Verificador de DNSSEC

RSS

Test whether a domain is protected by DNSSEC: we verify the DS record at the parent against the zone's DNSKEYs and check that validating resolvers accept its answers.

Experimente: cloudflare.com, ietf.org, dnssec-failed.org (quebrado de propósito), google.com
O DNSSEC está ativado e válido para ietf.orgResolvedores com validação autenticam as respostas deste domínio (flag AD definida).

Registros DS (na zona pai)

Key tagAlgoritmoDigestCorresponde a uma DNSKEY
2371ECDSA P-256/SHA-256SHA-256
B1AE88AFF068DDEC3F7FF662F47D6599C741344…		Sim

Registros DNSKEY (na zona)

Key tagFunçãoAlgoritmoFlags
34505ZSKECDSA P-256/SHA-256256
2371KSKECDSA P-256/SHA-256257

O que é DNSSEC?

O DNS foi projetado sem nenhuma forma de verificar se uma resposta é genuína, o que torna possíveis ataques de envenenamento de cache e de falsificação (spoofing). O DNSSEC (DNS Security Extensions) adiciona assinaturas digitais aos registros DNS. Uma zona publica suas chaves públicas como registros DNSKEY e assina cada conjunto de registros com um RRSIG. A zona pai (por exemplo, .com) publica um registro DS com um hash da chave de assinatura de chaves da zona filha. Seguir os elos DS → DNSKEY → RRSIG até a raiz cria uma cadeia de confiança que os resolvedores com validação conseguem verificar. Leia nosso guia de DNSSEC.

O que este verificador confere

  1. DS na zona pai: se o registro de domínios (registry) publica um registro DS para o domínio.
  2. DNSKEY na zona: as chaves publicadas, suas funções (KSK ou ZSK) e algoritmos.
  3. Correspondência DS ↔ DNSKEY: recalculamos nós mesmos o key tag e o digest de cada chave e confirmamos que o registro DS aponta para uma chave real.
  4. Validação ao vivo: consultamos um resolvedor com validação (Cloudflare 1.1.1.1) sobre o domínio e conferimos o flag Authenticated Data (AD), além de qualquer erro DNS estendido que explique uma falha.

Como ativar o DNSSEC

  1. Ative a assinatura DNSSEC no seu host de DNS. A maioria dos grandes provedores de DNS faz isso com um clique.
  2. Copie o registro DS que eles fornecerem (key tag, algoritmo, tipo de digest e digest).
  3. Adicione-o nas configurações de DNSSEC do seu registrador de domínios. Alguns registradores fazem isso automaticamente quando também hospedam seu DNS.
  4. Espere o TTL da zona pai e execute esta verificação de novo.
Vai trocar de provedor de DNS? Remova o registro DS no registrador antes de trocar os servidores de nomes; caso contrário, o DS antigo não corresponderá às chaves do novo provedor e seu domínio inteiro deixará de ser resolvido para usuários de resolvedores com validação.

Perguntas frequentes

O DNSSEC criptografa o DNS?

Não. O DNSSEC comprova que as respostas são autênticas, mas não as esconde. A criptografia vem do DNS sobre HTTPS ou do DNS sobre TLS.

Qual algoritmo devo usar?

ECDSA P-256 com SHA-256 (algoritmo 13) é o padrão moderno: pequeno, rápido e amplamente compatível. O Ed25519 (algoritmo 15) também é bom onde houver suporte.

Por que alguns grandes sites não usam DNSSEC?

Risco operacional e complexidade, especialmente em configurações grandes com vários provedores. A adoção varia muito conforme o TLD e o provedor.

Atualizado

Copiado para a área de transferência