Domena nie ma włączonego DNSSEC

Co to jest

DNSSEC to podpis odpowiedzi DNS. Pozwala komputerowi sprawdzić, że odpowiedź na pytanie „gdzie jest example.pl” naprawdę pochodzi od Ciebie i nikt jej po drodze nie zmienił. Twój serwer DNS podpisuje strefę kluczem (rekord DNSKEY), a odcisk klucza (rekord DS) trafia do rejestru domeny.

Patrzyliśmy tylko na publiczny DNS: czy strefa ma rekord DNSKEY. Nie sprawdzamy, czy łańcuch podpisów aż do korzenia jest poprawny.

Dlaczego to problem

Bez DNSSEC można podrzucić fałszywą odpowiedź, na przykład zatruciem pamięci podręcznej u dostawcy internetu. Odwiedzający lub serwer pocztowy trafia wtedy pod obcy adres.

To nie jest aktywny wyciek. To brakująca warstwa ochrony, dlatego zalecenie.
DNSSEC nie szyfruje i nie sprawdza treści strony. Chroni tylko autentyczność odpowiedzi DNS.
Na tej warstwie opiera się też DANE i niektóre inne zabezpieczenia poczty.

Jak to naprawić

1. Włącz podpisywanie u hostingu DNS

U dostawcy, który prowadzi Twój DNS (rejestrator, Cloudflare i inni), poszukaj opcji „DNSSEC”. Po włączeniu pokaże dane rekordu DS: key tag, algorytm, typ skrótu i skrót.

2. Dodaj rekord DS w rejestrze

Jeśli DNS i rejestracja domeny są w jednym miejscu, często dzieje się to samo. W przeciwnym razie wpisz dane DS w panelu rejestratora. Domena .cz nie jest tu problemem: rejestr CZ.NIC obsługuje DNSSEC, także automatyczną aktualizację DS z rekordów CDS/CDNSKEY, gdy Twój hosting DNS je publikuje.

3. Sprawdź

dig +short DNSKEY example.pl
dig +short DS example.pl

Oba polecenia powinny zwrócić niepusty wynik.

Uwaga przy przenoszeniu DNS

Jeśli włączysz DNSSEC, a potem przeniesiesz DNS gdzie indziej, podczas gdy rekord DS zostaje w rejestrze, domena przestanie działać dla każdego, kto weryfikuje podpisy. Przed zmianą hostingu DNS najpierw usuń DS w rejestrze albo przenieś klucze.