Resumen

  • Un comentario presentado el 16 de octubre pide a ICANN que armonice su evaluación de la automatización de registros DS de DNSSEC con RFC 10026, la guía operativa ya publicada por el IETF.
  • El informe de junio dice en una sección que la automatización debe detenerse ante un bloqueo del registro, pero más adelante afirma que el registro puede seguir automatizando. El requisito HR-4 solo nombra expresamente el bloqueo del registrador.
  • ICANN estudiará los comentarios y podría actualizar la evaluación. El plazo vence el 23 de noviembre y el informe de comentarios está previsto para el 7 de diciembre; todavía no hay una decisión final ni texto contractual.

La cuestión no es si conviene automatizar DNSSEC, sino qué actor limita un bloqueo cuando se modifica un registro DS en la zona padre. Ese es el punto planteado en una aportación a la evaluación de seguridad y estabilidad de ICANN sobre la automatización de DS.

Quynh Nguyen sostiene en su comentario del 16 de octubre que el análisis cubre los principales riesgos, pero debería adoptar una posición coherente sobre serverUpdateProhibited. La aportación se presenta a título individual: no es una conclusión de ICANN ni una señal de consenso comunitario. Aun así, la precisión puede afectar al proceso acelerado RSEP que ICANN prevé para los registros que quieran automatizar el mantenimiento de DS; la organización afirma que la evaluación servirá de base técnica para ese proceso.

El informe de Interisle Consulting Group lleva fecha de 23 de junio de 2026. En la sección 4.4 adopta la interpretación de que el mantenimiento automático debe suspenderse cuando está activo serverUpdateProhibited. También describe la postura contraria del borrador del IETF citado entonces: en la automatización dirigida por el registro, ese estado obliga al servidor EPP a rechazar las solicitudes de actualización del registrador, pero no impide al propio registro actuar.

El borrador se convirtió en RFC 10026, publicado en julio como Best Current Practice 246. La sección 6.1(2) establece que, si el registro realiza el mantenimiento de DS, la automatización no debe suspenderse únicamente por la presencia de serverUpdateProhibited. La sección 6.2.1 explica la diferencia entre actores: el estado bloquea las solicitudes EPP del registrador, pero no el proceso del registro; la notificación al registrador ayuda a que el cambio sea visible.

El propio informe contiene una tensión. La sección 4.7 dice que se puede continuar con la automatización bajo clientUpdateProhibited y serverUpdateProhibited; la sección 6.1 vuelve a señalar que esos bloqueos no obligan a detener el mantenimiento si el registrador puede excluir delegaciones del programa automatizado del registro. Sin embargo, HR-4 solo dice de forma expresa que clientUpdateProhibited no debe bastar para suspender la automatización. Nguyen pide que ICANN formule una regla única y la alinee con RFC 10026.

La cronología ofrece un contraste adicional. El 31 de agosto, el SSAC publicó SAC126v2, ya alineado con RFC 10026. El comité dice que el estándar resolvió la pregunta de la sección 4.4 de la versión anterior y que SAC126v1 quedó retirado. Por tanto, la evaluación de junio es anterior tanto a la RFC definitiva como al consejo actualizado que ahora sirve de referencia.

El comentario también pide criterios y tiempos de reintento cuando un servidor autoritativo se considera permanentemente inaccesible; un tratamiento claro para rotaciones de claves retrasadas por respuestas incoherentes; una explicación de los efectos de retirar un DS; y mínimos de notificación y auditoría tanto para cambios aceptados como rechazados. Son propuestas de una persona, no obligaciones vigentes.

La página del procedimiento anuncia un resumen público, la consideración de las aportaciones y una posible actualización con adenda. El plazo de comentarios termina el 23 de noviembre de 2026; el informe debe publicarse el 7 de diciembre. El borrador de las cláusulas del Fast-Track RSEP se someterá a otro procedimiento. Ni la evaluación ni este comentario autorizan una implementación o anticipan las condiciones finales.

Fuentes