Un SERVFAIL de DNSSEC després de canviar de proveïdor sol significar que la cadena de confiança encara apunta a dades de signatura que ja no coincideixen amb la zona autoritativa. No “arreglis WordPress” ni canviïs A records a l’atzar: verifica DS del registrador, nameservers actuals i DNSKEY com una sola cadena.
Confirma que l’error és DNSSEC
Compara resolvers validadors i no validadors. Si la resolució sense validar funciona però els validadors donen SERVFAIL, centra’t en la cadena de confiança.
Llegeix el DS al pare
El DS del registrador/registry és fora de la zona filla. Anota key tag, algoritme i digest i compara’ls amb les claus que signen la zona actual.
Comprova la signatura del nou proveïdor
Determina si DNSSEC és actiu i quina DNSKEY usa. La zona nova pot estar bé mentre el DS antic continua publicat al pare.
Tria un ordre de recuperació segur
Publica el DS nou només quan la zona estigui ben signada, o elimina el DS obsolet i respecta TTL abans de dependre d’una zona sense firma. No alternis repetidament.
Respecta memòries cau i TTL
SERVFAIL pot persistir en resolvers validadors després del canvi autoritatiu. Segueix finestres de memòria cau en lloc de continuar tocant DNS.
Valida d’extrem a extrem
Consulta DS, DNSKEY i respostes signades en resolvers independents i després prova HTTP/HTTPS. Només llavors torna a l’aplicació.
Usa la checklist abans de canviar DNS i compara trànsit dividit amb la guia del servidor antic.