Qu'est-ce que DNSSEC ?
Le DNS a été conçu sans aucun moyen de vérifier qu'une réponse est authentique, ce qui rend possibles les attaques par empoisonnement de cache et par usurpation. DNSSEC (DNS Security Extensions) ajoute des signatures numériques aux enregistrements DNS. Une zone publie ses clés publiques sous forme d'enregistrements DNSKEY et signe chaque jeu d'enregistrements avec un RRSIG. La zone parente (par exemple .com) publie un enregistrement DS contenant un hash de la clé de signature de clés de la zone enfant. En suivant les liens DS → DNSKEY → RRSIG jusqu'à la racine, on obtient une chaîne de confiance que les résolveurs validants peuvent vérifier. Lisez notre guide DNSSEC.
Ce que ce vérificateur contrôle
- DS dans la zone parente : si le registre publie un enregistrement DS pour le domaine.
- DNSKEY dans la zone : les clés publiées, leur rôle (KSK ou ZSK) et leurs algorithmes.
- Correspondance DS ↔ DNSKEY : nous recalculons nous-mêmes le key tag et le condensat de chaque clé et confirmons que l'enregistrement DS pointe vers une clé réelle.
- Validation en direct : nous interrogeons un résolveur validant (Cloudflare 1.1.1.1) pour le domaine et vérifions le drapeau Authenticated Data (AD), ainsi que toute erreur DNS étendue qui explique un échec.
Comment activer DNSSEC
- Activez la signature DNSSEC chez votre hébergeur DNS. La plupart des grands fournisseurs DNS le font en un clic.
- Copiez l'enregistrement DS qu'ils vous donnent (key tag, algorithme, type de condensat et condensat).
- Ajoutez-le dans les paramètres DNSSEC de votre bureau d'enregistrement. Certains bureaux d'enregistrement le font automatiquement quand ils hébergent aussi votre DNS.
- Attendez la fin du TTL de la zone parente, puis relancez cette vérification.
Questions fréquentes
DNSSEC chiffre-t-il le DNS ?
Non. DNSSEC prouve que les réponses sont authentiques, mais ne les cache pas. Le chiffrement vient de DNS-over-HTTPS ou de DNS-over-TLS.
Quel algorithme dois-je utiliser ?
ECDSA P-256 avec SHA-256 (algorithme 13) est le choix moderne par défaut : compact, rapide et largement pris en charge. Ed25519 (algorithme 15) est aussi un bon choix là où il est pris en charge.
Pourquoi certains grands sites n'utilisent-ils pas DNSSEC ?
À cause du risque opérationnel et de la complexité, surtout dans les configurations vastes à plusieurs fournisseurs. L'adoption varie beaucoup selon le TLD et le fournisseur.
Mis à jour