Cek DNSSEC

RSS

Test whether a domain is protected by DNSSEC: we verify the DS record at the parent against the zone's DNSKEYs and check that validating resolvers accept its answers.

Coba: cloudflare.com, ietf.org, dnssec-failed.org (sengaja dirusak), google.com
DNSSEC tidak aktif untuk google.comDomain ini tidak ditandatangani. Domain berfungsi normal, tetapi jawabannya tidak dilindungi secara kriptografis.

Apa itu DNSSEC?

DNS dirancang tanpa cara apa pun untuk memeriksa bahwa suatu jawaban asli, sehingga serangan cache poisoning dan spoofing menjadi mungkin. DNSSEC (DNS Security Extensions) menambahkan tanda tangan digital pada record DNS. Sebuah zona mempublikasikan public key-nya sebagai record DNSKEY dan menandatangani setiap set record dengan RRSIG. Zona induk (misalnya .com) mempublikasikan record DS yang berisi hash dari key-signing key milik zona anak. Mengikuti mata rantai DS → DNSKEY → RRSIG sampai ke root menciptakan chain of trust yang dapat diverifikasi oleh resolver yang melakukan validasi. Baca panduan DNSSEC kami.

Apa yang diverifikasi oleh pengecek ini

  1. DS di zona induk: apakah registry mempublikasikan record DS untuk domain tersebut.
  2. DNSKEY di dalam zona: key yang dipublikasikan, perannya (KSK atau ZSK), dan algoritmanya.
  3. Kecocokan DS ↔ DNSKEY: kami menghitung ulang key tag dan digest setiap key sendiri dan memastikan record DS menunjuk ke key yang nyata.
  4. Validasi langsung: kami menanyakan domain tersebut ke resolver yang melakukan validasi (Cloudflare 1.1.1.1) dan memeriksa flag Authenticated Data (AD), ditambah extended DNS error apa pun yang menjelaskan kegagalan.

Cara mengaktifkan DNSSEC

  1. Aktifkan penandatanganan DNSSEC di host DNS Anda. Sebagian besar penyedia DNS besar melakukannya dengan satu klik.
  2. Salin record DS yang mereka berikan (key tag, algoritma, jenis digest, dan digest).
  3. Tambahkan di pengaturan DNSSEC registrar domain Anda. Sebagian registrar melakukannya secara otomatis ketika mereka juga menjadi host DNS Anda.
  4. Tunggu TTL zona induk, lalu jalankan pengecekan ini lagi.
Pindah penyedia DNS? Hapus record DS di registrar sebelum mengganti name server, atau DS lama tidak akan cocok dengan key penyedia baru dan seluruh domain Anda akan berhenti ter-resolve bagi pengguna resolver yang melakukan validasi.

Pertanyaan yang sering diajukan

Apakah DNSSEC mengenkripsi DNS?

Tidak. DNSSEC membuktikan bahwa jawaban itu asli tetapi tidak menyembunyikannya. Enkripsi berasal dari DNS-over-HTTPS atau DNS-over-TLS.

Algoritma mana yang sebaiknya saya pakai?

ECDSA P-256 dengan SHA-256 (algoritma 13) adalah default modern: kecil, cepat, dan didukung luas. Ed25519 (algoritma 15) juga bagus jika didukung.

Mengapa beberapa situs besar tidak memakai DNSSEC?

Risiko operasional dan kerumitan, terutama untuk konfigurasi besar dengan banyak penyedia. Tingkat adopsi sangat bervariasi menurut TLD dan penyedia.

Diperbarui

Tersalin ke clipboard