.es で終わるドメインを入力すると、あなたのリゾルバー（プロバイダーのもの、Cloudflare、Quad9、何であれ）は、その名前を誰が管理しているのかを誰かに尋ねなければなりません。その「誰か」が、.es ドメインのレジストリを管理するスペインの公的機関 Red.es の DNS プラットフォームです。ほとんど話題にならないインフラですが、キャッシュにないスペインのドメインへの問い合わせはすべてここを通ります。Red.es が公開しているデータと、直接問い合わせて見えることをもとに、その構造を説明します。
何であって、何でないか
.es の DNS プラットフォームは権威 DNSです。.es ゾーン（登録された各ドメインにどのサーバーが応答するかの一覧）を保持し、それについて尋ねてきた相手に答えます。当サイトで比較しているような再帰リゾルバーではないので、ルーターやスマホには設定できません。相手にするのは世界中のリゾルバーであって、利用者ではありません。
example.es のようなドメインの完全な流れはこうです。リゾルバーがルートサーバーに .es の管理者を尋ね、ルートが Red.es の 4 台のサーバーを返し、リゾルバーがそのうち 1 台に example.es の管理者を尋ね、その答えをもとにドメイン自身のサーバーへ IP アドレスを取りに行きます。詳しくは DNS ガイドで説明しています。
プラットフォームは .es とそのセカンドレベルドメイン（com.es、nom.es、org.es、gob.es、edu.es）を扱います。EU の NIS2 指令ではインターネットの必須サービスに分類され、セキュリティとインシデント報告の義務を負います。
.es の 4 台のサーバー
ルートゾーンは .es を 4 つの名前に委任しています。マドリードから直接 SOA を 5 回問い合わせた中央値で、今日の応答はこうです。
| サーバー | IPv4 | IPv6 | 運営者 | 遅延 |
|---|---|---|---|---|
a.nic.es | 194.69.254.1 | 2001:67c:21cc:2000::64:41 | Red.es（スペイン）、負荷分散した 2 台 | 40 ミリ秒 |
c.nic.es | 194.0.34.53 | 2001:678:44::53 | anycast 事業者（CIRA と名乗る） | 58 ミリ秒 |
g.nic.es | 204.61.217.1 | 2001:500:14:7001:ad::1 | Packet Clearing House（PCH）、anycast | 54 ミリ秒 |
h.nic.es | 194.0.33.53 | 2001:678:40::53 | anycast 事業者 | 231 ミリ秒 |
a.nic.es は自前のサーバーで、Red.es がスペインでロードバランサーの背後に 2 台を置いて運用しています。残り 3 台は専門 DNS 事業者の anycast ネットワークです。同じ IP アドレスが数十の拠点から広告され、各リゾルバーは最寄りのノードに到達します。Red.es によれば、3 社合計で全大陸に 120 以上のノードがあります。
表の中で説明が要る点が一つあります。h.nic.es はマドリードから 231 ミリ秒で応答し、他の 5 倍かかりました。anycast では、どのノードが応答するかは地理的な距離ではなくプロバイダーの経路制御が決めるため、遠くに飛ばされることがあります。サービスにとっては問題ではありません。リゾルバーはどのサーバーが速く応答するかを計測して優先するからで、ゾーンを 1 台ではなく 4 台に分散する理由がまさにこれです。
ソフトウェアの多様性もあります。Red.es のサーバーは BIND で動き、外部事業者は BIND と Knot を組み合わせています。一方に重大なバグが見つかっても、もう一方が応答を続けます。
DNSSEC：ゾーンはどう署名されているか
.es ゾーンは DNSSEC で署名され、信頼の連鎖はルートまで届いています。外から確認できることは次のとおりです。
- ルートゾーンにある .es の DS レコードは、キータグ 54404、アルゴリズム 8（RSA/SHA-256）、SHA-256 ダイジェスト。
- ゾーンは 2 つの DNSKEY を公開しています。KSK（ルートの DS が認証するもの）と ZSK（日々のレコードに署名するもの）。
- 署名（RRSIG）の有効期間は 14 日で、継続的に更新されます。
Red.es は ZSK を頻繁に、KSK を 2 年ごとにロールし、KSK のロール時にルートの DS も変更します。オーケストレーションは OpenDNSSEC が担い、秘密鍵は取り出せない暗号モジュール HSM に置かれています。
.es ドメインの所有者にとっては、自分のゾーンに署名できるということです。DNS 側で鍵を生成し（あるいはプロバイダーに任せ）、DS レコードを取得してレジストラ経由で提出します。以降、Quad9、Cloudflare、Google のような検証リゾルバーは、そのドメインについて改ざんされた応答を拒否します。当サイトの DNSSEC チェッカーで連鎖が完全かどうかを確認できます。
攻撃への防御
ccTLD の権威 DNS は DoS 攻撃の典型的な標的です。落とせば一国のドメインがすべて落ちるからです。Red.es は 3 つの層を挙げています。
- サーバーに届く前にトラフィックを絞る、通信事業者との DoS 対策協定。
- DNS サーバー自身でのレート制限。増幅攻撃に悪用されるのを防ぎます。
- anycast 事業者側のスクラビングセンター。攻撃を事業者のネットワーク内で吸収します。
これに加えてサービスの認証があります。ISO 9001、ISO 27001、スペインの国家セキュリティ枠組み（ENS）、AENOR の責任ある AI 認証です。変更は 3 つの環境（プリプロダクション、デモ、本番）を経て展開され、集中監視には、オランダのレジストリが作った DNS トラフィック分析ツール ENTRADA を Red.es は挙げています。
.es の数字
Red.es の 2026 年 1 月の統計レポートより。
| 拡張子 | ドメイン数 |
|---|---|
| .es | 2,062,183 |
| com.es | 80,086 |
| org.es | 8,911 |
| nom.es | 2,790 |
| gob.es | 1,243 |
| edu.es | 497 |
| 合計 | 2,155,756 |
推移を見ると成長がわかります。1998 年に 12,887、2005 年（登録の自由化で申請理由が不要になった年）に 298,600、2008 年に 1,082,757、2022 年に 2,002,058、そして 2026 年 1 月に 2,155,756。直近 12 か月は毎月およそ 34,000 件が登録され、およそ 30,000 件が削除または未更新となったため、純増は緩やかです。
これからのこと
Red.es は 3 つの取り組みを挙げています。WHOIS に代わるプロトコル RDAP（.es ではすでに応答しており、当サイトの WHOIS/RDAP チェッカーが使っています）、所有者が Red.es のインフラにゾーンの複製を置ける .es ドメイン向けセカンダリ DNS サービス、そして外部事業者への依存を減らすための自前 anycast ノードの拡充です。
自分で確かめる
上に書いたことはすべて、ターミナルの dig で確認できます。
dig NS es. # 委任された 4 台のサーバー
dig DS es. @1.1.1.1 # ルートに公開された DS（54404 8 2 …）
dig DNSKEY es. @a.nic.es # KSK（257）と ZSK（256）の鍵
dig +norec SOA es. @h.nic.es # 特定のサーバーへの遅延ターミナルがなければ、DNS レコード検索で任意の .es ドメインの NS を表示でき、DNSSEC チェッカーがルートから信頼の連鎖をたどります。
出典
- Red.es、dominios.es の 「Plataforma DNS」：アーキテクチャ、DNSSEC、防御、認証。
- Red.es、「.es domain statistics, January 2026」（PDF）。
- アドレス、DS、DNSKEY、署名、遅延：2026 年 9 月 17 日にマドリードから行った当サイト自身の
dig問い合わせ。