Help & probleemoplossing
DS-record
Wat dit is
Het DS-record (Delegation Signer) leeft in de bovenliggende zone (bijv. .com) en bevat een hash van de Key Signing Key van je zone. Het koppelt je DNSSEC-sleutels aan de wereldwijde vertrouwensketen, en wordt beheerd via je registrar.
Hoe je je resultaat leest
Als je zone ondertekend is, moet er een DS bestaan en moet de key tag overeenkomen met je huidige KSK. Een DS zonder overeenkomende DNSKEY — of een DNSKEY zonder DS — zijn de twee kapotte halve toestanden waarop je moet handelen.
Veelvoorkomende problemen en hoe je ze oplost
Verouderd DS-record na het overstappen van DNS-provider
Hoe het zich uit: Het domein herleidt voor sommige gebruikers en geeft SERVFAIL voor anderen; de storingen begonnen direct na een nameserverwijziging.
Hoe je het oplost: Log in bij de registrar en verwijder het oude DS-record (of vervang het door een dat overeenkomt met de sleutels van de nieuwe provider, als de nieuwe provider de zone ondertekent). Dit is de allervaakst voorkomende DNSSEC-storing.
Zone is ondertekend maar er is nooit een DS gepubliceerd
Hoe het zich uit: DNSSEC biedt geen bescherming — validerende resolvers behandelen de zone als niet-ondertekend, al is er niets kapot.
Hoe je het oplost: Haal de DS-gegevens (key tag, algoritme, digest) op bij je DNS-provider en voer ze in bij je registrar. Veel registrarpanelen hebben hiervoor een aparte DNSSEC-sectie.
DS gebruikt een verouderde digest (SHA-1)
Hoe het zich uit: Sommige validators waarschuwen of weigeren; beveiligingsaudits markeren het.
Hoe je het oplost: Publiceer een nieuwe DS met digesttype 2 (SHA-256) en verwijder de SHA-1-variant.