han seguido el mecanismo automático deberían atravesar el cambio sin que nadie delante de una pantalla perciba nada.

Para un usuario doméstico, lo normal es no hacer nada

Quien navega desde casa, utiliza los DNS de su operadora o recurre a un proveedor DNS correctamente mantenido no necesita intervenir. KSK-2024 no es una contraseña que haya que introducir en el router ni una actualización que deba instalarse en Windows, Android o iPhone.

Si una red concreta comenzara a sufrir problemas de resolución coincidiendo con el cambio, el diagnóstico corresponde fundamentalmente al operador de sus DNS. En empresas, administraciones y proveedores, en cambio, los responsables de infraestructura sí tienen un dato muy concreto que revisar: que la nueva clave se encuentre correctamente instalada y que el mecanismo de actualización de anclajes de confianza funcione.

Ese es también el motivo por el que hablar de un posible “colapso de Internet” distorsiona bastante la operación. El problema potencial no afecta por igual a toda la red, sino a determinados resolutores DNSSEC que lleguen al domingo sin el anclaje correcto. Para casi todos los demás, el cambio debería ser invisible.

El precedente de 2018 acabó con una incidencia mínima

Internet ya pasó por una operación comparable el 11 de octubre de 2018, cuando se realizó el primer cambio de la KSK de la raíz desde que DNSSEC comenzó a utilizarse allí en 2010. El proceso terminó con una perturbación mínima y sin indicios de un impacto persistente y generalizado entre los usuarios.

Aquella transición había provocado bastante más inquietud de la inicialmente prevista. De hecho, el cambio pensado originalmente para octubre de 2017 fue aplazado durante un año después de que las mediciones revelaran resolutores aparentemente anclados únicamente a la clave antigua. El tiempo adicional permitió investigar el problema y preparar mejor a los operadores.

La experiencia dejó una enseñanza poco espectacular pero valiosa: una infraestructura global también debe demostrar que sabe cambiar. Mantener eternamente una clave simplemente porque sustituirla entraña riesgos acabaría convirtiendo esa aparente prudencia en otro problema de seguridad.

KSK-2017 no desaparecerá de golpe

El relevo tampoco termina el 11 de octubre. Ese día KSK-2024 pasará a firmar la zona raíz y KSK-2017 dejará de hacerlo, pero la clave anterior permanecerá temporalmente publicada como parte del procedimiento ordenado de retirada.

El calendario previsto contempla revocar KSK-2017 el 11 de enero de 2027 y retirarla de la zona raíz el 22 de marzo de 2027. Es un proceso escalonado precisamente para que los resolutores compatibles con las actualizaciones automáticas puedan reconocer también que la antigua clave ha dejado definitivamente de ser un anclaje válido.

Hay otra precisión interesante. El cambio de este domingo sustituye la clave, pero no modifica todavía el algoritmo criptográfico empleado. La infraestructura continúa utilizando RSA con SHA-256; el eventual salto hacia otro algoritmo pertenece a un proyecto distinto y técnicamente más complejo. Confundir ambas operaciones convierte un mantenimiento programado en algo que no es.

Una infraestructura que funciona cuando nadie la nota

El episodio ilustra bastante bien cómo funciona Internet cuando no se ve. Bajo los vídeos, las transferencias bancarias, las tiendas, los periódicos y los mensajes hay una sucesión de protocolos y acuerdos técnicos que rara vez llaman la atención hasta que algo falla. La KSK de la raíz es una de esas piezas pequeñas en tamaño y enormes en responsabilidad.

El 11 de octubre cambia esa pieza. Para casi todos será un domingo normal. Esa es, precisamente, la medida del éxito: que una sustitución criptográfica que afecta al punto superior de la confianza DNS ocurra mientras millones de personas siguen navegando sin enterarse. Los problemas, si aparecen, deberían quedar confinados a infraestructuras DNSSEC que no hayan adoptado correctamente KSK-2024. Internet no cambia de dirección ni pulsa un interruptor maestro; simplemente renueva una de las llaves con las que comprueba que sus direcciones siguen diciendo la verdad.