La clave raíz de DNS (KSK) está programada para cambiar el 11 de octubre de 2026, un proceso crítico para la seguridad del protocolo DNSSEC. Este artículo técnico actualiza la información publicada en mayo sobre el mecanismo de validación y detalla las vulnerabilidades detectadas en las redes de proveedores de servicios de internet (ISP). El proceso de renovación requiere que los resolvers validen la autenticidad de la nueva clave mediante un período de espera de 30 días, durante el cual la clave antigua firma la nueva para garantizar la transición segura.
Para medir la adopción de esta nueva clave, se emplean dos técnicas basadas en las especificaciones RFC 8145 y RFC 8509. La primera analiza las señales de los servidores raíz para identificar qué resolvers han incorporado la nueva clave a su conjunto de confianza. La segunda utiliza un sistema de medición basado en anuncios (ads) para probar directamente a usuarios finales, determinando si sus resolvers han cargado la nueva clave en su caché local. Los resultados de las pruebas realizadas entre mayo y julio de 2026, y reanudadas en octubre, indican una tasa de adopción del 70% de los tests. En una prueba a pequeña escala con 2.900 sondas de RIPE Atlas, se detectó una tasa de fallo del 3,7%, con 47 sondas que no habían cargado la nueva clave. Esta información es vital para identificar a las redes vulnerables que aún no han actualizado sus configuraciones de seguridad antes de la fecha de cambio.