Verificare DNSSEC
Lipește un domeniu. Afli dacă este semnat, dacă lanțul se verifică până la rădăcină și — partea care contează — dacă o semnătură stricată îl face de neatins fără să se vadă.
De ce o semnătură stricată este mai rea decât lipsa semnăturii
Fără DNSSEC, un răspuns poate fi falsificat și este crezut. Cu DNSSEC care funcționează, un răspuns falsificat este aruncat. Cu DNSSEC stricat, orice rezolvator care verifică refuză să răspundă: domeniul nu pare stricat, pare dispărut. Iar dintr-un rezolvator care nu verifică pare perfect — de aceea de obicei observă un client, nu tu.
Ce nu îți spune asta
Faptul că un domeniu este semnat nu spune nimic despre cât de sigur este site-ul, dacă poșta este autentificată sau dacă certificatul este valabil: DNSSEC protejează RĂSPUNSURILE la interogările DNS, nu ceea ce se află la celălalt capăt. Iar faptul de a nu fi semnat nu este o defecțiune: majoritatea domeniilor nu sunt.
Dacă ești aici, de obicei ăsta e pasul următor
Dacă ceea ce cauți este tabloul complet al DNS-ului
Aici se privește un singur lucru, foarte de aproape. Pentru a vedea serverele de nume, MX, A, AAAA, SPF și DMARC ale unui domeniu unul lângă altul, există un alt instrument:
Întrebări frecvente
- Domeniul meu nu este semnat. Ar trebui să îl semnez?
- Doar dacă îl poți ține semnat. O semnătură care expiră sau încetează să se potrivească scoate domeniul de pe internet pentru toți cei care verifică, iar aceea este o zi mult mai rea decât lipsa ei. Dacă furnizorul tău de DNS o face dintr-un comutator și o reînnoiește singur, merită; dacă înseamnă să îți amintești să schimbi cheile de mână, nu.
- Spune că este stricată, dar mie site-ul mi se deschide.
- Exact așa arată această defecțiune. Rezolvatorul tău nu verifică și îți dă răspunsul oricum. Cele care verifică — marii furnizori — nu răspund deloc, iar pentru acei oameni domeniul pur și simplu nu există. Încearcă de pe un telefon cu date mobile și probabil vei vedea cealaltă jumătate.
- Ce este înregistrarea DS și de ce se află la registratorul meu?
- DS-ul este felul în care zona părinte spune „acest domeniu este semnat, verificați-l”. Trebuie să stea cu un nivel mai sus, adică la registratorul tău și nu în DNS-ul tău, iar acea separare este motivul pentru care starea lăsată la jumătate cea mai frecventă este o zonă semnată fără DS: toată munca și nicio protecție.