Ricerca Stato DNSSEC
Strumenti correlati
Di cosa si tratta
Il DNSSEC aggiunge firme crittografiche al DNS in modo che i resolver possano verificare che le risposte non siano state falsificate. Un'implementazione sana richiede tre cose contemporaneamente: la zona firmata (DNSKEY + RRSIG), il genitore che la ancora (DS presso il registrar) e la validazione che effettivamente ha successo.
Come leggere il risultato
Il controllo dello stato riporta ogni livello. "Non abilitato" è sicuro ma non protetto. "Firmato ma senza DS" significa sforzo sprecato. "Firmato + ancorato + validato" è l'obiettivo. Qualsiasi stato di disallineamento equivale di fatto a un'interruzione sui resolver che validano e richiede un'azione urgente.
Problemi comuni e come risolverli
Il dominio dà SERVFAIL per molti utenti dopo una modifica DNS
Come si manifesta: Funziona su alcune reti, è morto su altre (specialmente quelle che usano 8.8.8.8, 1.1.1.1 o i validatori degli ISP). È iniziato subito dopo aver cambiato provider DNS, nameserver o chiavi.
Come risolverlo: Quasi sempre un disallineamento DS/DNSKEY. Confronta il DS presso il registrar con la KSK attiva; correggi il lato che è obsoleto. Se hai bisogno che il sito sia subito operativo e non puoi correggere le chiavi, rimuovere il record DS de-firma il dominio (perdendo la protezione ma ripristinando la risoluzione) una volta scadute le cache.
Vuoi il DNSSEC ma il provider o il registrar non lo supporta
Come si manifesta: Nessuna opzione DNSSEC/DS da nessuna parte nei pannelli di controllo.
Come risolverlo: Entrambe le parti devono cooperare: il provider DNS firma la zona, il registrar pubblica il DS. Se una delle due non può, la soluzione pratica è spostare quella funzione su un provider che la supporta.
Le firme scadono ricorrentemente
Come si manifesta: Il dominio si rompe sui resolver che validano ogni poche settimane, poi "si aggiusta da solo" dopo un intervento.
Come risolverlo: L'automazione di rifirma è inaffidabile. Se gestisci i tuoi server DNS, pianifica e monitora la rifirma automatica (ad es. con un demone di firma anziché una firma manuale guidata da cron); su DNS gestito, escala al provider.
Approfondimenti
- Checking DNSSEC: How the Chain of Trust Works and Where It BreaksA practical guide to DNSSEC - how ZSK, KSK, DS, RRSIG and DNSKEY records form a chain of trust, why domains break, and how to check your status.
- DNS Record Types, ExplainedA practical tour of every DNS record you will actually touch — A, AAAA, CNAME, MX, TXT, SRV, CAA, the DNSSEC set and the modern HTTPS record — with syntax, gotchas and when to reach for each.
- CAA Records: Deciding Which Certificate Authorities Can Speak for Your DomainA practical guide to DNS CAA records - the issue, issuewild and iodef tags, the critical flag, how CAs climb the domain tree, and how to check yours.
Domande frequenti
- Che cos'è DNSSEC?
- DNSSEC (DNS Security Extensions) aggiunge firme crittografiche ai record DNS affinché i resolver possano verificare che le risposte siano autentiche e non manomesse. Costruisce una catena di fiducia dalla zona radice fino al tuo dominio tramite i record DS, DNSKEY e RRSIG.
- Come uso questo verificatore DNSSEC?
- Inserisci un nome di dominio ed esegui il controllo; lo strumento interroga lato server i server autoritativi e la zona superiore, poi indica se esiste una catena di fiducia DS/DNSKEY/RRSIG valida. Nulla di ciò che inserisci viene memorizzato.
- Perché DNSSEC è importante?
- Senza DNSSEC un aggressore può falsificare o avvelenare le risposte DNS per reindirizzare i visitatori a un server fasullo, senza che il resolver possa accorgersene. Un DNSSEC valido consente ai resolver che validano di rifiutare i record contraffatti, proteggendo la consegna delle email, il TLS e il traffico web.
- Come leggo il risultato e cosa faccio se fallisce?
- Un risultato valido significa che il record DS presso il tuo registrar corrisponde al DNSKEY della tua zona e che le firme sono verificate fino alla radice. In caso di errore, controlla che il tuo provider DNS abbia DNSSEC attivo e che il record DS sia stato pubblicato presso il registrar per la zona superiore.
- Qual è un tranello comune di DNSSEC?
- L'errore più frequente è una discrepanza DS/DNSKEY dopo un cambio di chiave o dopo aver cambiato provider DNS, che rende il dominio irrisolvibile per i resolver che validano. Nota anche che un dominio del tutto privo di DNSSEC è semplicemente non firmato, cosa diversa da una catena interrotta.