DNSSEC, nuova chiave della root DNS dall'11 ottobre 2026

03/10/2026 Dall'11 ottobre 2026 entrerà ufficialmente in uso la nuova chiave crittografica utilizzata per la firma della root zone del DNS, uno degli elementi fondamentali del sistema DNSSEC.

La nuova chiave, denominata KSK-2024, sostituirà progressivamente quella precedente come riferimento per la validazione crittografica della root DNS. Si tratta di un'operazione programmata e coordinata a livello internazionale, pensata per mantenere elevati gli standard di sicurezza dell'infrastruttura DNS.

DNSSEC permette di verificare che le risposte ricevute durante la risoluzione di un nome di dominio siano autentiche e non siano state alterate. La Root Zone Key Signing Key rappresenta il punto iniziale della cosiddetta catena di fiducia utilizzata dai resolver che effettuano la validazione DNSSEC.

Per la maggior parte degli utenti e dei gestori di siti web il passaggio sarà completamente trasparente. L'attenzione riguarda soprattutto gli operatori di resolver DNS che effettuano direttamente la validazione DNSSEC e che devono assicurarsi di avere correttamente configurato il nuovo trust anchor.

La nuova chiave KSK-2024 è identificata dal Key Tag 38696. I sistemi aggiornati e configurati per gestire automaticamente il rollover dovrebbero averla già acquisita, senza necessità di interventi manuali.

Nel caso in cui un resolver DNSSEC non disponga della nuova chiave al momento del passaggio, potrebbero verificarsi problemi nella validazione dei domini protetti da DNSSEC, con conseguenti errori di risoluzione.

Il cambio della chiave della root DNS è quindi un'operazione prevalentemente tecnica, ma particolarmente importante per garantire la continuità e la sicurezza dell'intero sistema dei nomi a dominio.

Il rollover della chiave è previsto per l'11 ottobre 2026 e interessa in particolare gli operatori che gestiscono resolver DNS con validazione DNSSEC attiva.