Estimado usuario de Alibaba Cloud:
DigiCert nos ha notificado que, a partir del 24 de febrero de 2026, comenzará a aplicar la validación DNSSEC sobre las respuestas de consultas DNS durante la validación de control de dominio (DCV) y las comprobaciones de registros de autorización de autoridad certificadora de DNS (CAA). Este cambio responde a los requisitos de la propuesta SC-085v2 del CA/Browser Forum.
La comprobación de un registro CAA de DNS es el proceso mediante el cual la autoridad certificadora consulta el DNS del dominio de destino antes de emitir un certificado. Así compruebe si existe un registro CAA configurado y confirma qué autoridades certificadoras cuentan con autorización para emitir certificados para ese dominio.
Cambios e impacto
A partir del 24 de febrero de 2026, DigiCert aplicará obligatoriamente la validación DNSSEC. El impacto en la emisión de sus certificados dependerá de la configuración de su dominio:
-
Dominios sin DNSSEC habilitado:
Sin impacto. Se mantiene el proceso de validación actual.
-
Dominios con DNSSEC habilitado y configurado correctamente:
Sin impacto. DigiCert validará las firmas y las comprobaciones se completarán de forma normal.
-
Dominios con DNSSEC habilitado pero mal configurado:
Ejemplos: registros DS incorrectos, firmas caducadas, rotación de claves inadecuada o cadena de confianza incompleta.
Impacto: Las comprobaciones de DCV y CAA fallarán. Esto retrasará la emisión del certificado o bloqueará por completo el proceso.
Acciones recomendadas
Si su dominio tiene DNSSEC habilitado, lleve a cabo a continuación estas acciones lo antes posible:
Revise y corrija la configuración: Utilice la herramienta de comprobación de estado de DNSSEC para inspeccionar su dominio. Contacte a su registrador de dominios o proveedor de servicios DNS para asegurarse de que DNSSEC esté habilitado y configurado correctamente. Esto incluye los registros DS, las DNSKEY, la cadena de confianza y la validez de las firmas.
Solución temporal: Si no puede corregir la configuración de inmediato, considere deshabilitar DNSSEC temporalmente para evitar que se bloquee la emisión de certificados.
Recordatorios importantes (planifique con anticipación)
Para certificados próximos a caducar: Si su dominio usa DNSSEC, inicie el proceso de renovación lo antes posible. Así dispondrá de tiempo suficiente para resolver problemas y evitará interrupciones en su negocio por fallos de validación.
Para dominios que usan registros CAA: Si aplica directivas CAA para restringir la emisión de certificados, compruebe que sus registros CAA se validen correctamente mientras DNSSEC esté habilitado.