DNSSEC-Check

RSS

Test whether a domain is protected by DNSSEC: we verify the DS record at the parent against the zone's DNSKEYs and check that validating resolvers accept its answers.

Beispiele: cloudflare.com, ietf.org, dnssec-failed.org (absichtlich fehlerhaft), google.com

Was ist DNSSEC?

DNS wurde ohne jede Möglichkeit entworfen, zu prüfen, ob eine Antwort echt ist, was Cache-Poisoning- und Spoofing-Angriffe möglich macht. DNSSEC (DNS Security Extensions) fügt DNS-Einträgen digitale Signaturen hinzu. Eine Zone veröffentlicht ihre öffentlichen Schlüssel als DNSKEY-Einträge und signiert jede Eintragsgruppe mit einem RRSIG. Die übergeordnete Zone (zum Beispiel .com) veröffentlicht einen DS-Eintrag, der einen Hash des Key-Signing-Keys der untergeordneten Zone enthält. Die Verknüpfung DS → DNSKEY → RRSIG bis hinauf zur Root ergibt eine Vertrauenskette, die validierende Resolver prüfen können. Lesen Sie unseren DNSSEC-Ratgeber.

Was dieser Check prüft

  1. DS bei der übergeordneten Zone: ob die Registry einen DS-Eintrag für die Domain veröffentlicht.
  2. DNSKEY in der Zone: die veröffentlichten Schlüssel, ihre Rollen (KSK oder ZSK) und Algorithmen.
  3. Übereinstimmung DS ↔ DNSKEY: Wir berechnen Key-Tag und Digest jedes Schlüssels selbst neu und bestätigen, dass der DS-Eintrag auf einen echten Schlüssel verweist.
  4. Live-Validierung: Wir fragen einen validierenden Resolver (Cloudflare 1.1.1.1) nach der Domain und prüfen das Flag Authenticated Data (AD) sowie einen eventuellen Extended DNS Error, der einen Fehlschlag erklärt.

So aktivieren Sie DNSSEC

  1. Schalten Sie bei Ihrem DNS-Host die DNSSEC-Signierung ein. Die meisten großen DNS-Anbieter erledigen das mit einem Klick.
  2. Kopieren Sie den DS-Eintrag, den Sie erhalten (Key-Tag, Algorithmus, Digest-Typ und Digest).
  3. Tragen Sie ihn in den DNSSEC-Einstellungen Ihres Domain-Registrars ein. Manche Registrare tun das automatisch, wenn sie auch Ihr DNS hosten.
  4. Warten Sie die TTL der übergeordneten Zone ab und führen Sie diese Prüfung dann erneut aus.
Wechseln Sie den DNS-Anbieter? Entfernen Sie den DS-Eintrag beim Registrar, bevor Sie die Nameserver umstellen, sonst passt der alte DS nicht zu den Schlüsseln des neuen Anbieters, und Ihre gesamte Domain wird für Nutzer validierender Resolver nicht mehr aufgelöst.

Häufig gestellte Fragen

Verschlüsselt DNSSEC das DNS?

Nein. DNSSEC beweist, dass Antworten echt sind, verbirgt sie aber nicht. Für Verschlüsselung sorgen DNS-over-HTTPS oder DNS-over-TLS.

Welchen Algorithmus soll ich verwenden?

ECDSA P-256 mit SHA-256 (Algorithmus 13) ist der moderne Standard: klein, schnell und weit unterstützt. Ed25519 (Algorithmus 15) ist ebenfalls gut, wo es unterstützt wird.

Warum nutzen manche große Websites kein DNSSEC?

Betriebsrisiko und Komplexität, besonders bei großen Setups mit mehreren Anbietern. Die Verbreitung schwankt stark je nach TLD und Anbieter.

Aktualisiert

In die Zwischenablage kopiert