Controleer direct of DNSSEC voor elk domein correct is geconfigureerd. Onze gratis DNSSEC-validator controleert de DS-records bij uw registrar, de DNSKEY-records op uw gezaghebbende naamserver, de geldigheid van de RRSIG-handtekening en de volledige vertrouwensketen van uw domein tot aan de DNS-root.
0+
Organisaties wereldwijd0+
Fortune 100-bedrijven en overheden0+
landen waar wij actief zijnOnze DNSSEC-checker voert zes essentiële validatiecontroles uit op uw domein:
Bevestigt dat het record van de delegatieondertekenaar in uw bovenliggende zone (bij uw registrar) bestaat. Dit is de cruciale schakel die uw ondertekende zone verbindt met de wereldwijde vertrouwensketen.
Controleert of het record van de openbare sleutel is gepubliceerd op uw gezaghebbende naamserver. Een zone heeft doorgaans twee sleutels: een Zone Signing Key (ZSK) voor dagelijks gebruik en een Key Signing Key (KSK) voor het ondertekenen van de ZSK.
Controleert of er cryptografische handtekeningen op uw DNS-records staan en of deze nog geldig zijn. Verlopen RRSIG’s zorgen ervoor dat de DNSSEC-validatie onmiddellijk mislukt.
Controleert of het DS-record bij uw registrar correct verwijst naar de DNSKEY in uw zone. Een afwijking (vaak als gevolg van een onvolledige sleutelvernieuwing) zorgt ervoor dat de validatie mislukt.
Detecteert verouderde of zwakke ondertekeningsalgoritmen. Zwakke algoritmen kunnen de beveiligingsvoordelen van DNSSEC in gevaar brengen.
Controleert of de volledige keten, van de DNS-root via het TLD tot aan uw domein, intact is. Als er ergens in deze keten een onderbreking zit, mislukt de volledige validatie.
De checker geeft een van de vier statussen weer:
Alle controles op uw gegevens zijn succesvol doorlopen.
DNSKEY is aanwezig, maar het DS-record ontbreekt bij uw domeinregistrar.
Er is een DS-record aanwezig, maar de bijbehorende DNSKEY ontbreekt.
Er konden noch DS- noch DNSKEY-records worden gevonden.
DNSSEC (Domain Name System Security Extensions) is een reeks cryptografische uitbreidingen op het DNS waarmee resolvers kunnen controleren of DNS-antwoorden authentiek zijn en tijdens de overdracht niet zijn gemanipuleerd. DNSSEC voegt digitale handtekeningen toe aan DNS-records en creëert een vertrouwensketen vanaf de DNS-rootzone tot aan individuele domeinen. Dit biedt bescherming tegen DNS-cachepoisoning en DNS-spoofing-aanvallen, waardoor gebruikers naar kwaadaardige servers zouden kunnen worden omgeleid.
Voor meer informatie over de werking van DNSSEC kun je onze:
DNSSEC-validatie verloopt van boven naar beneden via een hiërarchische vertrouwensketen:
Elk niveau wordt door het bovenliggende niveau ondertekend en geauthenticeerd via een DS-record. Als deze keten op welk niveau dan ook wordt onderbroken, mislukt de validatie, zelfs als je zone perfect is geconfigureerd.
De meest voorkomende fout: het DS-record is niet ingediend bij je registrar. Je zone is ondertekend (DNSKEY is aanwezig), maar is niet gekoppeld aan de bovenliggende zone. De checker geeft de status ‘Gedeeltelijk’ weer.
Oplossing: Dien je DS-record (van je DNS-host) in bij je registrar. Beide onderdelen moeten aanwezig zijn om de keten te laten werken.
DNSSEC maakt gebruik van vier primaire soorten DNS-records, die allemaal door onze tool worden gecontroleerd.
Slaat de openbare sleutel op die wordt gebruikt om DNSSEC-handtekeningen te verifiëren. Bevat de ZSK (ondertekent records) en de KSK (ondertekent de ZSK).
Bevat een hash van de DNSKEY in de bovenliggende zone, waardoor uw domein wordt gekoppeld aan de DNSSEC-vertrouwensketen.
Cryptografische handtekening voor elke set DNS-records. Moet vóór het verstrijken van de geldigheidsduur worden vernieuwd om de DNSSEC-validatie te behouden.
Bewijst dat DNS-records niet bestaan (geauthenticeerde ontkenning van het bestaan). NSEC3 is de variant die de privacy waarborgt. Deze voorkomt dat aanvallers alle namen in uw zone kunnen inventariseren.
Het inschakelen van DNSSEC verloopt in twee stappen. Beide stappen moeten worden doorlopen om volledige validatie te verkrijgen:
Schakel DNSSEC-ondertekening in bij uw DNS-hostingprovider
Log in bij je DNS-provider, schakel DNSSEC-ondertekening voor je domein in en kopieer het gegenereerde DS-record. Hierdoor worden je DNSKEY-records aangemaakt en wordt je DNS-zone automatisch ondertekend.
Dien het DS-record in bij uw registrar
Log in bij uw domeinregistrar, open de DNSSEC-instellingen en voeg het DS-record toe dat in stap 1 is gegenereerd. Sla de wijzigingen op om de DNSSEC-vertrouwensketen te voltooien.
Tijdsduur: De DNS-verspreiding duurt 24 tot 48 uur.
Veelvoorkomende valkuil: Veel gebruikers schakelen DNSSEC-ondertekening in, maar vergeten het DS-record te publiceren, waardoor de vertrouwensketen onvolledig blijft.
Dit zijn de vijf meest voorkomende fouten bij de configuratie van DNSSEC en hoe je deze kunt oplossen:
DS-record ontbreekt of is verkeerd geconfigureerd
Oorzaak: De DNSKEY is aanwezig in uw zone (uw zone is dus ondertekend), maar het DS-record is niet bij uw registrar ingediend of is onjuist. De vertrouwensketen is op het niveau van de registrar onderbroken.
Aanbevolen oplossingen:
DNSSEC is niet ingeschakeld bij de registrar of de naamserver
Oorzaak: DNSSEC-ondertekening is nergens ingeschakeld. Er zijn geen DNSKEY- noch DS-records aanwezig.
Aanbevolen oplossingen:
Verlopen RRSIG-handtekening
Oorzaak: De handtekeningen op uw DNS-records zijn verlopen. Dit wordt meestal veroorzaakt door een mislukte automatische sleutelvernieuwing of een storing bij uw DNS-hostingprovider.
Aanbevolen oplossingen:
DS-DNSKEY-conflict
Oorzaak: Het DS-record bij uw registrar komt niet meer overeen met de DNSKEY in uw zone. Dit gebeurt meestal na een sleutelvernieuwing, wanneer het DS-record niet is bijgewerkt.
Aanbevolen oplossingen:
DNSSEC is ingeschakeld op de naamserver, maar niet bij de registrar
Oorzaak: Uw zone is ondertekend (er zijn DNSKEY-records aanwezig), maar het DS-record is niet bij uw registrar aanwezig. Dit is veruit de meest voorkomende fout bij de configuratie van DNSSEC.
Aanbevolen oplossingen:
DNSSEC en de standaarden voor e-mailverificatie (DMARC, DKIM, SPF) vormen complementaire maar afzonderlijke beveiligingslagen.
DNSSEC beveiligt DNS-opzoekingen, terwijl SPF, DKIM en DMARC e-mail beveiligen. Het zorgt ervoor dat de DNS-records die voor e-mailverificatie worden gebruikt, authentiek zijn en niet zijn gemanipuleerd.
Zonder DNSSEC kunnen aanvallers DNS-antwoorden vervalsen en uw DKIM-sleutel vervangen door een valse. DNSSEC voorkomt dit door ervoor te zorgen dat e-mailservers de authentieke DKIM-sleutel uit uw DNS ophalen.
DNSSEC is geen vervanging voor DMARC, DKIM of SPF. Deze drie zijn nog steeds nodig voor e-mailverificatie. DNSSEC zorgt er alleen voor dat de DNS-infrastructuur waarop ze steunen, beter beveiligd is.
Controleer direct of uw DMARC-record actief, geldig en vrij van syntaxfouten is met behulp van onze gratis opzoektool.
DMARC-checker →De gehoste DMARC-oplossing van PowerDMARC begeleidt u veilig van monitoring tot volledige handhaving van de `p=reject`-instelling, met realtime inzicht.
Hosted DMARC →PowerDMARC analyseert automatisch geaggregeerde rapporten en waarschuwt u wanneer er nieuwe afzenders opduiken of er authenticatieproblemen optreden.
Gratis beginnen →
Regiomanager Auckland, Advantage
“Onze bedrijfsvoering is gebaseerd op vertrouwen, niet alleen tussen ons en onze klanten, maar ook met onze partners. Dankzij de uitstekende samenwerking met PowerDMARC kunnen we onze klanten uitzonderlijke diensten bieden.”
dig DS yourdomain.com @8.8.8.8 vanaf de opdrachtregel om handmatig het DS-record op te vragen.
