Cek DNSSEC

RSS

Test whether a domain is protected by DNSSEC: we verify the DS record at the parent against the zone's DNSKEYs and check that validating resolvers accept its answers.

Coba: cloudflare.com, ietf.org, dnssec-failed.org (sengaja dirusak), google.com
DNSSEC rusak untuk dnssec-failed.orgValidasi gagal, sehingga pengguna resolver yang memvalidasi (seperti 1.1.1.1 dan 8.8.8.8) sama sekali tidak dapat me-resolve domain ini.
Diagnostik resolver: EDE(9): DNSKEY Missing no SEP matching the DS found for dnssec-failed.org.

Record DS (di zona induk)

Key tagAlgoritmaDigestCocok dengan DNSKEY
42069ECDSA P-256/SHA-256SHA-256
62726F6B656E20636861696E206F66207472757…		Tidak

Record DNSKEY (di dalam zona)

Key tagPeranAlgoritmaFlag
50719KSKECDSA P-256/SHA-256257
32784ZSKECDSA P-256/SHA-256256

Apa itu DNSSEC?

DNS dirancang tanpa cara apa pun untuk memeriksa bahwa suatu jawaban asli, sehingga serangan cache poisoning dan spoofing menjadi mungkin. DNSSEC (DNS Security Extensions) menambahkan tanda tangan digital pada record DNS. Sebuah zona mempublikasikan public key-nya sebagai record DNSKEY dan menandatangani setiap set record dengan RRSIG. Zona induk (misalnya .com) mempublikasikan record DS yang berisi hash dari key-signing key milik zona anak. Mengikuti mata rantai DS → DNSKEY → RRSIG sampai ke root menciptakan chain of trust yang dapat diverifikasi oleh resolver yang melakukan validasi. Baca panduan DNSSEC kami.

Apa yang diverifikasi oleh pengecek ini

  1. DS di zona induk: apakah registry mempublikasikan record DS untuk domain tersebut.
  2. DNSKEY di dalam zona: key yang dipublikasikan, perannya (KSK atau ZSK), dan algoritmanya.
  3. Kecocokan DS ↔ DNSKEY: kami menghitung ulang key tag dan digest setiap key sendiri dan memastikan record DS menunjuk ke key yang nyata.
  4. Validasi langsung: kami menanyakan domain tersebut ke resolver yang melakukan validasi (Cloudflare 1.1.1.1) dan memeriksa flag Authenticated Data (AD), ditambah extended DNS error apa pun yang menjelaskan kegagalan.

Cara mengaktifkan DNSSEC

  1. Aktifkan penandatanganan DNSSEC di host DNS Anda. Sebagian besar penyedia DNS besar melakukannya dengan satu klik.
  2. Salin record DS yang mereka berikan (key tag, algoritma, jenis digest, dan digest).
  3. Tambahkan di pengaturan DNSSEC registrar domain Anda. Sebagian registrar melakukannya secara otomatis ketika mereka juga menjadi host DNS Anda.
  4. Tunggu TTL zona induk, lalu jalankan pengecekan ini lagi.
Pindah penyedia DNS? Hapus record DS di registrar sebelum mengganti name server, atau DS lama tidak akan cocok dengan key penyedia baru dan seluruh domain Anda akan berhenti ter-resolve bagi pengguna resolver yang melakukan validasi.

Pertanyaan yang sering diajukan

Apakah DNSSEC mengenkripsi DNS?

Tidak. DNSSEC membuktikan bahwa jawaban itu asli tetapi tidak menyembunyikannya. Enkripsi berasal dari DNS-over-HTTPS atau DNS-over-TLS.

Algoritma mana yang sebaiknya saya pakai?

ECDSA P-256 dengan SHA-256 (algoritma 13) adalah default modern: kecil, cepat, dan didukung luas. Ed25519 (algoritma 15) juga bagus jika didukung.

Mengapa beberapa situs besar tidak memakai DNSSEC?

Risiko operasional dan kerumitan, terutama untuk konfigurasi besar dengan banyak penyedia. Tingkat adopsi sangat bervariasi menurut TLD dan penyedia.

Diperbarui

Komentar

Belum ada penilaian

Masuk untuk menilai alat ini.

Bagikan tips, ajukan pertanyaan, atau ceritakan pengalaman Anda memakai alat ini.

Belum ada komentar. Jadilah yang pertama bercerita.

Tersalin ke clipboard