Auditor de cadena DNSSEC y confianza RDAP

El auditor recorre la cadena de confianza completa de un dominio en nueve pasos pass/fail. Empieza en el registro bootstrap RDAP de IANA (data.iana.org/rdap/dns.json) para descubrir el servidor autoritativo del TLD, luego consulta ese registro por RDAP para obtener datos de registro — entidad registrante, eventos de creación/caducidad, códigos de estado EPP, nameservers y la vista secureDNS del registro. En paralelo, el lado DNSSEC resuelve vía DNS-over-HTTPS (AliDNS con conmutación a Cloudflare/Google, seleccionable): obtiene el conjunto DNSKEY raíz y verifica los digests SHA-256 DS de los anclajes de confianza raíz embebidos (KSK-2017 tag 20326 y KSK-2024 tag 38696, coherentes con el root-anchors.xml publicado por IANA), y desciende — el DS que la raíz publica para el TLD se recalcula desde el RDATA del DNSKEY del TLD, y el DS que el TLD publica para el dominio se recalcula desde el RDATA del DNSKEY del ápice, byte a byte. Desajustes, firmas RRSIG caducadas o a punto de caducar (aritmética de números de serie sobre los campos de 32 bits), delegaciones sin firmar y registros DS ausentes se señalizan con sus key tags, algoritmos y digests calculados exactos. Alcance: la coincidencia de digests DS↔DNSKEY es el pegamento criptográfico de la cadena de delegación; la validación completa de firmas RRSIG por RRset se informa mediante el indicador AD del resolvedor y comprobaciones de caducidad, no con verificación RSA/ECDSA local.