Resumen

  • La minimización reduce lo que ve una autoridad no terminal, pero no oculta la consulta completa al resolvedor recursivo.
  • Con caché fría pueden aparecer varias consultas que añaden etiquetas; con caché caliente el recorrido puede acortarse.
  • La operación debe conservar la secuencia ascendente, el estado de caché y el motivo de parada.

El problema aparece cuando un indicador verde sustituye a la prueba. Una consulta fría sondea varias etiquetas antes de una delegación defectuosa; un fallback acotado puede preservar la resolución mientras se registra la excepción; la repetición, ya con caché caliente, solo envía una consulta. La configuración no cambió, pero sí la exposición y el coste observables.

RFC 9156 evita enviar siempre el QNAME y QTYPE originales completos. El resolvedor pregunta a cada servidor solo lo necesario para descubrir la siguiente delegación y puede escoger un QTYPE distinto del solicitado. El servidor final recibe el nombre que necesita; los anteriores reciben menos.

Es un algoritmo de secuencia, no una sustitución textual. Las fronteras de zona conocidas provienen de la caché; las demás se descubren progresivamente. Los nombres profundos pueden producir más consultas en frío, por lo que RFC 9156 exige limitar las consultas derivadas por petición y menciona diez como valor recomendado de MAX_MINIMISE_COUNT, no como umbral universal.

RFC 8020 permite una poda NXDOMAIN: una no existencia almacenada puede detener todo el subárbol. Ese alcance también amplifica las consecuencias de un NXDOMAIN falso; la validación DNSSEC es la protección indicada frente al riesgo de envenenamiento de caché. RFC 8198 permite sintetizar respuestas negativas mediante pruebas NSEC o NSEC3 validadas. Por eso el registro de una autoridad no explica por sí solo la respuesta del cliente: hay que distinguir respuesta directa, poda y prueba DNSSEC, con su TTL.

RFC 9076 sitúa la privacidad entre varios observadores. El recursivo sigue viendo la consulta completa y un observador de red puede ver tráfico sin cifrar. Minimizar reduce una divulgación; no reemplaza el cifrado ni la confianza en el servicio.

Un repliegue de compatibilidad debe registrar autoridad, error, paso relajado, vencimiento y nueva prueba. Sin esa fecha, la excepción se convierte en política permanente e invisible.