DNSSEC-Check

RSS

Test whether a domain is protected by DNSSEC: we verify the DS record at the parent against the zone's DNSKEYs and check that validating resolvers accept its answers.

Beispiele: cloudflare.com, ietf.org, dnssec-failed.org (absichtlich fehlerhaft), google.com
DNSSEC ist für cloudflare.com aktiviert und gültigValidierende Resolver authentifizieren die Antworten dieser Domain (AD-Flag gesetzt).

DS-Einträge (in der übergeordneten Zone)

Key-TagAlgorithmusDigestPasst zu einem DNSKEY
2371ECDSA P-256/SHA-256SHA-256
32996839A6D808AFE3EB4A795A0E6A7A39A76FC…		Ja

DNSKEY-Einträge (in der Zone)

Key-TagRolleAlgorithmusFlags
34505ZSKECDSA P-256/SHA-256256
2371KSKECDSA P-256/SHA-256257

Was ist DNSSEC?

DNS wurde ohne jede Möglichkeit entworfen, zu prüfen, ob eine Antwort echt ist, was Cache-Poisoning- und Spoofing-Angriffe möglich macht. DNSSEC (DNS Security Extensions) fügt DNS-Einträgen digitale Signaturen hinzu. Eine Zone veröffentlicht ihre öffentlichen Schlüssel als DNSKEY-Einträge und signiert jede Eintragsgruppe mit einem RRSIG. Die übergeordnete Zone (zum Beispiel .com) veröffentlicht einen DS-Eintrag, der einen Hash des Key-Signing-Keys der untergeordneten Zone enthält. Die Verknüpfung DS → DNSKEY → RRSIG bis hinauf zur Root ergibt eine Vertrauenskette, die validierende Resolver prüfen können. Lesen Sie unseren DNSSEC-Ratgeber.

Was dieser Check prüft

  1. DS bei der übergeordneten Zone: ob die Registry einen DS-Eintrag für die Domain veröffentlicht.
  2. DNSKEY in der Zone: die veröffentlichten Schlüssel, ihre Rollen (KSK oder ZSK) und Algorithmen.
  3. Übereinstimmung DS ↔ DNSKEY: Wir berechnen Key-Tag und Digest jedes Schlüssels selbst neu und bestätigen, dass der DS-Eintrag auf einen echten Schlüssel verweist.
  4. Live-Validierung: Wir fragen einen validierenden Resolver (Cloudflare 1.1.1.1) nach der Domain und prüfen das Flag Authenticated Data (AD) sowie einen eventuellen Extended DNS Error, der einen Fehlschlag erklärt.

So aktivieren Sie DNSSEC

  1. Schalten Sie bei Ihrem DNS-Host die DNSSEC-Signierung ein. Die meisten großen DNS-Anbieter erledigen das mit einem Klick.
  2. Kopieren Sie den DS-Eintrag, den Sie erhalten (Key-Tag, Algorithmus, Digest-Typ und Digest).
  3. Tragen Sie ihn in den DNSSEC-Einstellungen Ihres Domain-Registrars ein. Manche Registrare tun das automatisch, wenn sie auch Ihr DNS hosten.
  4. Warten Sie die TTL der übergeordneten Zone ab und führen Sie diese Prüfung dann erneut aus.
Wechseln Sie den DNS-Anbieter? Entfernen Sie den DS-Eintrag beim Registrar, bevor Sie die Nameserver umstellen, sonst passt der alte DS nicht zu den Schlüsseln des neuen Anbieters, und Ihre gesamte Domain wird für Nutzer validierender Resolver nicht mehr aufgelöst.

Häufig gestellte Fragen

Verschlüsselt DNSSEC das DNS?

Nein. DNSSEC beweist, dass Antworten echt sind, verbirgt sie aber nicht. Für Verschlüsselung sorgen DNS-over-HTTPS oder DNS-over-TLS.

Welchen Algorithmus soll ich verwenden?

ECDSA P-256 mit SHA-256 (Algorithmus 13) ist der moderne Standard: klein, schnell und weit unterstützt. Ed25519 (Algorithmus 15) ist ebenfalls gut, wo es unterstützt wird.

Warum nutzen manche große Websites kein DNSSEC?

Betriebsrisiko und Komplexität, besonders bei großen Setups mit mehreren Anbietern. Die Verbreitung schwankt stark je nach TLD und Anbieter.

Aktualisiert

Kommentare

Noch keine Bewertungen

Melden Sie sich an, um dieses Tool zu bewerten.

Teilen Sie einen Tipp, stellen Sie eine Frage oder erzählen Sie, wie das Tool bei Ihnen funktioniert hat.

Noch keine Kommentare. Erzählen Sie als Erste oder Erster, wie es lief.

In die Zwischenablage kopiert