Vérification DNSSEC
Collez un domaine. Vous saurez s’il est signé, si la chaîne se vérifie jusqu’à la racine et — c’est là l’essentiel — si une signature cassée le rend injoignable sans que cela se voie.
Pourquoi une signature cassée est pire que pas de signature
Sans DNSSEC, une réponse peut être falsifiée et crue. Avec DNSSEC qui fonctionne, une réponse falsifiée est jetée. Avec DNSSEC cassé, tout résolveur qui vérifie refuse de répondre : le domaine n’a pas l’air abîmé, il a l’air disparu. Et depuis un résolveur qui ne vérifie pas, il a l’air parfait — c’est pour cela que ce sont en général vos clients qui le découvrent, pas vous.
Ce que cela ne vous dit pas
Qu’un domaine soit signé ne dit rien sur la sécurité de son site, l’authentification de son courrier ou la validité de son certificat : DNSSEC protège les RÉPONSES aux requêtes DNS, pas ce qui se trouve au bout. Et ne pas être signé n’est pas un défaut : la plupart des domaines ne le sont pas.
Si vous êtes ici, voici ce qui vient généralement ensuite
Si c’est le tableau complet du DNS que vous cherchez
Ici, une seule chose est regardée de très près. Pour voir les serveurs de noms, MX, A, AAAA, SPF et DMARC d’un domaine côte à côte, il y a un autre outil :
Questions fréquentes
- Mon domaine n’est pas signé. Faut-il le signer ?
- Seulement si vous pouvez le garder signé. Une signature qui expire ou cesse de correspondre retire le domaine d’internet pour tous ceux qui vérifient, et c’est une bien pire journée que de ne pas en avoir. Si votre hébergeur DNS le fait d’un simple bouton et le renouvelle seul, cela vaut le coup ; s’il faut penser à changer les clés à la main, non.
- Il dit cassée, mais le site s’ouvre chez moi.
- C’est exactement la forme de ce défaut. Votre résolveur ne vérifie pas et vous donne quand même la réponse. Ceux qui vérifient — la plupart des grands fournisseurs — refusent de répondre, et pour ces gens-là le domaine n’existe tout simplement pas. Essayez depuis un téléphone en données mobiles : vous verrez probablement l’autre moitié.
- Qu’est-ce qu’un enregistrement DS et pourquoi est-il chez mon registraire ?
- Le DS est la façon dont la zone parente dit « ce domaine est signé, vérifiez-le ». Il doit vivre un niveau au-dessus, donc chez votre registraire et non dans votre DNS, et c’est cette séparation qui fait que l’état inachevé le plus courant est une zone signée sans DS : tout le travail et aucune protection.