Можно ли использовать DNS от Red.es на компьютере или роутере?

Нет. Платформа Red.es — авторитативный DNS: она отвечает только за домены .es и не разрешает произвольные имена. Для работы в интернете нужен публичный резолвер, например из сравнения на этом сайте. Какой бы резолвер вы ни использовали, он обращается к серверам Red.es каждый раз, когда ищет домен .es, которого нет в кэше.

Сколько DNS-серверов у домена .es?

Четыре имени, делегированные в корневой зоне: a.nic.es, c.nic.es, g.nic.es и h.nic.es. Первый Red.es держит в Испании на двух серверах с балансировкой; остальные три — anycast-сети специализированных DNS-провайдеров, в сумме более 120 узлов на всех континентах.

Подписан ли домен .es с помощью DNSSEC?

Да. Зона .es подписана, а её KSK опубликован как запись DS в корневой зоне (key tag 54404, алгоритм 8, RSA/SHA-256). Владелец домена .es может подписать свою зону и передать запись DS через регистратора, замкнув цепочку доверия.

Сколько существует доменов .es?

2 155 756 на январь 2026 года по статистике Red.es: 2 062 183 непосредственно в .es, 80 086 в com.es, 8 911 в org.es, 2 790 в nom.es, 1 243 в gob.es и 497 в edu.es. В 1998 году их было 12 887.

Что будет, если серверы .es упадут?

Все домены .es перестанут разрешаться, как только истекут кэши резолверов. Чтобы этого не случилось, платформа распределяет зону по четырём серверам с разным ПО (BIND и Knot), три из них anycast, с защитой от DoS и ограничением частоты запросов; выход из строя нескольких узлов на сервис не влияет.

DNS-платформа доменов .es: как она устроена и кто ею управляет

Когда вы вводите домен, оканчивающийся на .es, ваш резолвер (провайдера, Cloudflare, Quad9, любой) должен спросить у кого-то, кто управляет этим именем. Этот «кто-то» — DNS-платформа Red.es, испанской государственной организации, которая ведёт реестр доменов .es. Об этой части инфраструктуры почти никто не говорит, а между тем через неё проходит каждый запрос к испанскому домену, которого ещё нет в кэше. Вот как она устроена: по данным, которые публикует Red.es, и по тому, что видно при прямых запросах к ней.

Что это такое и чем это не является

DNS-платформа .es — это авторитативный DNS: она хранит зону .es (список того, какие серверы отвечают за каждый зарегистрированный домен) и отвечает тем, кто о ней спрашивает. Это не рекурсивный резолвер вроде тех, что мы сравниваем на сайте, поэтому её нельзя прописать в роутере или телефоне. Её аудитория — резолверы всего мира, а не пользователи.

Полная цепочка для домена вроде primer.es выглядит так: ваш резолвер спрашивает у корневого сервера, кто управляет .es; корень возвращает четыре сервера Red.es; резолвер спрашивает у одного из них, кто управляет primer.es; и с этим ответом идёт к серверу домена за IP-адресом. Подробнее это описано в руководстве по DNS.

Платформа обслуживает .es и его домены второго уровня: com.es, nom.es, org.es, gob.es и edu.es. Она отнесена к важнейшим интернет-сервисам по европейской директиве NIS2, которая налагает обязанности по безопасности и уведомлению об инцидентах.

Четыре сервера .es

Корневая зона делегирует .es четырём именам. Вот что они отвечают сегодня при запросах из Мадрида (медиана пяти прямых запросов SOA):

Сервер	IPv4	IPv6	Оператор	Задержка
`a.nic.es`	194.69.254.1	2001:67c:21cc:2000::64:41	Red.es (Испания), два сервера с балансировкой	40 мс
`c.nic.es`	194.0.34.53	2001:678:44::53	Anycast-провайдер (представляется как CIRA)	58 мс
`g.nic.es`	204.61.217.1	2001:500:14:7001:ad::1	Packet Clearing House (PCH), anycast	54 мс
`h.nic.es`	194.0.33.53	2001:678:40::53	Anycast-провайдер	231 мс

a.nic.es — собственный сервер: Red.es размещает его в Испании на двух машинах за балансировщиком. Остальные три — anycast-сети специализированных DNS-провайдеров: один и тот же IP-адрес анонсируется из десятков мест, и каждый резолвер попадает на ближайший узел. По данным Red.es, три сети вместе насчитывают более 120 узлов на всех континентах.

Одна деталь в таблице требует пояснения: h.nic.es ответил из Мадрида за 231 мс, впятеро медленнее остальных. При anycast узел, который вас обслужит, выбирает маршрутизация вашего провайдера, а не географическое расстояние, и иногда она отправляет вас далеко. Для сервиса это не проблема: резолверы замеряют, какой сервер отвечает быстрее, и отдают ему предпочтение; именно поэтому зону раздают четыре сервера, а не один.

Есть и разнообразие ПО: серверы Red.es работают на BIND, внешние провайдеры сочетают BIND и Knot. Если в одном обнаружится серьёзная ошибка, другой продолжит отвечать.

DNSSEC: как подписана зона

Зона .es подписана DNSSEC, и цепочка доверия доходит до корня. Что можно проверить снаружи:

Запись DS для .es в корневой зоне имеет key tag 54404, алгоритм 8 (RSA/SHA-256) и дайджест SHA-256.
Зона публикует две записи DNSKEY: KSK (тот, который авторизует DS в корне) и ZSK (тот, который подписывает повседневные записи).
Подписи (RRSIG) действительны 14 дней и обновляются непрерывно.

Red.es часто меняет ZSK, а KSK — раз в два года, и тогда приходится менять DS в корне. Оркестрацию выполняет OpenDNSSEC, а закрытые ключи хранятся в HSM — криптографическом модуле, из которого их нельзя извлечь.

Для владельца домена .es это значит, что он может подписать собственную зону: сгенерировать ключи в своём DNS (или поручить это провайдеру), получить запись DS и передать её через регистратора. После этого валидирующий резолвер, такой как Quad9, Cloudflare или Google, отвергнет любой подменённый ответ по этому домену. Проверка DNSSEC на этом сайте показывает, полна ли цепочка.

Защита от атак

Авторитативный DNS национального домена — типичная цель DoS-атак, потому что, уронив его, роняешь все домены страны. Red.es перечисляет три уровня защиты:

Соглашения с операторами связи о фильтрации трафика до того, как он достигнет серверов.
Ограничение частоты запросов (rate limiting) на самих DNS-серверах, чтобы их не использовали как усилители.
Центры очистки трафика (scrubbing) у anycast-провайдеров, которые поглощают атаку в своих сетях.

К этому добавляются сертификации сервиса: ISO 9001, ISO 27001, испанская Национальная схема безопасности (ENS) и знак AENOR за ответственный ИИ. Изменения проходят через три среды (предпродакшн, демо и продакшн) с централизованным мониторингом, для которого Red.es называет ENTRADA — инструмент анализа DNS-трафика, созданный нидерландским реестром.

Цифры .es

Из статистического отчёта Red.es за январь 2026 года:

Расширение	Доменов
.es	2 062 183
com.es	80 086
org.es	8 911
nom.es	2 790
gob.es	1 243
edu.es	497
Всего	2 155 756

Динамика даёт представление о росте: 12 887 доменов в 1998 году, 298 600 в 2005-м (год либерализации, когда регистрацию перестали требовать обосновывать), 1 082 757 в 2008-м, 2 002 058 в 2022-м и 2 155 756 в январе 2026-го. За последние двенадцать месяцев регистрировалось около 34 000 доменов в месяц, а удалялось или не продлевалось около 30 000, так что чистый прирост небольшой.

Что дальше

Red.es называет три направления работы: RDAP, протокол на смену WHOIS, который уже отвечает для .es (его использует проверка WHOIS/RDAP на этом сайте); сервис вторичного DNS для доменов .es, который позволит владельцу держать копию своей зоны на инфраструктуре Red.es; и расширение собственных anycast-узлов, чтобы меньше зависеть от внешних провайдеров.

Проверьте сами

Всё описанное выше видно из любого терминала с помощью dig:

dig NS es.                  # четыре делегированных сервера
dig DS es. @1.1.1.1         # DS, опубликованный в корне (54404 8 2 …)
dig DNSKEY es. @a.nic.es    # ключи KSK (257) и ZSK (256)
dig +norec SOA es. @h.nic.es  # задержка до конкретного сервера

Без терминала запрос DNS-записей покажет NS любого домена .es, а проверка DNSSEC пройдёт цепочку доверия от корня.

Источники

Red.es, «Plataforma DNS» на dominios.es: архитектура, DNSSEC, защита и сертификации.
Red.es, «.es domain statistics, January 2026» (PDF).
Адреса, DS, DNSKEY, подписи и задержки: собственные запросы dig из Мадрида 17 сентября 2026 года.