Che cos'è DNSSEC?
Comprendi l'autenticazione delle risposte DNS, la catena di fiducia e i suoi limiti.
DNSSEC aggiunge firme digitali ai dati DNS, permettendo a un resolver validante di verificare che una risposta sia autentica e non sia stata alterata durante il transito. Se implementato correttamente, protegge l'integrità delle risposte DNS. Non cifra le query DNS, non nasconde l'attività di navigazione e non sostituisce HTTPS per un sito.
Come funziona la convalida
Una zona firmata pubblica firme e dati DNSKEY. Una catena di fiducia collega la zona padre alla figlia, normalmente tramite un record DS nella zona padre. Un resolver validante controlla la catena prima di accettare una risposta firmata. Se firme o collegamenti sono errati, la convalida può fallire anche se il valore A o MX sottostante sembra plausibile.
Per questo durante la configurazione sono importanti sia registrar sia provider DNS: il provider firma la zona e le informazioni DS presso la zona padre devono corrispondere. Un record DS obsoleto dopo un cambio di provider può rendere il dominio irraggiungibile per i resolver validanti.
Che cosa DNSSEC non risolve
DNSSEC autentica i dati DNS; non dimostra che il server indicato dalla risposta sia sicuro o che i suoi contenuti web siano veritieri. Non protegge neppure l'account del registrar. I certificati HTTPS e la cifratura del trasporto affrontano problemi diversi. DNS over HTTPS può cifrare la connessione a un resolver, ma questo da solo non convalida la catena DNS firmata.
Un dominio non firmato non è necessariamente compromesso. L'attivazione di DNSSEC dipende dal supporto dei provider e dalla capacità di gestire correttamente chiavi e delega.
Verifiche pratiche
Durante l'attivazione, segui le istruzioni del provider DNS, pubblica presso il registrar il DS corrispondente e verifica la convalida prima di dismettere il vecchio provider. Dopo ogni cambio di nameserver o chiave, controlla che DS e DNSKEY siano ancora allineati. Usa /whois per il contesto DNS visibile, ma un resolver validante o uno strumento diagnostico dedicato per confermare la catena di fiducia. La guida ai record DNS contestualizza i tipi di record correlati.
Fonti
Verifica con WhoisFind
Consulta i dati disponibili di un dominio e valutali nel loro contesto.
Apri lo strumento