Un SERVFAIL de DNSSEC tras cambiar de proveedor suele significar que la cadena de confianza sigue apuntando a datos de firma que ya no coinciden con la zona autoritativa. No “arregles WordPress” ni cambies A records al azar: verifica DS del registrador, nameservers actuales y DNSKEY como una sola cadena.
Confirma que el fallo es DNSSEC
Compara resolvers validadores y no validadores. Si la resolución sin validar funciona pero los validadores dan SERVFAIL, céntrate en la cadena de confianza.
Lee el DS en el padre
El DS del registrador/registry está fuera de la zona hija. Anota key tag, algoritmo y digest y compáralos con las claves que firman la zona actual.
Comprueba la firma del nuevo proveedor
Determina si DNSSEC está activo y qué DNSKEY usa. La zona nueva puede estar bien mientras el DS antiguo sigue publicado en el padre.
Elige un orden de recuperación seguro
Publica el DS nuevo solo cuando la zona esté bien firmada, o elimina el DS obsoleto y respeta TTL antes de depender de una zona sin firma. No alternes repetidamente.
Respeta cachés y TTL
SERVFAIL puede persistir en resolvers validadores después del cambio autoritativo. Sigue ventanas de caché en vez de seguir tocando DNS.
Valida extremo a extremo
Consulta DS, DNSKEY y respuestas firmadas en resolvers independientes y después prueba HTTP/HTTPS. Solo entonces vuelve a la aplicación.
Usa la checklist antes de cambiar DNS y compara tráfico dividido con la guía del servidor antiguo.