Podpisywanie strefy DNSSEC

Czy strefa DNS jest podpisana, żeby dało się rozpoznać podrobioną odpowiedź DNS. Rzecz przydatna i daleka od powszechności: większość domen jest niepodpisana i jest to fakt, a nie usterka.

• Pomoc

DNSSEC dodaje do odpowiedzi DNS podpisy kryptograficzne. Resolwer, który je weryfikuje, odróżni prawdziwą odpowiedź dla domeny od podrobionej — to chroni odwiedzających przed zatruciem cache i niektórymi atakami typu man-in-the-middle, które kierują domenę na obcy serwer.

To rzecz wartościowa, ale daleka od powszechności: większość domen na świecie jest niepodpisana, a wiele hostingów utrudnia konfigurację. Dlatego raport pokazuje niepodpisaną strefę jako neutralny fakt, nie jako problem.

Jak sprawdza SiteScan

Skaner pyta o rekord DS domeny rejestrowanej — rekord, który strefa nadrzędna (np. .com) publikuje na potwierdzenie klucza podpisującego strefę. Jeśli rekord DS istnieje, strefa jest uznawana za podpisaną. Ta sama informacja może pojawić się w grupie „Rejestracja domeny”, gdzie pochodzi z danych samego rejestru.

Jak to włączyć

• U większości zarządzanych dostawców DNS (Cloudflare, Route 53, wielu rejestratorów) to jeden przełącznik: dostawca podpisuje strefę i sam publikuje DS albo podaje wartości do wpisania u rejestratora.
• Jeśli DNS i rejestrator to różne firmy, przepisz rekord DS dokładnie: błędny lub nieaktualny DS sprawia, że domena przestaje się rozwiązywać w resolwerach weryfikujących.
• Przed przeniesieniem domeny do innego dostawcy DNS wyłącz DNSSEC albo zaplanuj przekazanie kluczy.

Zobacz też serwery nazw i CAA.