Подпись зоны DNSSEC

Подписана ли DNS-зона, чтобы подделанный ответ DNS можно было распознать. Вещь полезная и далеко не всеобщая: большинство доменов не подписано, и это факт, а не дефект.

• Помощь

DNSSEC добавляет к ответам DNS криптографические подписи. Резолвер, который их проверяет, отличает настоящий ответ для вашего домена от подделанного — это защищает посетителей от отравления кеша и некоторых атак «человек посередине», уводящих домен на чужой сервер.

Вещь полезная, но далеко не всеобщая: большинство доменов в мире не подписаны, а многие хостинги делают настройку неудобной. Поэтому неподписанная зона показана в отчёте как нейтральный факт, а не как проблема.

Как проверяет SiteScan

Сканер запрашивает DS-запись регистрируемого домена — запись, которую родительская зона (например, .com) публикует в подтверждение ключа подписи вашей зоны. Если DS-запись есть, зона считается подписанной. Та же информация может появиться и в группе «Регистрация домена» — там она берётся из данных самого реестра.

Как включить

• У большинства управляемых DNS-провайдеров (Cloudflare, Route 53, многие регистраторы) это один переключатель: провайдер подписывает зону и либо сам публикует DS, либо выдаёт значения, которые нужно ввести у регистратора.
• Если DNS и регистратор у разных компаний, копируйте DS-запись точно: неверная или устаревшая DS делает домен недоступным для проверяющих резолверов.
• Перед переездом к другому DNS-провайдеру отключите DNSSEC или заранее спланируйте передачу ключей.

См. также DNS-серверы и CAA.