Signature des réponses DNS (DNSSEC)

Qui peut vous aider

La personne qui gère le DNS de votre domaine, avec votre bureau d’enregistrement

Vérifier avant de modifier

Suivez ces étapes pour un site ou un domaine de messagerie que vous gérez. Remplacez les indications en majuscules par vos propres valeurs. Si une étape fait référence à des observations enregistrées, lancez la vérification gratuite et confirmez votre domaine pour ouvrir le rapport privé. Reprenez le nom d’hôte ou le nom de requête DNS exact qui y figure.

1. Demandez à votre fournisseur DNS et à votre bureau d’enregistrement de comparer les clés de signature de la zone (DNSKEY) avec l’enregistrement DS du parent, et de faire valider la chaîne de façon indépendante. Le drapeau « authentifié » (AD) d’un résolveur ne suffit pas. Convenez d’un plan de rétablissement avant de modifier DS ou la signature.

Zone faisant autorité : OWNER_CONFIRMED_ZONE
Fournisseur DNS et bureau d’enregistrement : IDENTIFY
DNSKEY, DS parent et validation indépendante : REQUEST_REVIEW

Que faire

Si vous souhaitez DNSSEC, demandez à votre fournisseur DNS et à votre bureau d’enregistrement s’ils peuvent l’activer ; beaucoup le proposent en un seul réglage. Une erreur pouvant rendre tout votre domaine inaccessible, laissez-les coordonner le changement et convenez d’abord de la façon de l’annuler, surtout si vous changez de fournisseur DNS.

Comment vérifier la modification

Demandez à votre fournisseur DNS de confirmer que la validation DNSSEC fonctionne de bout en bout. Cette vérification peut montrer que DNSSEC est publié, pas qu’il fonctionne.