DNSSEC spiegato semplice: cos'è e perché il cambio chiave dell'11 ottobre riguarda anche te

Domenica 11 ottobre 2026, alle 14:00 UTC, è successa una cosa che il 99% degli utenti di Internet non ha notato e che però, per chi gestisce domini e server, meritava un controllo. La chiave che firma la zona radice del DNS è cambiata. Chi non è sistemista probabilmente si chiede ancora cosa significhi. Proviamo a spiegarlo senza sigle inutili.

Cos'è DNSSEC, in pratica

Il DNS traduce un nome a dominio in un indirizzo IP. Di base, questa risposta non è firmata: chiunque riesca a inserirsi nel percorso tra te e il server DNS può restituirti un indirizzo falso, e tu non hai modo di accorgertene. DNSSEC (DNS Security Extensions) aggiunge una firma digitale a quella risposta. Non cifra nulla, non nasconde il traffico: garantisce solo che la risposta arrivata sia davvero quella pubblicata dal proprietario del dominio e non sia stata alterata lungo la strada.

La firma funziona a catena: il tuo dominio firma i propri record con una chiave, quella chiave è a sua volta garantita dal dominio di livello superiore (es. .it, .com), che è garantito dalla zona radice del DNS, quella che non ha nessuno sopra. La chiave che firma la radice si chiama KSK, Key Signing Key. Se quella chiave cambia, tutta la catena deve aggiornarsi di conseguenza.

Perché l'11 ottobre riguarda anche chi non si occupa di DNS

L'11 ottobre 2026 alle 14:00 UTC, KSK-2024 ha iniziato a firmare la zona DNS radice come previsto, secondo quanto riportato da ICANN. La nuova chiave ha il key tag 38696 e sostituisce la precedente chiave della zona radice del DNS, identificata dal key tag 20326 (KSK-2017). Non è una novità improvvisa: questo processo sostituisce il trust anchor esistente (KSK-2017) con uno nuovo (KSK-2024), pubblicato nella zona radice nel febbraio 2025, per dare il tempo ai resolver di aggiornarsi prima del cambio effettivo.

Per il grande pubblico, se tutto funziona, non cambia nulla: si naviga come prima. Il problema riguarda chi gestisce un resolver DNS che valida DNSSEC (un server DNS ricorsivo aziendale, un provider, un hoster) e non ha aggiornato la chiave di fiducia. In quel caso, se il resolver DNSSEC-validating non ha KSK-2024 configurato, si verificano fallimenti totali nella risoluzione DNS, tagliando fuori gli utenti da Internet. Al momento, non risultano segnalazioni di interruzioni operative diffuse, ma ICANN ha comunque invitato a verificare.

Il consiglio ufficiale, rivolto proprio a chi gestisce resolver: verificare che KSK-2024 (key tag 38696) sia presente nella configurazione del trust anchor, senza dare per scontato che l'aggiornamento automatico sia andato a buon fine. Per chi usa software DNS comuni, i file da controllare sono bind.keys per ISC BIND, root.key per Unbound e PowerDNS Recursor, root.keys per Knot Resolver.

Chi vuole il dettaglio tecnico del rollover, fasi incluse, lo trova nel nostro approfondimento già pubblicato su UptimeMag dedicato al cambio della KSK.

Come verificare se il tuo dominio è firmato con DNSSEC

Non serve installare nulla di speciale: basta dig, già presente su quasi ogni sistema Linux/Unix e scaricabile su Windows. Il comando base è:

dig +dnssec tuodominio.it +short

Se il dominio è firmato, tra i risultati compare anche un record RRSIG, la firma vera e propria. Se la risposta è vuota di firme, il dominio non ha DNSSEC attivo.

Per capire se la verifica (non solo la presenza della firma) sta andando a buon fine, conviene guardare i flag della risposta completa:

dig tuodominio.it +dnssec

Nella riga ;; flags: deve comparire la lettera ad (Authenticated Data): è il segnale che il resolver ha validato tutta la catena di fiducia, dalla radice fino al tuo dominio. Se manca, o se la query va in errore SERVFAIL, si può isolare il problema disattivando temporaneamente la validazione con l'opzione +cd:

dig tuodominio.it +dnssec +cd

Se con +cd la risposta torna regolare mentre senza fallisce, il problema è nella catena DNSSEC: chiave scaduta, record DS non allineato al registrar, o — come nei giorni scorsi — un resolver che non ha ancora la chiave radice aggiornata.