El 10 de septiembre de 2026, Cloudflare anunció la validación ML-DSA-44 en 1.1.1.1. Permite al resolver verificar esas firmas DNSSEC; la protección poscuántica completa también requiere adopción a lo largo de la cadena de confianza. Anuncio de Cloudflare.
¿Qué protege una firma DNSSEC?
DNS traduce nombres en información para localizar servicios. DNSSEC añade autenticación: el resolver comprueba firmas y la relación entre una zona y su superior antes de considerar seguros los datos.
Ayuda a detectar respuestas manipuladas. No oculta las consultas a quien observa la red: autenticidad y confidencialidad son propiedades distintas. DoH y DoT se ocupan del transporte cifrado; DNSSEC autentica los datos. La RFC 4033 explica esta distinción.
¿Qué es ML-DSA?
ML-DSA es un estándar de firma digital basado en retículas, publicado por NIST como FIPS 204. Está diseñado para resistir adversarios con ordenadores cuánticos de gran escala. Firma datos, en lugar de cifrar el contenido de las consultas. Estándar de NIST.
Conviene plantear dos preguntas: ¿entiende el resolver la firma y ofrece la cadena que conecta el dominio con su ancla la protección necesaria? El soporte en una etapa no demuestra su despliegue en todas las demás.
Las respuestas mayores pueden afectar al transporte
El anuncio indica 2.420 bytes por firma ML-DSA-44. Ese tamaño ilustra por qué la migración también exige atención a la red.
La RFC 9715 explica que los mensajes DNS grandes sobre UDP pueden sufrir fragmentación IP. Limitar las respuestas e indicar que se repita la consulta por TCP puede evitarla.
Al investigar una respuesta grande, comprueba el bit de truncamiento, la conectividad TCP y los límites de tamaño del trayecto. Repetir por otro transporte puede añadir etapas a la consulta. Es una posibilidad operativa, no una predicción de lentitud para todos los usuarios.
Cómo evaluar el rendimiento en tu conexión
Recomendamos separar las mediciones de disponibilidad de la investigación criptográfica:
- Compara resolvers en la misma red y franja horaria.
- Repite las mediciones y registra fallos, mediana, P95 y jitter cuando estén disponibles.
- Mantén el mismo conjunto de dominios y las mismas condiciones de caché.
- Para investigar técnicamente, revisa también firmas, transporte y registros del resolver.
Una respuesta rápida de un dominio común no demuestra soporte poscuántico. Una consulta lenta aislada tampoco prueba que el algoritmo sea la causa. Nuestro comparativo entre Cloudflare, Quad9 y Google ayuda a orientar las pruebas locales.
¿Y el cambio de la clave raíz de octubre?
El cambio a KSK-2024 sustituyó una clave en la raíz DNS. Las firmas poscuánticas son otra evolución. Conviene seguir ambas sin interpretar el rollover como prueba de una migración de algoritmo en toda Internet.
Para elegir un DNS doméstico siguen contando disponibilidad, privacidad, compatibilidad y mediciones locales. Esta capacidad de validación añade un criterio de seguridad; no sustituye el benchmark.
