Vérifiez en un clin d'œil si le protocole DNSSEC est correctement configuré pour n'importe quel domaine. Notre validateur DNSSEC gratuit vérifie les enregistrements DS chez votre registraire, les enregistrements DNSKEY sur votre serveur de noms faisant autorité, la validité de la signature RRSIG, ainsi que la chaîne de confiance complète entre votre domaine et la racine DNS.
0+
Des organisations du monde entier0+
Les entreprises du classement Fortune 100 et les gouvernements0+
pays desservisNotre outil de vérification DNSSEC effectue six contrôles de validation essentiels sur votre domaine :
Confirme que l'enregistrement du signataire de la délégation existe bien dans votre zone parente (chez votre registraire). Il s'agit du maillon essentiel qui relie votre zone signée à la chaîne de confiance mondiale.
Vérifie que l'enregistrement de la clé publique est bien publié sur votre serveur de noms de référence. Une zone comporte généralement deux clés : une clé de signature de zone (ZSK) destinée à un usage quotidien et une clé de signature de clé (KSK) servant à signer la ZSK.
Vérifie que vos enregistrements DNS comportent bien des signatures cryptographiques et que celles-ci ne sont pas périmées. Les RRSIG périmés entraînent immédiatement l'échec de la validation DNSSEC.
Vérifie que l'enregistrement DS chez votre registraire fait correctement référence à l'enregistrement DNSKEY de votre zone. Une incohérence (souvent due à un renouvellement incomplet de la clé) entraîne l'échec de la validation.
Identifie les algorithmes de signature obsolètes ou peu sûrs. Les algorithmes peu sûrs peuvent compromettre les avantages du protocole DNSSEC en matière de sécurité.
Vérifie que la chaîne complète, depuis la racine DNS jusqu'à votre domaine en passant par le TLD, est intacte. Une rupture de cette chaîne, à n'importe quel niveau, entraîne l'échec de la validation dans son ensemble.
Le vérificateur renvoie l'un des quatre statuts suivants :
Toutes les vérifications ont été effectuées avec succès sur vos enregistrements.
Le DNSKEY est présent, mais l'enregistrement DS est manquant chez votre registraire de domaine.
L'enregistrement DS existe, mais la clé DNSKEY correspondante est manquante.
Aucun enregistrement DS ni DNSKEY n'a pu être trouvé.
Le DNSSEC (Domain Name System Security Extensions) est un ensemble d'extensions cryptographiques du DNS qui permet aux résolveurs de vérifier que les réponses DNS sont authentiques et n'ont pas été altérées pendant leur transit. Le DNSSEC ajoute des signatures numériques aux enregistrements DNS et crée une chaîne de confiance allant de la zone racine du DNS jusqu'aux domaines individuels. Cela permet de se protéger contre les attaques par empoisonnement du cache DNS et par usurpation d'adresse DNS, qui pourraient rediriger les utilisateurs vers des serveurs malveillants.
Pour en savoir plus sur le fonctionnement du protocole DNSSEC, consultez notre :
La validation DNSSEC s'effectue de haut en bas, selon une chaîne de confiance hiérarchique :
Chaque niveau est signé et authentifié par le niveau supérieur au moyen d'un enregistrement DS. Si cette chaîne est rompue à n'importe quel niveau, même si votre zone est parfaitement configurée, la validation échoue.
Problème le plus courant : l'enregistrement DS n'a pas été transmis à votre registraire. Votre zone est signée (le fichier DNSKEY existe), mais elle n'est pas liée à la zone parente. L'outil de vérification affiche le message « Partiel ».
Pour résoudre ce problème : envoyez votre enregistrement DS (provenant de votre hébergeur DNS) à votre registraire. Ces deux éléments doivent exister pour que la chaîne fonctionne.
Le protocole DNSSEC utilise quatre types principaux d'enregistrements DNS, que notre outil valide tous.
Stocke la clé publique utilisée pour vérifier les signatures DNSSEC. Comprend la clé ZSK (qui signe les enregistrements) et la clé KSK (qui signe la clé ZSK).
Contient un hachage de la clé DNSKEY de la zone parente, reliant ainsi votre domaine à la chaîne de confiance DNSSEC.
Signature cryptographique pour chaque ensemble d'enregistrements DNS. Doit être renouvelée avant son expiration afin de maintenir la validation DNSSEC.
Prouve que les enregistrements DNS n'existent pas (déni d'existence authentifié). NSEC3 est la variante garantissant la confidentialité. Elle empêche les attaquants de répertorier tous les noms de votre zone.
L'activation du protocole DNSSEC se déroule en deux étapes. Ces deux étapes doivent être effectuées pour permettre une validation complète :
Activer la signature DNSSEC auprès de votre hébergeur DNS
Connectez-vous à votre fournisseur DNS, activez la signature DNSSEC pour votre domaine, puis copiez l'enregistrement DS généré. Cela permet de créer vos enregistrements DNSKEY et de lancer automatiquement la signature de votre zone DNS.
Envoyez le dossier DS à votre service des inscriptions
Connectez-vous à votre registraire de domaine, ouvrez les paramètres DNSSEC, puis ajoutez l'enregistrement DS généré à l'étape 1. Enregistrez les modifications pour finaliser la chaîne de confiance DNSSEC.
Délai : la propagation DNS prend entre 24 et 48 heures.
Piège courant : de nombreux utilisateurs activent la signature DNSSEC mais oublient de publier l'enregistrement DS, ce qui rend la chaîne de confiance incomplète.
Voici les cinq erreurs de configuration DNSSEC les plus courantes et comment y remédier :
Enregistrement DS manquant ou mal configuré
Cause : La clé DNSKEY est présente dans votre zone (votre zone est donc signée), mais l'enregistrement DS n'a pas été transmis à votre registraire, ou bien il est incorrect. La chaîne de confiance est rompue au niveau du registraire.
Solutions recommandées :
DNSSEC n'est pas activé chez le registraire ou sur le serveur de noms
Cause : la signature DNSSEC n'est activée nulle part. Il n'existe ni enregistrements DNSKEY ni enregistrements DS.
Solutions recommandées :
Signature RRSIG périmée
Cause : les signatures de vos enregistrements DNS ont dépassé leur date d'expiration. Cela est généralement dû à l'échec du renouvellement automatique des clés ou à une panne chez votre hébergeur DNS.
Solutions recommandées :
Incohérence DS-DNSKEY
Cause : l'enregistrement DS chez votre fournisseur d'enregistrement ne correspond plus à la clé DNSKEY de votre zone. Cela se produit généralement après un renouvellement de clé, lorsque l'enregistrement DS n'a pas été mis à jour.
Solutions recommandées :
DNSSEC activé sur le serveur de noms, mais pas chez le registraire
Cause : votre zone est signée (les enregistrements DNSKEY sont présents), mais l'enregistrement DS n'est pas présent chez votre registraire. Il s'agit de l'erreur de configuration DNSSEC la plus courante.
Solutions recommandées :
Le protocole DNSSEC et les normes d'authentification des e-mails (DMARC, DKIM, SPF) constituent des niveaux de sécurité complémentaires mais distincts.
Le protocole DNSSEC sécurise les requêtes DNS, tandis que SPF, DKIM et DMARC sécurisent la messagerie électronique. Il garantit que les enregistrements DNS utilisés pour l'authentification des e-mails sont authentiques et n'ont pas été altérés.
Sans DNSSEC, les pirates peuvent falsifier les réponses DNS et remplacer votre clé DKIM par une fausse. Le protocole DNSSEC empêche cela en garantissant que les serveurs de messagerie récupèrent la clé DKIM authentique à partir de votre DNS.
Le protocole DNSSEC ne remplace ni le DMARC, ni le DKIM, ni SPF. Ces trois protocoles restent indispensables à l'authentification des e-mails. Le DNSSEC ne fait que renforcer la sécurité de l'infrastructure DNS sur laquelle ils s'appuient.
Vérifiez immédiatement si votre enregistrement DMARC est actif, valide et exempt d'erreurs de syntaxe grâce à notre outil de recherche gratuit.
Vérificateur DMARC →Le service DMARC hébergé de PowerDMARC vous accompagne en toute sécurité, de la surveillance à l'application stricte de la règle « p=reject », tout en vous offrant une visibilité en temps réel.
DMARC hébergé →PowerDMARC analyse automatiquement les rapports agrégés et vous alerte dès l'apparition de nouveaux expéditeurs ou en cas de problèmes d'authentification.
Commencer gratuitement →
Responsable régional d'Auckland, Advantage
« Notre activité repose sur la confiance, non seulement entre nous et nos clients, mais aussi avec nos partenaires. L'excellente collaboration que nous entretenons avec PowerDMARC nous permet d'offrir des services exceptionnels à nos clients. »
dig DS yourdomain.com @8.8.8.8 à partir de la ligne de commande pour interroger manuellement l'enregistrement DS.
