Qu’est-ce que DNSSEC ?
Comprenez l’authentification des réponses DNS, sa chaîne de confiance et ses limites.
Dans ce guide
DNSSEC ajoute des signatures numériques aux données DNS afin qu’un résolveur validant puisse vérifier qu’une réponse est authentique et n’a pas été modifiée pendant son transport. Lorsqu’il est correctement déployé, il protège l’intégrité des réponses DNS. Il ne chiffre pas les requêtes DNS, ne masque pas l’activité de navigation et ne remplace pas HTTPS pour un site web.
Comment fonctionne la validation
Une zone signée publie des signatures et des données DNSKEY. Une chaîne de confiance relie la zone parente à la zone enfant, généralement grâce à un enregistrement DS dans la zone parente. Un résolveur validant vérifie cette chaîne avant d’accepter une réponse signée. Si les signatures ou les liens sont incorrects, la validation peut échouer même si la valeur A ou MX sous-jacente semble plausible.
C’est pourquoi le bureau d’enregistrement et le fournisseur DNS sont tous deux importants lors de la configuration : le fournisseur DNS signe la zone, et les informations DS du côté parent doivent correspondre. Un ancien enregistrement DS resté en place après un changement de fournisseur peut rendre le domaine apparemment inaccessible aux résolveurs validants.
Ce que DNSSEC ne résout pas
DNSSEC authentifie les données DNS ; il ne prouve pas que le serveur désigné par la réponse est sûr ni que son contenu web est véridique. Il ne sécurise pas non plus le compte auprès du bureau d’enregistrement. Les certificats HTTPS et le chiffrement du transport répondent à d’autres problèmes. DNS over HTTPS peut chiffrer la connexion à un résolveur, mais cela ne valide pas à lui seul la chaîne DNS signée.
Un domaine non signé n’est pas nécessairement compromis. La décision d’activer DNSSEC dépend de la prise en charge par les fournisseurs et de la capacité à gérer correctement les clés et la délégation dans la durée.
Vérifications pratiques
Lors de l’activation, suivez les instructions de votre fournisseur DNS, publiez l’enregistrement DS correspondant auprès du bureau d’enregistrement et testez la validation avant de retirer l’ancien fournisseur. Après toute modification d’un serveur de noms ou d’une clé, vérifiez que le DS et le DNSKEY correspondent toujours. Utilisez /whois pour consulter le contexte DNS visible, mais employez un résolveur validant ou un outil de diagnostic dédié pour confirmer la chaîne de confiance. Le guide des enregistrements DNS replace les types d’enregistrements associés dans leur contexte.
Sources
Vérifier avec WhoisFind
Consultez les données disponibles d’un domaine et interprétez-les dans leur contexte.
Ouvrir l’outil