Quando digiti un dominio che finisce in .es, il tuo resolver (quello dell’operatore, Cloudflare, Quad9, quello che usi) deve chiedere a qualcuno chi gestisce quel nome. Quel qualcuno è la piattaforma DNS di Red.es, l’ente pubblico spagnolo che amministra il registro dei domini .es. È un pezzo di infrastruttura di cui quasi nessuno parla, e ogni richiesta per un dominio spagnolo non già in cache ci passa attraverso. Ecco com’è costruita, con i dati che pubblica Red.es e con quello che si vede interrogandola direttamente.
Cos’è e cosa non è
La piattaforma DNS di .es è DNS autoritativo: conserva la zona .es (l’elenco di quali server rispondono per ciascun dominio registrato) e risponde a chi la interroga. Non è un resolver ricorsivo come quelli che confrontiamo su questo sito, quindi non puoi configurarla nel router o nel telefono. Il suo pubblico sono i resolver di tutto il mondo, non gli utenti.
La catena completa, per un dominio come esempio.es, è questa: il tuo resolver chiede a un root server chi gestisce .es; la root restituisce i quattro server di Red.es; il tuo resolver chiede a uno di loro chi gestisce esempio.es; e con quella risposta va al server del dominio a chiedere l’indirizzo IP. La guida DNS lo spiega più in dettaglio.
La piattaforma copre .es e i suoi domini di secondo livello: com.es, nom.es, org.es, gob.es ed edu.es. Ed è classificata come servizio essenziale di Internet ai sensi della direttiva europea NIS2, che le impone obblighi di sicurezza e di notifica degli incidenti.
I quattro server di .es
La zona root delega .es a quattro nomi. Ecco cosa rispondono oggi, interrogati da Madrid (mediana di cinque richieste SOA dirette):
| Server | IPv4 | IPv6 | Gestore | Latenza |
|---|---|---|---|---|
a.nic.es | 194.69.254.1 | 2001:67c:21cc:2000::64:41 | Red.es (Spagna), due server bilanciati | 40 ms |
c.nic.es | 194.0.34.53 | 2001:678:44::53 | Fornitore anycast (si presenta come CIRA) | 58 ms |
g.nic.es | 204.61.217.1 | 2001:500:14:7001:ad::1 | Packet Clearing House (PCH), anycast | 54 ms |
h.nic.es | 194.0.33.53 | 2001:678:40::53 | Fornitore anycast | 231 ms |
a.nic.es è il server interno: Red.es lo ospita in Spagna su due macchine dietro un bilanciatore. Gli altri tre sono reti anycast di fornitori DNS specializzati: lo stesso indirizzo IP viene annunciato da decine di luoghi e ogni resolver raggiunge il nodo più vicino. Secondo Red.es, i tre insieme superano i 120 nodi con presenza in tutti i continenti.
Un dettaglio della tabella merita una spiegazione: h.nic.es ha risposto da Madrid in 231 ms, cinque volte più degli altri. Con anycast, il nodo che ti serve lo decide l’instradamento del tuo operatore, non la distanza geografica, e a volte ti manda lontano. Non è un problema per il servizio, perché i resolver misurano quale server risponde prima e gli danno la preferenza; è proprio il motivo per cui la zona è distribuita su quattro server invece di uno.
C’è anche diversità di software: i server di Red.es girano su BIND e i fornitori esterni combinano BIND e Knot. Se compare un bug grave in uno dei due, l’altro continua a rispondere.
DNSSEC: come è firmata la zona
La zona .es è firmata con DNSSEC e la catena di fiducia arriva alla root. Quello che si può verificare dall’esterno:
- Il record DS di .es nella zona root ha key tag 54404, algoritmo 8 (RSA/SHA-256) e digest SHA-256.
- La zona pubblica due record DNSKEY: una KSK (quella autorizzata dal DS della root) e una ZSK (quella che firma i record di tutti i giorni).
- Le firme (RRSIG) hanno una validità di 14 giorni e vengono rinnovate di continuo.
Red.es ruota la ZSK con frequenza e la KSK ogni due anni, cioè quando bisogna cambiare il DS nella root. L’orchestrazione la fa OpenDNSSEC e le chiavi private vivono in un HSM, un modulo crittografico dal quale non possono essere estratte.
Per il titolare di un dominio .es questo significa che può firmare la propria zona: genera le chiavi nel suo DNS (o lo fa il suo provider), ottiene il record DS e lo invia tramite il suo registrar. Da quel momento un resolver validante, come Quad9, Cloudflare o Google, rifiuta qualsiasi risposta manipolata su quel dominio. Il verificatore DNSSEC di questo sito mostra se la catena è completa.
Protezione dagli attacchi
Il DNS autoritativo di un ccTLD è un bersaglio tipico degli attacchi di negazione del servizio, perché buttarlo giù butta giù tutti i domini di un paese. Red.es elenca tre livelli:
- Accordi anti-DoS con gli operatori per filtrare il traffico prima che arrivi ai server.
- Rate limiting sui server DNS stessi, che evita che vengano usati come amplificatori.
- Scrubbing center presso i fornitori anycast, che assorbono l’attacco nelle loro reti.
A questo si aggiungono le certificazioni del servizio: ISO 9001, ISO 27001, lo Schema Nazionale di Sicurezza spagnolo (ENS) e il sigillo AENOR per l’IA responsabile. Le modifiche passano per tre ambienti (preproduzione, demo e produzione) con monitoraggio centralizzato, per il quale Red.es cita ENTRADA, lo strumento di analisi del traffico DNS creato dal registro olandese.
I numeri di .es
Dal rapporto statistico di Red.es di gennaio 2026:
| Estensione | Domini |
|---|---|
| .es | 2.062.183 |
| com.es | 80.086 |
| org.es | 8.911 |
| nom.es | 2.790 |
| gob.es | 1.243 |
| edu.es | 497 |
| Totale | 2.155.756 |
L’evoluzione dà l’idea della crescita: 12.887 domini nel 1998, 298.600 nel 2005 (l’anno della liberalizzazione, quando non fu più necessario giustificare la registrazione), 1.082.757 nel 2008, 2.002.058 nel 2022 e 2.155.756 a gennaio 2026. Negli ultimi dodici mesi sono stati registrati circa 34.000 domini al mese e circa 30.000 sono stati cancellati o non rinnovati, quindi il saldo cresce lentamente.
Cosa arriva
Red.es indica tre linee di lavoro: RDAP, il protocollo che sostituisce il WHOIS e che già risponde per .es (lo usa il verificatore WHOIS/RDAP di questo sito); un servizio di DNS secondario per i domini .es, che permetterebbe a un titolare di tenere una copia della sua zona sull’infrastruttura di Red.es; e più nodi anycast propri, per dipendere meno dai fornitori esterni.
Verificalo tu
Tutto quello che c’è sopra si vede da qualsiasi terminale con dig:
dig NS es. # i quattro server delegati
dig DS es. @1.1.1.1 # il DS pubblicato nella root (54404 8 2 …)
dig DNSKEY es. @a.nic.es # le chiavi KSK (257) e ZSK (256)
dig +norec SOA es. @h.nic.es # latenza verso un server specificoSenza terminale, la consultazione dei record DNS mostra gli NS di qualsiasi dominio .es e il verificatore DNSSEC percorre la catena di fiducia dalla root.
Fonti
- Red.es, «Plataforma DNS» su dominios.es: architettura, DNSSEC, protezione e certificazioni.
- Red.es, «.es domain statistics, January 2026» (PDF).
- Indirizzi, DS, DNSKEY, firme e latenze: interrogazioni proprie con
digda Madrid il 17 settembre 2026.