L’11 ottobre cambia la chiave DNS della root: controllare il resolver prima, non dopo

Un sito può funzionare e risultare comunque irraggiungibile, se il resolver DNS non riesce a verificare la risposta. L’11 ottobre 2026 la root DNS passa alla chiave KSK-2024: i resolver che validano DNSSEC devono averla già fra le proprie chiavi fidate.

La nuova chiave ha tag 38696 e sostituisce KSK-2017, tag 20326, nella firma dell’insieme delle chiavi pubbliche della root. È pubblicata dall’11 gennaio 2025, così i resolver con aggiornamento automatico dei trust anchor hanno avuto tempo di apprenderla.

Cloudflare ha incorporato la chiave nel proprio resolver e propone il test dnstest.dev/ksk-2024. Il test usa il protocollo sentinel: per i resolver che lo supportano, due richieste opposte permettono di sapere se la chiave è considerata fidata. Una risposta SERVFAIL può essere quella corretta alla domanda che verifica la mancata fiducia.

Chi gestisce resolver DNSSEC deve confermare la presenza della chiave e seguire le istruzioni del proprio fornitore se manca. Non è una richiesta di cambiare il DNS di ogni sito: il componente da verificare è quello che risolve e valida i nomi per gli utenti. Questo passaggio resta RSA, distinto dai progetti futuri per cambiare algoritmo.