Resumen

  • El conjunto que debe observarse nace de la delegación del hijo en el padre: todos los NS y todas las direcciones obtenidas para ellos participan en la comprobación.
  • NODATA es una respuesta que puede contradecir una solicitud de cambio; el silencio no lo es y requiere reintentos, retroceso y, cuando proceda, otro punto de observación.
  • Una inconsistencia bloquea por completo la operación. La concordancia sólo demuestra una petición compartida; no prueba identidad, mandato, corrección del software ni continuidad de la validación DNSSEC.

Supongamos que un servidor publica una nueva CDNSKEY y otro conserva NODATA. Si el padre elige la primera respuesta, puede adelantarse al despliegue real del hijo. Si interpreta la segunda como una prohibición eterna, puede detener una rotación válida. Lo que no puede hacer es ocultar la divergencia bajo una heurística de rapidez.

Ese límite es el centro del RFC 9975, publicado en mayo de 2026 con Peter Thomassen como único autor. Su mecanismo se aplica a la automatización parental de CDS/CDNSKEY y CSYNC. Antes de crear, eliminar o cambiar DS, NS o datos asociados, el agente reúne una vista plausible del conjunto autoritativo que el propio padre anuncia.

La palabra «plausible» evita una promesa excesiva. Ninguna consulta demuestra qué responderá para siempre cada instancia anycast. El estándar sí permite comprobar cada dirección identificada, conservar los resultados y rechazar una inferencia de cambio cuando las respuestas relevantes no concuerdan.

El padre no acepta una lista de testigos interesada

El agente comienza por la delegación actual en la zona padre. Extrae los nombres NS del hijo, obtiene todas las direcciones para cada nombre mediante un resolvedor validador e incluye el glue disponible. Después dirige la consulta apropiada a cada dirección.

El orden importa. Una señal del hijo no puede definir qué servidores cuentan para validar esa misma señal. Si pudiera hacerlo, una configuración defectuosa o maliciosa excluiría el proveedor que aún sirve el estado anterior. La delegación publicada por el padre establece el perímetro operativo previo a la petición.

Tampoco basta con preguntar una vez a un nombre por medio de un resolvedor recursivo. Un NS puede tener varias direcciones y éstas pueden alcanzar instancias o trayectos distintos. Si una no responde, otra ubicación de red puede mostrar si el fallo está en el servidor o sólo en el camino de la primera sonda.

El método no convierte la topología en una identidad jurídica. Determina qué infraestructura debe aportar evidencia antes de que el padre use la automatización para modificar una capa superior del espacio de nombres.

Una ausencia con firma sigue siendo evidencia

NODATA significa que el servidor respondió autoritativamente pero no devolvió el tipo solicitado. RFC 9975 lo cuenta como respuesta. En una comparación CDS/CDNSKEY, no publicar la clave en una vista es material, aunque otra vista la publique correctamente y ambas respuestas validen.

Excluir NODATA produciría un sesgo: sólo los servidores que piden movimiento tendrían voz. El mecanismo existe precisamente para detectar el momento en que una petición todavía no es uniforme.

La falta total de respuesta representa otra clase de incertidumbre. Puede deberse a pérdida, filtrado, ruta o avería. El agente debe volver a intentar antes de declarar permanentemente inalcanzable esa dirección. El documento ofrece como ejemplo esperas de 5, 10, 20 y 40 minutos y deja el calendario exacto a la política local. También permite probar desde otra posición de red.

No hay obligación de esperar para siempre. Sí la hay de hacer explícita la regla de exclusión. El tiempo máximo, los puntos de observación y la escalada deben constar en el recibo. El silencio nunca debe convertirse, por comodidad, en un voto favorable.

Ante dos estados, el resultado es no cambiar ninguno

Una vez observada la incoherencia, no se vota por mayoría ni se premia el mayor serial o la menor latencia. La operación se aborta. No se crean los registros que habría creado, no se eliminan los que habría borrado y no se altera el conjunto existente.

Conservar el statu quo no declara que el estado viejo sea ideal. Reconoce que ya está publicado y que escoger una petición contradictoria puede romper resolución o validación. El hijo puede completar la propagación, reparar la división entre proveedores o recurrir a un canal autenticado fuera de banda.

Una ejecución posterior repite las consultas para obtener una ronda coherente. No recicla únicamente la evidencia favorable de intentos anteriores. En ciertas circunstancias puede detener consultas pendientes de decisión cuando una respuesta ya confirma el statu quo: cualquier respuesta posterior sólo podría confirmar la no modificación o revelar incoherencia, que también impide modificar. Las consultas de diagnóstico pueden continuar.

Esta atomicidad evita una reparación aún más peligrosa. Un agente no puede aplicar la mitad «segura» de una solicitud CSYNC contradictoria y dejar la otra mitad para después. El límite se refiere a toda la operación propuesta.

En CDS y CDNSKEY se comparan referencias de clave

La igualdad no exige paquetes idénticos. Para CDS/CDNSKEY, cada clave elegible referenciada en una respuesta debe estar referenciada en las demás. La presencia en un servidor y la ausencia en otro rompe la consistencia plausible.

Una orden de eliminar todo el conjunto DS también debe coincidir. No puede combinarse con una actualización distinta o con NODATA y reinterpretarse como una fase intermedia. Los tipos de resumen admitidos siguen la política indicada por el estándar; la preferencia local del padre no puede redefinir qué claves presentó de manera común el hijo.

RFC 10026, firmado por Steve Sheng y Thomassen y publicado como Best Current Practice en julio de 2026, añade una prueba independiente: el estado DS resultante debe conservar una ruta de validación DNSSEC. Todos los servidores pueden pedir un cambio que, aplicado, deje la zona sin validar. Consistencia de petición y seguridad del resultado son recibos separados.

CSYNC permite seriales distintos, no decisiones distintas

CSYNC necesita reglas específicas porque la replicación ordinaria produce diferencias legítimas. El indicador immediate y el mapa de tipos deben coincidir entre respuestas. Los seriales SOA pueden ser distintos; cada uno se evalúa contra el SOA obtenido del mismo servidor. La decisión derivada sobre si puede procesarse la solicitud debe ser igual.

Cuando CSYNC señala conjuntos que deben sincronizarse, como NS o direcciones, los RDATA pertinentes deben coincidir, también si todos están vacíos. Las reglas sobre orden de actualización de servidores de nombres y glue siguen vigentes.

Por eso «consultar a todos» no describe por sí solo una implementación. El software debe conocer qué dimensión compara para cada familia, qué diferencia es tolerada y cuál representa una contradicción que obliga a preservar el padre.

El timbre no sustituye la inspección

RFC 9859, también coescrito por Thomassen, permite que el hijo notifique un cambio relacionado con CDS. La señal reduce la espera de un sondeo periódico. Al recibirla, el componente parental inicia las mismas consultas y verificaciones que habría iniciado por temporizador.

La entrega de la notificación no es autorización. Tampoco prueba que la consulta haya alcanzado todas las direcciones, que las respuestas concuerden, que el DS proyectado valide, que el padre haya publicado ni que los cachés hayan expirado. Cada paso necesita su propio recibo.

Este desglose es especialmente importante cuando un operador mide sólo la latencia. Una cola rápida puede estar usando una vista incompleta. La velocidad de detección mejora la operación únicamente si no reduce el conjunto de evidencia.

La coherencia no responde quién tenía derecho

Que todos los servidores publiquen el mismo valor no demuestra quién controla legalmente el dominio, quién instruyó al operador o si una cuenta fue comprometida. El DNSSEC existente ofrece autenticación técnica para ciertos mantenimientos. En el primer arranque no existe todavía un DS parental, por lo que son necesarios procedimientos como RFC 9615. Los controles de titular, registrador y registro siguen fuera de la comparación de RDATA.

La publicación del padre tampoco es el efecto final. Los resolvedores conservan valores antiguos hasta sus TTL. Avanzar demasiado pronto a la siguiente fase de una rotación puede causar una ruptura aun después de una escritura correcta. RFC 10026 conserva la validación, los tiempos, el retroceso y los informes como tareas operativas.

Cuando los operadores del hijo no logran una vista común, RFC 9975 deja disponible una vía autenticada fuera de banda. No debilita la regla: representa otro origen de autoridad. Un desacuerdo contractual entre proveedores no debe resolverse técnicamente otorgando el mando al primero que conteste.

La autoría documenta una contribución

El RFC Editor atribuye RFC 9975 a Peter Thomassen. El perfil público del IETF lo identifica, durante el periodo revisado, como fundador y director de tecnología de deSEC, director gerente de SSE, presidente de Domain Connect y secretario de DNSOP. También aparece como coautor de RFC 9615, RFC 9859 y RFC 10026.

La lista sitúa su trabajo en una línea de estándares; no afirma que controle registros, registradores o todos los agentes parentales. Tampoco certifica una implementación concreta ni atribuye a Thomassen un incidente. El texto dice qué debe hacer el software. Los registros de producción demuestran si cada dirección fue interrogada y si el desacuerdo detuvo realmente el cambio.

Hay una correspondencia útil: el nombre del autor es evidencia de contribución, no de control universal; el nombre del servidor es evidencia dentro de una delegación, no permiso unilateral para reescribir al padre.

La salida útil es una decisión reproducible

Un registro adecuado guarda la delegación usada para delimitar el conjunto, todas las direcciones y su glue, las horas y ubicaciones de consulta, cada respuesta pertinente o NODATA, los resultados de validación, comparaciones, reintentos y exclusiones.

Después añade el cambio parental proyectado, la prueba de validación continua, la decisión de preservar o aplicar y el estado que finalmente se observa en el padre. No debe almacenar credenciales secretas; sí todo lo necesario para repetir el razonamiento.

El mínimo común es inequívoco: ninguna inferencia capaz de cambiar una delegación sale de un subconjunto incoherente. Los calendarios de reintento, canales de informe, perspectivas y políticas permitidas pueden decidirse localmente. El código en ejecución debe demostrar que el límite del estándar no quedó reducido a una frase.

Fuentes