Verifica immediatamente se il protocollo DNSSEC è configurato correttamente per qualsiasi dominio. Il nostro validatore DNSSEC gratuito verifica i record DS presso il tuo registrar, i record DNSKEY sul tuo server dei nomi autoritativo, la validità della firma RRSIG e l'intera catena di fiducia dal tuo dominio alla radice del DNS.
0+
Organizzazioni in tutto il mondo0+
Le aziende della Fortune 100 e le amministrazioni pubbliche0+
paesi in cui operiamoIl nostro strumento di verifica DNSSEC esegue sei controlli di convalida fondamentali sul tuo dominio:
Conferma che il record “Delegation Signer” sia presente nella zona principale (presso il proprio registrar). Si tratta del collegamento fondamentale che collega la zona firmata alla catena di fiducia globale.
Verifica che il record della chiave pubblica sia pubblicato sul proprio server dei nomi autoritativo. Una zona dispone in genere di due chiavi: una chiave di firma della zona (ZSK) per l'uso quotidiano e una chiave di firma della chiave (KSK) per la firma della ZSK.
Verifica che i record DNS contengano firme crittografiche e che queste non siano scadute. Gli RRSIG scaduti compromettono immediatamente la convalida DNSSEC.
Verifica che il record DS presso il proprio registrar faccia correttamente riferimento al DNSKEY presente nella propria zona. Un'incongruenza (spesso dovuta a un rollover della chiave incompleto) causa il fallimento della convalida.
Individua gli algoritmi di firma obsoleti o poco sicuri. Gli algoritmi poco sicuri possono compromettere i vantaggi in termini di sicurezza offerti dal protocollo DNSSEC.
Verifica che l'intera catena, dalla radice DNS attraverso il TLD fino al proprio dominio, sia intatta. Un collegamento interrotto in qualsiasi punto di questa catena comporta il fallimento dell'intera convalida.
Il programma di verifica restituisce uno dei quattro stati seguenti:
Tutti i controlli sui tuoi record hanno dato esito positivo.
Il record DNSKEY è presente, ma manca il record DS presso il tuo registrar di dominio.
Il record DS esiste, ma manca il DNSKEY corrispondente.
Non è stato possibile individuare né i record DS né quelli DNSKEY.
Il DNSSEC (Domain Name System Security Extensions) è un insieme di estensioni crittografiche del DNS che consente ai resolver di verificare che le risposte DNS siano autentiche e non siano state manomesse durante il trasferimento. Il DNSSEC aggiunge firme digitali ai record DNS e crea una catena di fiducia che parte dalla zona radice del DNS e si estende fino ai singoli domini. Ciò garantisce protezione contro gli attacchi di “cache poisoning” e di “spoofing” del DNS, che potrebbero reindirizzare gli utenti verso server dannosi.
Per approfondire i meccanismi del DNSSEC, consulta il nostro:
La convalida DNSSEC avviene dall'alto verso il basso attraverso una catena gerarchica di fiducia:
Ogni livello è firmato e autenticato dal livello superiore tramite un record DS. Se questa catena si interrompe a qualsiasi livello, anche se la zona è configurata correttamente, la convalida fallisce.
L'errore più comune: il record DS non è stato inviato al tuo registrar. La tua zona è firmata (il file DNSKEY esiste), ma non è collegata alla zona padre. Lo strumento di verifica restituisce il messaggio "Parziale".
Per risolvere il problema: invia il tuo record DS (dal tuo host DNS) al tuo registrar. Affinché la catena funzioni, entrambi gli elementi devono essere presenti.
Il protocollo DNSSEC utilizza quattro tipi principali di record DNS, tutti verificati dal nostro strumento.
Memorizza la chiave pubblica utilizzata per verificare le firme DNSSEC. Include la ZSK (che firma i record) e la KSK (che firma la ZSK).
Contiene un hash della chiave DNSKEY presente nella zona padre, che collega il tuo dominio alla catena di fiducia DNSSEC.
Firma crittografica per ogni insieme di record DNS. Deve essere rinnovata prima della scadenza per mantenere la convalida DNSSEC.
Dimostra che i record DNS non esistono (negazione autenticata dell'esistenza). NSEC3 è la variante che garantisce la tutela della privacy. Impedisce agli aggressori di enumerare tutti i nomi presenti nella zona.
L'attivazione del DNSSEC prevede due fasi. Per ottenere una convalida completa, è necessario completare entrambe le fasi:
Abilita la firma DNSSEC presso il tuo provider di hosting DNS
Accedi al tuo provider DNS, abilita la firma DNSSEC per il tuo dominio e copia il record DS generato. In questo modo verranno creati i record DNSKEY e inizierà automaticamente la firma della tua zona DNS.
Invia il DS Record al tuo Registrar
Accedi al tuo registrar di domini, apri le impostazioni DNSSEC e aggiungi il record DS generato nel Passo 1. Salva le modifiche per completare la catena di fiducia DNSSEC.
Tempi: la propagazione del DNS richiede 24-48 ore.
Errore comune: molti utenti abilitano la firma DNSSEC ma dimenticano di pubblicare il record DS, lasciando così incompleta la catena di fiducia.
Ecco i cinque errori di configurazione DNSSEC più comuni e come risolverli:
Record DS mancante o configurato in modo errato
Causa: il record DNSKEY è presente nella tua zona (quindi la tua zona è firmata), ma il record DS non è stato inviato al tuo registrar oppure non è corretto. La catena di fiducia è interrotta a livello di registrar.
Soluzioni consigliate:
DNSSEC non abilitato presso il registrar o il server dei nomi
Causa: la firma DNSSEC non è abilitata da nessuna parte. Non sono presenti né record DNSKEY né record DS.
Soluzioni consigliate:
Firma RRSIG scaduta
Causa: le firme dei record DNS hanno superato la data di scadenza. Ciò è solitamente dovuto a un errore nel rinnovo automatico delle chiavi o a un’interruzione del servizio da parte del provider di hosting DNS.
Soluzioni consigliate:
Discrepanza DS-DNSKEY
Causa: il record DS presso il tuo registrar non corrisponde più al DNSKEY presente nella tua zona. Ciò accade in genere dopo un rollover della chiave, quando il record DS non è stato aggiornato.
Soluzioni consigliate:
DNSSEC abilitato sul server dei nomi ma non presso il registrar
Causa: la tua zona è firmata (sono presenti record DNSKEY), ma il record DS non è presente presso il tuo registrar. Questo è il caso più comune di configurazione errata del protocollo DNSSEC.
Soluzioni consigliate:
Il protocollo DNSSEC e gli standard di autenticazione delle e-mail (DMARC, DKIM, SPF) sono livelli di sicurezza complementari ma distinti.
Il protocollo DNSSEC garantisce la sicurezza delle ricerche DNS, mentre SPF, DKIM e DMARC garantiscono la sicurezza della posta elettronica. Assicura che i record DNS utilizzati per l'autenticazione della posta elettronica siano autentici e non siano stati manomessi.
Senza il protocollo DNSSEC, gli hacker possono falsificare le risposte DNS e sostituire la tua chiave DKIM con una falsa. Il protocollo DNSSEC impedisce che ciò accada, garantendo che i server di posta recuperino la chiave DKIM autentica dal tuo DNS.
Il protocollo DNSSEC non sostituisce DMARC, DKIM o SPF. Tutti e tre rimangono necessari per l'autenticazione delle e-mail. Il protocollo DNSSEC si limita a rafforzare l'infrastruttura DNS su cui essi si basano.
Verifica immediatamente se il tuo record DMARC è attivo, valido e privo di errori di sintassi utilizzando il nostro strumento di ricerca gratuito.
Verifica DMARC →Il servizio DMARC in hosting di PowerDMARC ti accompagna in tutta sicurezza dal monitoraggio all'applicazione completa del parametro "p=reject", garantendoti una visibilità in tempo reale.
DMARC in hosting →PowerDMARC analizza automaticamente i report aggregati e ti avvisa quando compaiono nuovi mittenti o si verificano problemi di autenticazione.
Inizia gratis →
Responsabile regionale di Auckland, Advantage
«La nostra attività si basa sulla fiducia, non solo tra noi e i clienti, ma anche con i nostri partner. L’ottima collaborazione che abbiamo instaurato con PowerDMARC ci permette di offrire servizi eccezionali ai nostri clienti.»
dig DS yourdomain.com @8.8.8.8 dalla riga di comando per eseguire manualmente una query sul record DS.
