---
id: "624cdceb-3fde-414f-bf4b-39dfd64f4c5a"
kind: "link"
title: "Pakistán activa la firma de la zona .pk, pero solo un dominio valida"
language: "es"
section: "cctld"
date: "2026-10-20T17:27:21Z"
updated: "2026-10-20T17:27:21Z"
canonical: "https://tldlog.com/es/l/pakistan-activa-firma-zona-pk-solo-dominio-valida/"
origin: "reviewed"
master: "https://tldlog.com/l/pakistans-pk-now-carries-dnssec-signing-only-one-domain/"
translations:
  en: "https://tldlog.com/l/pakistans-pk-now-carries-dnssec-signing-only-one-domain/"
  de: "https://tldlog.com/de/l/pakistans-pk-erhaelt-dnssec-signierung-aber-nur-domain/"
  fr: "https://tldlog.com/fr/l/pk-pakistan-adopte-signature-zone-dnssec-seul-domaine-est/"
  it: "https://tldlog.com/it/l/pk-ora-ha-firma-zona-dnssec-solo-dominio-validato/"
  pt-BR: "https://tldlog.com/pt/l/zona-pk-paquistao-agora-tem-assinatura-zona-so-dominio/"
  ru: "https://tldlog.com/ru/l/zona-pk-pakistane-poluchila-podpisanie-zony-proverku/"
  zh-Hans: "https://tldlog.com/zh/l/bajisitan-pk-qiyong-dnssec-qianming/"
source:
  name: "circleid.com"
  url: "https://circleid.com/posts/pakistans-.pk-is-now-dnssec-signed-but-only-one-domain-validates"
  language: "en"
  date: "2026-10-20T15:23:00Z"
---

# Pakistán activa la firma de la zona .pk, pero solo un dominio valida

## en claro

DNSSEC es un sistema de seguridad que permite a los ordenadores comprobar que una dirección web lleva al lugar correcto. La extensión .pk de Pakistán ya lo usa en su nivel superior. Pero un análisis halló que solo un dominio bajo .pk lo tiene configurado por completo.

La zona .pk, que agrupa los dominios de códigos de país de Pakistán, no tenía DNSSEC a principios de octubre de 2026. No tenía registro DS en la raíz ni prueba firmada cuando faltaba un nombre. Seis días después, la cadena de confianza desde la raíz hasta .pk quedó validada, por lo que la zona se había sumado a la parte firmada del espacio de nombres.

Firmar la zona de primer nivel es solo el primer paso. Un análisis de 158.561 dominios .pk realizado el 11 de octubre, dos días después de que el registro DS apareciera en la raíz, encontró exactamente un dominio que valida de extremo a extremo. Ese dominio es newspak.pk. Otros 1.230 dominios han firmado sus propias zonas, pero esperan un registro DS que la zona .pk todavía no tiene. Ninguno de los unos 1.360 nombres bajo gov.pk y los sufijos de los gobiernos provinciales está firmado por completo.

La cronología puede rastrearse con fuentes públicas. DNSViz mostraba .pk como no seguro durante todo septiembre. Las primeras firmas de la zona .pk datan del 8 de octubre, aproximadamente un día antes de que se actualizara la raíz. A las 22:20 UTC del 9 de octubre, DNSViz informó de que .pk era seguro, y el registro de la IANA para .pk muestra una última actualización ese mismo día. La zona usa el algoritmo 13 (ECDSA P-256 con SHA-256) y NSEC y NSEC3 sin iteraciones adicionales y con una sal vacía, tal como recomienda la RFC 9276.

El análisis comprobó dos partes de cada cadena. Consultó el registro DS guardado en la zona .pk y el registro DNSKEY de la zona propia del dominio. Un dominio se contó como firmado por completo solo si toda la cadena, desde la raíz hasta .pk y hasta el dominio, validaba. Los 1.230 dominios que firman sus zonas pero no tienen DS en la zona superior son tratados como no firmados por los resolutores que validan, porque la zona .pk devuelve una prueba firmada de que no existe ningún DS. Entre ellos están accenture.pk y nexlinx.net.pk.

El resto del análisis encontró 117.572 nombres (el 74 por ciento) sin firmar, 25.875 que ya no existen y 13.883 que no pudieron clasificarse porque sus servidores de nombres no respondían o agotaron el tiempo de espera.

La brecha entre firmar una zona y publicar su registro DS no es nueva. Un estudio de 2017 de USENIX Security sobre .com, .net y .org halló que alrededor del 30 por ciento de los dominios firmados no tenían DS en la zona superior. Firmar una zona y llevar su DS a la zona superior son tareas separadas, a cargo de partes distintas, y el titular del dominio o el proveedor de DNS genera las claves de firma. En el caso de .pk, nombres como com.pk, org.pk, edu.pk y gov.pk forman parte de la propia zona .pk, así que todos los registros DS de esos nombres los publicaría una sola organización.

Fuente: [circleid.com](https://circleid.com/posts/pakistans-.pk-is-now-dnssec-signed-but-only-one-domain-validates)