Dokumentacja

Włącz DNSSEC

Włącz DNSSEC

Każda wizyta na Twojej stronie i każda wiadomość do Twoich skrzynek zaczyna się od zapytania DNS. Zwykłe odpowiedzi DNS nie są podpisane, więc oszukany resolver lub sieć, w którą ktoś ingeruje, może podać inny adres IP dla example.com, a odwiedzający trafi gdzie indziej, nie widząc nic podejrzanego. DNSSEC podpisuje Twoje odpowiedzi DNS, a resolwery sprawdzające podpisy (robi to większość dużych publicznych) odrzucają zmienioną odpowiedź.

Lista kontrolna strony pokazuje niepodpisaną domenę jako informację, a nie problem: większość domen wciąż jest niepodpisana. U odpowiedniego dostawcy DNS to kilka minut pracy.

Dwa miejsca, dwa kroki

DNSSEC wymaga dwóch rzeczy, które często są w dwóch różnych miejscach:

Krok Gdzie Co się dzieje
1. Podpisanie strefy tam, gdzie hostowany jest Twój DNS (serwery nazw) dostawca DNS tworzy klucze i podpisuje każdą odpowiedź
2. Publikacja rekordu DS u rejestratora (tam, gdzie płacisz za domenę) rejestr dla .com, .si, .pl … dowiaduje się, któremu kluczowi ufać

Jeśli dostawca DNS i rejestrator to ta sama firma, oba kroki to zwykle jeden przełącznik. Jeśli są różni (DNS w Cloudflare, domena u rejestratora), kopiujesz rekord DS z pierwszego do drugiego.

Ostrzeżenie: obie połowy muszą zawsze do siebie pasować. Rekord DS u rejestratora bez podpisanego DNS albo z kluczami poprzedniego dostawcy DNS sprawia, że domena staje się nieosiągalna dla każdego, czyj resolver sprawdza podpisy: strona, poczta, wszystko. Zanim kiedykolwiek przeniesiesz domenę, przeczytaj poniższą sekcję o zmianie dostawcy DNS.

Sprawdź sam

dig +short DS example.com
dig @1.1.1.1 +dnssec example.com A

Pierwsze polecenie wypisuje rekord DS (opublikowany w rejestrze) albo nic. W wyniku drugiego linia flags: zawiera ad, gdy resolver sprawdzający podpisy je potwierdził. Naprawione oznacza linię DS z pierwszego polecenia i ad w drugim.

Pełny obraz zobaczysz, wpisując domenę na dnsviz.net: rysuje łańcuch od korzenia do Twojej domeny i zaznacza zerwane ogniwo na czerwono.

Jak to naprawić

Zacznij tam, gdzie hostowany jest DNS (dig +short NS example.com powie gdzie), a skończ u rejestratora.

Cloudflare

  1. Otwórz domenę i przejdź do DNS → Settings.
  2. W sekcji DNSSEC kliknij Enable DNSSEC.
  3. Cloudflare pokaże rekord DS: key tag, algorytm 13, typ skrótu 2 i skrót (digest). Zostaw tę stronę otwartą.
  4. Zaloguj się u rejestratora i dodaj tam rekord DS z dokładnie tymi wartościami (patrz zakładka Dostawca DNS). Niektórzy rejestratorzy proszą zamiast tego o DNSKEY (klucz publiczny, flagi 257); Cloudflare też go pokazuje.
  5. W Cloudflare status zmieni się z Pending na Success, gdy rejestr opublikuje rekord, zwykle w ciągu kilku godzin, czasem w ciągu dnia lub dwóch.

Jeśli domena jest zarejestrowana w Cloudflare Registrar, krok 4 dzieje się automatycznie.

Dostawca DNS

Jeśli rejestrator hostuje też Twój DNS (serwery nazw należą do rejestratora): w ustawieniach domeny znajdź DNSSEC i włącz go. Większość rejestratorów podpisuje strefę i publikuje rekord DS w jednym kroku.

Jeśli DNS jest hostowany gdzie indziej (Cloudflare, Twój hosting): najpierw włącz tam DNSSEC, potem dodaj rekord DS u rejestratora. W ustawieniach domeny znajdź DNSSEC lub DS records i wpisz wartości pokazane przez dostawcę DNS:

Pole Przykład
Key tag 2371
Algorithm 13 (ECDSA P-256 SHA-256)
Digest type 2 (SHA-256)
Digest 1F987CC6583E92DF0890718C42… (skopiuj dokładnie)

Większość rejestratorów obsługuje DNSSEC dla popularnych końcówek, takich jak .com, .eu, .si i .pl. Jeśli Twój nie ma opcji DNSSEC, zapytaj wsparcie; jeśli nie może dodać rekordu DS, jedyną drogą jest przeniesienie domeny do rejestratora, który to potrafi.

cPanel

To, czy cPanel może podpisać Twoją strefę, zależy od hostingu: działa, gdy serwer używa PowerDNS, a hosting to włączył.

  1. Otwórz Domains → Zone Editor.
  2. Jeśli przy domenie jest link DNSSEC, otwórz go i kliknij Create Key (zostaw proponowany algorytm, ECDSA P-256, jeśli jest dostępny).
  3. cPanel pokaże rekord DS. Dodaj go u rejestratora (patrz zakładka Dostawca DNS).

Jeśli opcji DNSSEC nie ma, hosting nie podpisuje stref na tym serwerze. Zapytaj go albo hostuj DNS tam, gdzie jest to obsługiwane (darmowy plan Cloudflare to potrafi).

Jeśli serwery nazw domeny nie należą do hostingu (na przykład Cloudflare), DNSSEC trzeba włączyć tam, a nie w cPanelu.

Plesk

Plesk podpisuje strefy przez darmowe rozszerzenie DNSSEC, które administrator serwera instaluje w Extensions.

  1. Po zainstalowaniu rozszerzenia otwórz Websites & Domains → example.com → DNSSEC.
  2. Włącz podpisywanie dla domeny, zostaw proponowany algorytm i kliknij OK.
  3. Plesk pokaże rekord DS. Dodaj go u rejestratora (patrz zakładka Dostawca DNS).

Jeśli nie widzisz opcji DNSSEC, zapytaj hosting. Jeśli domena korzysta z zewnętrznego DNS, włącz DNSSEC tam.

Zmiana dostawcy DNS przy włączonym DNSSEC

Tak domeny znikają z sieci. Klucze starego dostawcy są w rekordzie DS w rejestrze; nowy dostawca podpisuje innymi kluczami (albo wcale), a resolwery sprawdzające podpisy odrzucają każdą odpowiedź.

Bezpieczna kolejność:

  1. U rejestratora usuń rekord DS.
  2. Poczekaj, aż stary rekord DS wygaśnie z pamięci podręcznych: co najmniej jego TTL, w praktyce dzień lub dwa.
  3. Zmień serwery nazw na nowego dostawcę.
  4. Gdy nowy dostawca odpowiada, włącz u niego DNSSEC i dodaj jego nowy rekord DS u rejestratora.

Niektórzy dostawcy obsługują przeniesienie z oboma kluczami opublikowanymi jednocześnie, co eliminuje przerwę; jeśli Twój wyraźnie tego nie oferuje, trzymaj się powyższej kolejności.

Potwierdź poprawkę

Uruchom ponownie polecenia dig z sekcji Sprawdź sam, potem otwórz cel w PulseKeeper i kliknij Sprawdź teraz na zakładce Lista kontrolna. Gdy rejestr opublikuje rekord DS, pozycja w ciągu kilku minut pokaże, że domena jest podpisana.