El servidor DNS es libre de hacerlo con la frecuencia que desee / necesite: las firmas liftetime son un problema de política, cubierto por un DPS (Declaración de política de DNSSEC). Puede encontrar ejemplos y buenas prácticas, pero si un servidor desea crear firmas incluso sobre la marcha, puede (consulte enlace " En el modo de firma en vivo de PowerDNS, las firmas, tal como se presentan a través de los registros RRSIG, se calculan sobre la marcha y se almacenan en caché. "o enlace " La implementación DNSSEC de Cloudflare aprovecha la eficiente generación de firmas de ECDSA para firmar registros DNSSEC sobre la marcha. ")
Las firmas en los registros RRSIG tienen dos fechas: un principio de validez y un final.
Esto no tiene nada que ver con el valor TTL, ni los cambios de zona (las firmas cambiarán incluso si la zona no cambia).
Consulte, por ejemplo, en Un marco para políticas de DNSSEC y declaraciones de práctica de DNSSEC 4.6.5. "La duración de la firma y la frecuencia de renovación de firmas" que exige que un buen documento de política tenga:
Este subcomponente describe el ciclo de vida del registro de recursos
Registro de firma (RRSIG).
Ahora veamos algunos DPS publicados:
17.6 Vida útil de firma y frecuencia de renuncia:
Las firmas KSK de la zona TLD DNSKEY RRset tendrán un período de validez de 40 días.
Las firmas ZSK de los datos autorizados de la zona de TLD tendrán un período de validez de 10 días
(TTL predeterminado: 86400s alias 1 día)
Re-firmamos nuestras zonas diariamente con una vida útil de 30 días.
(TTL predeterminado: 3600s también conocido como 1 hora)
Los conjuntos de RR se firman con ZSK con un período de validez de catorce días y se renuncian cada dos días.
La generación de archivos de zona y la firma de nuevos registros se realiza cada hora.
(TTL predeterminado: 3600s)
La práctica de firma de la Zona COM se divide en ciclos de tiempo continuos trimestrales de aproximadamente 90 días. Los ciclos de tiempo comienzan en las siguientes fechas cada año:
15 de enero
15 de abril
15 de julio
15 de octubre
El ciclo de tiempo nunca será inferior a 90 días, excepto en situaciones de emergencia (en las que se haya comprometido una clave) o si Verisign decide comenzar a utilizar diferentes longitudes de clave.
(TTL predeterminado: 172800s alias 2 días)
etc.