Prüfen Sie sofort, ob DNSSEC für eine beliebige Domain korrekt konfiguriert ist. Unser kostenloser DNSSEC-Validator überprüft die DS-Einträge bei Ihrem Registrar, die DNSKEY-Einträge auf Ihrem autoritativen Nameserver, die Gültigkeit der RRSIG-Signatur sowie die gesamte Vertrauenskette von Ihrer Domain bis zur DNS-Root.
0+
Organisationen weltweit0+
Fortune-100-Unternehmen und Regierungen0+
Länder, in denen wir tätig sindUnser DNSSEC-Checker führt sechs zentrale Validierungsprüfungen für Ihre Domain durch:
Bestätigt, dass der „Delegation Signer“-Eintrag in Ihrer übergeordneten Zone (bei Ihrem Registrar) vorhanden ist. Dies ist die entscheidende Verbindung, die Ihre signierte Zone mit der globalen Vertrauenskette verknüpft.
Stellt sicher, dass der Eintrag für den öffentlichen Schlüssel auf Ihrem autoritativen Nameserver veröffentlicht ist. Eine Zone verfügt in der Regel über zwei Schlüssel: einen Zonen-Signaturschlüssel (ZSK) für den täglichen Gebrauch und einen Schlüssel-Signaturschlüssel (KSK) zum Signieren des ZSK.
Überprüft, ob Ihre DNS-Einträge über kryptografische Signaturen verfügen und diese noch gültig sind. Abgelaufene RRSIGs führen sofort zu einem Fehlschlag der DNSSEC-Validierung.
Stellt sicher, dass der DS-Eintrag bei Ihrer Registrierungsstelle korrekt auf den DNSKEY in Ihrer Zone verweist. Eine Nichtübereinstimmung (häufig aufgrund eines unvollständigen Schlüsselwechsels) führt dazu, dass die Validierung fehlschlägt.
Erkennt veraltete oder schwache Signaturalgorithmen. Schwache Algorithmen können die Sicherheitsvorteile von DNSSEC beeinträchtigen.
Stellt sicher, dass die gesamte Kette von der DNS-Root über die TLD bis hin zu Ihrer Domain intakt ist. Eine Unterbrechung an einer beliebigen Stelle dieser Kette führt zum Fehlschlagen der gesamten Validierung.
Der Prüfer gibt einen von vier Status zurück:
Alle Prüfungen Ihrer Datensätze wurden erfolgreich bestanden.
DNSKEY ist vorhanden, aber der DS-Eintrag fehlt bei Ihrem Domain-Registrar.
Der DS-Eintrag ist vorhanden, aber der zugehörige DNSKEY fehlt.
Es konnten weder DS- noch DNSKEY-Einträge gefunden werden.
DNSSEC (Domain Name System Security Extensions) ist eine Reihe kryptografischer Erweiterungen des DNS, die es Resolvern ermöglichen, zu überprüfen, ob DNS-Antworten authentisch sind und während der Übertragung nicht manipuliert wurden. DNSSEC versieht DNS-Einträge mit digitalen Signaturen und schafft so eine Vertrauenskette von der DNS-Root-Zone bis hin zu einzelnen Domains. Dies schützt vor DNS-Cache-Poisoning- und DNS-Spoofing-Angriffen, durch die Nutzer auf bösartige Server umgeleitet werden könnten.
Wenn Sie sich eingehender mit den technischen Details von DNSSEC befassen möchten, lesen Sie unseren:
Die DNSSEC-Validierung erfolgt von oben nach unten über eine hierarchische Vertrauenskette:
Jede Ebene wird von der darüberliegenden Ebene über einen DS-Eintrag signiert und authentifiziert. Wenn diese Kette auf einer beliebigen Ebene unterbrochen wird, schlägt die Validierung fehl – selbst wenn Ihre Zone einwandfrei konfiguriert ist.
Der häufigste Fehler: Der DS-Eintrag wurde nicht bei Ihrer Registrierungsstelle eingereicht. Ihre Zone ist signiert (DNSKEY ist vorhanden), aber nicht mit der übergeordneten Zone verknüpft. Der Checker gibt den Status „Teilweise“ zurück .
So beheben Sie das Problem: Übermitteln Sie Ihren DS-Eintrag (von Ihrem DNS-Host) an Ihren Registrar. Beide Einträge müssen vorhanden sein, damit die Kette funktioniert.
DNSSEC verwendet vier primäre DNS-Eintragstypen, die alle von unserem Tool überprüft werden.
Speichert den öffentlichen Schlüssel, der zur Überprüfung von DNSSEC-Signaturen verwendet wird. Enthält den ZSK (signiert Datensätze) und den KSK (signiert den ZSK).
Enthält einen Hash des DNSKEY in der übergeordneten Zone, wodurch Ihre Domain mit der DNSSEC-Vertrauenskette verknüpft wird.
Kryptografische Signatur für jeden DNS-Eintragssatz. Muss vor Ablauf erneuert werden, um die DNSSEC-Validierung aufrechtzuerhalten.
Weist nach, dass DNS-Einträge nicht existieren (authentifizierte Existenzverneinung). NSEC3 ist die datenschutzkonforme Variante. Sie verhindert, dass Angreifer alle Namen in Ihrer Zone auflisten können.
Die Aktivierung von DNSSEC erfolgt in zwei Schritten. Für eine vollständige Validierung müssen beide Schritte abgeschlossen werden:
Aktivieren Sie die DNSSEC-Signierung bei Ihrem DNS-Hosting-Anbieter
Melden Sie sich bei Ihrem DNS-Anbieter an, aktivieren Sie die DNSSEC-Signierung für Ihre Domain und kopieren Sie den generierten DS-Eintrag. Dadurch werden Ihre DNSKEY-Einträge erstellt und die Signierung Ihrer DNS-Zone automatisch gestartet.
Reichen Sie den DS-Eintrag bei Ihrer Registrierungsstelle ein
Melden Sie sich bei Ihrem Domain-Registrar an, öffnen Sie die DNSSEC-Einstellungen und fügen Sie den in Schritt 1 generierten DS-Eintrag hinzu. Speichern Sie die Änderungen, um die DNSSEC-Vertrauenskette zu vervollständigen.
Dauer: Die DNS-Synchronisierung dauert 24 bis 48 Stunden.
Häufiger Fehler: Viele Nutzer aktivieren die DNSSEC-Signierung, vergessen jedoch, den DS-Eintrag zu veröffentlichen, wodurch die Vertrauenskette unvollständig bleibt.
Hier sind die fünf häufigsten Fehler bei der DNSSEC-Konfiguration und wie man sie behebt:
DS-Eintrag fehlt oder ist falsch konfiguriert
Ursache: Der DNSKEY ist in Ihrer Zone vorhanden (Ihre Zone ist also signiert), aber der DS-Eintrag wurde entweder nicht bei Ihrem Registrar eingereicht oder ist fehlerhaft. Die Vertrauenskette ist auf Registrar-Ebene unterbrochen.
Empfohlene Lösungen:
DNSSEC ist beim Registrar oder auf dem Nameserver nicht aktiviert
Ursache: Die DNSSEC-Signierung ist nirgendwo aktiviert. Es sind weder DNSKEY- noch DS-Einträge vorhanden.
Empfohlene Lösungen:
Abgelaufene RRSIG-Signatur
Ursache: Die Signaturen Ihrer DNS-Einträge sind abgelaufen. Dies wird in der Regel durch einen fehlgeschlagenen automatischen Schlüsselwechsel oder einen Ausfall des DNS-Hosting-Anbieters verursacht.
Empfohlene Lösungen:
DS-DNSKEY-Abweichung
Ursache: Der DS-Eintrag bei Ihrem Registrar stimmt nicht mehr mit dem DNSKEY in Ihrer Zone überein. Dies tritt in der Regel nach einem Schlüsselwechsel auf, wenn der DS-Eintrag nicht aktualisiert wurde.
Empfohlene Lösungen:
DNSSEC ist auf dem Nameserver aktiviert, nicht jedoch beim Registrar
Ursache: Ihre Zone ist signiert (DNSKEY-Einträge sind vorhanden), aber der DS-Eintrag ist bei Ihrem Registrar nicht vorhanden. Dies ist der mit Abstand häufigste Fehler bei der DNSSEC-Konfiguration.
Empfohlene Lösungen:
DNSSEC und E-Mail-Authentifizierungsstandards (DMARC, DKIM, SPF) sind sich ergänzende, aber voneinander getrennte Sicherheitsebenen.
DNSSEC sichert DNS-Abfragen, während SPF, DKIM und DMARC E-Mails schützen. Dadurch wird sichergestellt, dass die für die E-Mail-Authentifizierung verwendeten DNS-Einträge echt sind und nicht manipuliert wurden.
Ohne DNSSEC können Angreifer DNS-Antworten fälschen und Ihren DKIM-Schlüssel durch einen gefälschten ersetzen. DNSSEC verhindert dies, indem es sicherstellt, dass Mailserver den authentischen DKIM-Schlüssel aus Ihrem DNS abrufen.
DNSSEC ersetzt weder DMARC noch DKIM oder SPF. Alle drei sind weiterhin für die E-Mail-Authentifizierung erforderlich. DNSSEC dient lediglich dazu, die DNS-Infrastruktur, auf die sie sich stützen, sicherer zu machen.
Überprüfen Sie mit unserem kostenlosen Abfrage-Tool sofort, ob Ihr DMARC-Eintrag aktiv, gültig und frei von Syntaxfehlern ist.
DMARC-Prüfprogramm →Der gehostete DMARC-Dienst von PowerDMARC begleitet Sie sicher von der Überwachung bis hin zur vollständigen Durchsetzung von „p=reject“ und bietet Ihnen dabei Transparenz in Echtzeit.
Gehostetes DMARC →PowerDMARC wertet Sammelberichte automatisch aus und benachrichtigt Sie, wenn neue Absender auftreten oder Authentifizierungsprobleme auftreten.
Kostenlos starten →
Regionalleiter für Auckland, Advantage
„Unser Geschäft basiert auf Vertrauen – nicht nur zwischen uns und unseren Kunden, sondern auch mit unseren Partnern. Dank der hervorragenden Partnerschaft mit PowerDMARC können wir unseren Kunden außergewöhnliche Dienstleistungen bieten.“
dig DS yourdomain.com @8.8.8.8 über die Befehlszeile, um den DS-Eintrag manuell abzufragen.
