Что такое DNSSEC?
Разберитесь в аутентификации ответов DNS, цепочке доверия и её ограничениях.
DNSSEC добавляет к данным DNS цифровые подписи, чтобы проверяющий резолвер мог убедиться в подлинности ответа и отсутствии изменений при передаче. При правильном внедрении он защищает целостность ответов DNS. Он не шифрует запросы DNS, не скрывает действия пользователя и не заменяет HTTPS для сайта.
Как работает проверка
Подписанная зона публикует подписи и данные DNSKEY. Цепочка доверия связывает родительскую и дочернюю зоны, обычно через запись DS в родительской зоне. Проверяющий резолвер анализирует цепочку перед принятием подписанного ответа. Если подписи или связи неверны, проверка может завершиться ошибкой, даже когда значение A или MX выглядит правдоподобно.
Поэтому при настройке важны и регистратор, и DNS-провайдер: провайдер подписывает зону, а сведения DS на стороне родительской зоны должны совпадать. Устаревшая DS после смены провайдера может сделать домен недоступным для проверяющих резолверов.
Чего DNSSEC не решает
DNSSEC аутентифицирует данные DNS, но не доказывает безопасность указанного сервера или правдивость его веб-содержимого. Он также не защищает учётную запись регистратора. Сертификаты HTTPS и шифрование транспорта решают другие задачи. DNS over HTTPS может зашифровать соединение с резолвером, но само по себе это не проверяет подписанную цепочку DNS.
Неподписанный домен не обязательно скомпрометирован. Решение включить DNSSEC зависит от поддержки провайдерами и возможности правильно обслуживать ключи и делегирование.
Практические проверки
При включении следуйте инструкциям DNS-провайдера, опубликуйте соответствующую DS у регистратора и проверьте валидацию до отключения старого провайдера. После любой смены сервера имён или ключа убедитесь, что DS и DNSKEY по-прежнему согласованы. Используйте /whois для просмотра контекста DNS, но подтверждайте цепочку доверия специальным проверяющим резолвером или диагностическим инструментом. Руководство по записям DNS рассматривает связанные типы в контексте.
Источники
Попробуйте выполнить запрос
Проверьте домен, чтобы увидеть актуальные регистрационные данные и записи DNS.
Проверить домен