Cómo funciona esta comprobación
Esta comprobación consulta el DNS y el registro de tu dominio, subiendo por la cadena de dominios (de app.tudominio.com a tudominio.com) porque estos datos viven en el dominio registrable. Mira tres cosas. CAA: si no hay registros CAA en ningún nivel, severidad baja. DNSSEC: pregunta por los registros DS usando DNS sobre HTTPS; si no hay en ningún nivel, severidad baja. Caducidad: consulta la fecha de expiración por RDAP, el sucesor de whois; si quedan 7 días o menos, alta; 30 o menos, media; 60 o menos, baja. Si el registro no publica la fecha o una consulta falla, no hay hallazgo: ante la duda, no se inventa.
Por qué importa
Los tres puntos protegen el dominio en sí, que está por debajo de todo lo demás. Sin CAA, cualquiera de las más de cien autoridades de certificación del mundo puede emitir un certificado válido para tu dominio; con CAA solo pueden las que tú autorices, lo que convierte una emisión fraudulenta en algo detectable. Sin DNSSEC, las respuestas DNS de tu dominio no van firmadas y un atacante que envenene la caché de un resolvedor puede mandar a tus usuarios a otro servidor sin que nada lo delate. Y la caducidad es el riesgo más tonto y más definitivo: un dominio que expira se cae entero (web, correo, API) y, pasado el periodo de gracia, lo puede registrar otra persona. Ocurre a empresas grandes cada año por una tarjeta caducada.
Cómo arreglarlo
CAA
tudominio.com. CAA 0 issue "letsencrypt.org"
tudominio.com. CAA 0 issuewild ";"
tudominio.com. CAA 0 iodef "mailto:security@tudominio.com"Autoriza a la autoridad que emite tus certificados. Si usas Vercel o Netlify, es Let's Encrypt; si usas Cloudflare, consulta en su documentación la lista de autoridades que emplea y añádelas todas; si compras certificados, la de tu proveedor. Una CAA que no incluya a tu autoridad real hace que la siguiente renovación falle en silencio, así que comprueba la primera renovación después de añadirla. issuewild ";" prohíbe comodines si no los usas, e iodef indica dónde avisar si alguien intenta una emisión no autorizada.
DNSSEC
Se activa en dos sitios. Primero en el proveedor de DNS (Cloudflare, Route 53, el propio registrador): suele ser un botón que firma la zona y te muestra un registro DS. Después ese DS se publica en el registrador del dominio, que lo envía al registro del TLD. Si el DNS y el registro están en el mismo sitio, es un solo clic. Una advertencia: si algún día cambias de proveedor de DNS, elimina el DS antes de mover la zona o el dominio dejará de resolver.
Caducidad
Activa la renovación automática en el registrador, comprueba que la tarjeta asociada no caduca antes que el dominio, y mantén válido el correo de contacto, que es donde llegan los avisos. Si el dominio es el de tu negocio, renueva por varios años y activa el bloqueo de transferencia. Scanaris te avisa por correo 30, 14 y 3 días antes de que caduque, como con los certificados.
Comprueba que está arreglado
dig +short CAA tudominio.com
dig +short DS tudominio.com
curl -s https://rdap.org/domain/tudominio.com | grep -oE '"eventAction":"expiration","eventDate":"[^"]+"'Esperado: al menos una línea issue en la primera, una o más líneas en la segunda, y una fecha de expiración lejana en la tercera. Los cambios de DNS tardan de minutos a horas; el DS puede tardar hasta un día en aparecer en el TLD.
Preguntas frecuentes
¿DNSSEC puede romper mi web?
Solo si se configura mal: un DS que no corresponde con las claves de la zona hace que los resolvedores que validan rechacen tu dominio. Por eso conviene activarlo en un proveedor que gestione las claves por ti y comprobar con el comando de arriba y con un validador externo que todo cuadra antes de darlo por hecho.
Mi dominio caduca dentro de un año. ¿Por qué no aparece nada?
Porque está bien. El hallazgo solo aparece a 60 días o menos. Si quieres estar tranquilo, activa la renovación automática ahora, que es cuando no urge.
¿La CAA sustituye a tener un buen certificado?
No, son cosas distintas. CAA limita quién puede emitir; la calidad del certificado y del protocolo que tienes la mide certificado TLS. Y la configuración de correo del mismo dominio la revisa autenticación de email.