Visibles: 26 de 26
Números de algoritmo DNSKEY y RRSIG con las recomendaciones del RFC 9904 para la firma y la validación.
| Valor | Mnemónico | Descripción | Referencias |
|---|---|---|---|
0 | DELETE | DELETE (algoritmo DNSSEC 0): Delete DS. Firma de zonas: sin recomendación; validación: sin recomendación. | RFC 4034RFC 4398RFC 8078 |
1 | RSAMD5 | RSAMD5 (algoritmo DNSSEC 1): RSA/MD5 (DEPRECATED, see 5). Firma de zonas: MUST NOT (prohibido); validación: MUST NOT (prohibido). | RFC 3110RFC 4034 |
2 | DH | DH (algoritmo DNSSEC 2): Diffie-Hellman. Firma de zonas: sin recomendación; validación: sin recomendación. | RFC 2539 |
3 | DSA | DSA (algoritmo DNSSEC 3): DSA/SHA1. Firma de zonas: MUST NOT (prohibido); validación: MUST NOT (prohibido). | RFC 3755RFC 2536Federal Information Processing Standards Publication (FIPS PUB) 186, Digital Signature Standard, 18 May 1994Federal Information Processing Standards Publication (FIPS PUB) 180-1, Secure Hash Standard, 17 April 1995. (Supersedes FIPS PUB 180 dated 11 May 1993.) |
5Nota | RSASHA1 | RSASHA1 (algoritmo DNSSEC 5): RSA/SHA-1. Firma de zonas: MUST NOT (prohibido); validación: RECOMMENDED (recomendado). | RFC 3110RFC 4034RFC 9905 |
6 | DSA-NSEC3-SHA1 | DSA-NSEC3-SHA1 (algoritmo DNSSEC 6): DSA-NSEC3-SHA1. Firma de zonas: MUST NOT (prohibido); validación: MUST NOT (prohibido). | RFC 5155 |
7 | RSASHA1-NSEC3-SHA1 | RSASHA1-NSEC3-SHA1 (algoritmo DNSSEC 7): RSASHA1-NSEC3-SHA1. Firma de zonas: MUST NOT (prohibido); validación: RECOMMENDED (recomendado). | RFC 5155RFC 9905 |
8Nota | RSASHA256 | RSASHA256 (algoritmo DNSSEC 8): RSA/SHA-256. Firma de zonas: RECOMMENDED (recomendado); validación: RECOMMENDED (recomendado). | RFC 5702 |
10 | RSASHA512 | RSASHA512 (algoritmo DNSSEC 10): RSA/SHA-512. Firma de zonas: NOT RECOMMENDED (no recomendado); validación: RECOMMENDED (recomendado). | RFC 5702 |
12 | ECC-GOST | ECC-GOST (algoritmo DNSSEC 12): GOST R 34.10-2001 (DEPRECATED). Firma de zonas: MUST NOT (prohibido); validación: MUST NOT (prohibido). | RFC 5933Change the status of GOST Signature Algorithms in DNSSEC in the IETF stream to HistoricRFC 9906 |
13Nota | ECDSAP256SHA256 | ECDSAP256SHA256 (algoritmo DNSSEC 13): ECDSA Curve P-256 with SHA-256. Firma de zonas: RECOMMENDED (recomendado); validación: RECOMMENDED (recomendado). | RFC 6605 |
14 | ECDSAP384SHA384 | ECDSAP384SHA384 (algoritmo DNSSEC 14): ECDSA Curve P-384 with SHA-384. Firma de zonas: MAY (opcional); validación: RECOMMENDED (recomendado). | RFC 6605 |
15Nota | ED25519 | ED25519 (algoritmo DNSSEC 15): Ed25519. Firma de zonas: RECOMMENDED (recomendado); validación: RECOMMENDED (recomendado). | RFC 8080 |
16 | ED448 | ED448 (algoritmo DNSSEC 16): Ed448. Firma de zonas: MAY (opcional); validación: RECOMMENDED (recomendado). | RFC 8080 |
17 | SM2SM3 | SM2SM3 (algoritmo DNSSEC 17): SM2 signing algorithm with SM3 hashing algorithm. Firma de zonas: MAY (opcional); validación: MAY (opcional). | RFC 9563 |
18 | MLDSA44 | MLDSA44 (algoritmo DNSSEC 18): ML-DSA-44. Firma de zonas: MAY (opcional); validación: MAY (opcional). | draft-westerbaan-dnssec-mldsa-03 |
23 | ECC-GOST12 | ECC-GOST12 (algoritmo DNSSEC 23): GOST R 34.10-2012. Firma de zonas: MAY (opcional); validación: MAY (opcional). | RFC 9558 |
252 | INDIRECT | INDIRECT (algoritmo DNSSEC 252): Reserved for Indirect Keys. Firma de zonas: sin recomendación; validación: sin recomendación. | RFC 4034 |
253 | PRIVATEDNS | PRIVATEDNS (algoritmo DNSSEC 253): private algorithm. Firma de zonas: MAY (opcional); validación: MAY (opcional). | RFC 4034 |
254 | PRIVATEOID | PRIVATEOID (algoritmo DNSSEC 254): private algorithm OID. Firma de zonas: MAY (opcional); validación: MAY (opcional). | RFC 4034 |
| Rango | Estado | Descripción |
|---|---|---|
| 4 | reserved | Reserved |
| 9 | reserved | Reserved |
| 11 | reserved | Reserved |
| 19–22 | unassigned | Unassigned |
| 24–122 | unassigned | Unassigned |
| 123–251 | reserved | Reserved |
| 255 | reserved | Reserved |
Fuente: DNSSEC algorithm numbers and DS digest types (IANA), consultada el 2026-10-20. Licencia de los datos: CC0-1.0. DNS Security Algorithm Numbers
Algoritmo DNSSEC 5, RSA con SHA-1: prohibido (MUST NOT) para firmar, pero todavía se valida.
Las recomendaciones del registro marcan RSA/SHA-1 como prohibido (MUST NOT) para firmar por las debilidades de SHA-1, mientras que los validadores siguen aceptándolo para que las zonas firmadas que quedan no fallen. Las zonas que todavía usan el algoritmo 5 o el 7 deberían migrar al 13 o al 15.
Algoritmo DNSSEC 8, RSA con SHA-256, todavía el algoritmo DNSSEC más desplegado.
Muchos dominios de nivel superior y la zona raíz firman con el algoritmo 8. Los validadores deben (MUST) admitirlo; para las zonas nuevas, el registro recomienda el algoritmo 13 (o el 15), cuyas firmas, mucho más pequeñas, mantienen reducido el tamaño de las respuestas.
Algoritmo DNSSEC 13, ECDSA en P-256: el algoritmo recomendado para firmar zonas.
El algoritmo 13 (RFC 6605) produce firmas de 64 bytes y claves de 64 bytes, mucho más pequeñas que las de RSA, lo que mantiene las respuestas DNSSEC por debajo de los límites de fragmentación. El registro de la IANA lo marca como recomendado (RECOMMENDED) para firmar y obligatorio (MUST) para validar (el RFC 9904 trasladó estas recomendaciones al registro).
Algoritmo DNSSEC 15, Ed25519 (RFC 8080), recomendado tanto para firmar como para validar.
Las firmas Ed25519 son deterministas, así que no se necesita aleatoriedad en cada firma. La compatibilidad de los validadores ha crecido despacio, y por eso el algoritmo 13 sigue siendo la opción más común para las zonas nuevas.
Algoritmos de resumen para registros DS, con las recomendaciones para la delegación y la validación.
| Valor | Hash | Descripción | Referencias |
|---|---|---|---|
1 | SHA-1 | El tipo de resumen DS 1 usa SHA-1. Delegación: MUST NOT (prohibido); validación: RECOMMENDED (recomendado). | RFC 3658RFC 9905 |
2 | SHA-256 | El tipo de resumen DS 2 usa SHA-256. Delegación: RECOMMENDED (recomendado); validación: RECOMMENDED (recomendado). | RFC 4509 |
3 | GOST R 34.11-94 | El tipo de resumen DS 3 usa GOST R 34.11-94. Delegación: MUST NOT (prohibido); validación: MUST NOT (prohibido). | RFC 5933Change the status of GOST Signature Algorithms in DNSSEC in the IETF stream to HistoricRFC 9906 |
4 | SHA-384 | El tipo de resumen DS 4 usa SHA-384. Delegación: MAY (opcional); validación: RECOMMENDED (recomendado). | RFC 6605 |
5 | Streebog-256 | El tipo de resumen DS 5 usa Streebog-256. Delegación: MAY (opcional); validación: MAY (opcional). | RFC 9558 |
6 | SM3 | El tipo de resumen DS 6 usa SM3. Delegación: MAY (opcional); validación: MAY (opcional). | RFC 9563 |
| Rango | Estado | Descripción |
|---|---|---|
| 0 | reserved | Reserved |
| 7–127 | unassigned | Unassigned |
| 128–252 | reserved | Reserved |
| 253–254 | private | Reserved for Private Use |
| 255 | unassigned | Unassigned |
Fuente: DNSSEC algorithm numbers and DS digest types (IANA), consultada el 2026-10-20. Licencia de los datos: CC0-1.0. Digest Algorithms (DS RR Type Digest Algorithms)