DNSSEC-Signierung

Ob die DNS-Zone signiert ist, damit eine gefälschte DNS-Antwort auffällt. Sinnvoll und alles andere als verbreitet: die meisten Domains sind unsigniert, und das ist eine Tatsache, kein Mangel.

• Hilfe

DNSSEC ergänzt DNS-Antworten um kryptografische Signaturen. Ein validierender Resolver erkennt damit, ob eine Antwort für Ihre Domain echt oder gefälscht ist – das schützt Besucher vor Cache-Poisoning und bestimmten Man-in-the-Middle-Angriffen, die eine Domain auf einen fremden Server umlenken.

Das ist wertvoll, aber alles andere als verbreitet: Die meisten Domains weltweit sind unsigniert, und viele Hoster machen die Einrichtung umständlich. Deshalb zeigt der Bericht eine unsignierte Zone als neutrale Tatsache, nicht als Problem.

So prüft SiteScan

Der Scan fragt den DS-Eintrag der registrierbaren Domain ab – den Eintrag, mit dem die übergeordnete Zone (etwa .com) für den Signaturschlüssel Ihrer Zone bürgt. Existiert ein DS-Eintrag, gilt die Zone als signiert. Dieselbe Angabe kann auch in der Gruppe „Domain-Registrierung“ erscheinen, dort aus den Daten der Registry.

So aktivieren Sie es

• Bei den meisten verwalteten DNS-Anbietern (Cloudflare, Route 53, viele Registrare) ist es ein Schalter: Der Anbieter signiert die Zone und veröffentlicht den DS selbst oder nennt Ihnen die Werte für den Registrar.
• Liegen DNS und Registrar bei verschiedenen Firmen, übertragen Sie den DS exakt: Ein falscher oder veralteter DS macht die Domain für validierende Resolver unerreichbar.
• Vor einem Wechsel des DNS-Anbieters DNSSEC abschalten oder die Schlüsselübergabe planen.

Siehe auch Nameserver und CAA.