DNSSEC-Check

Geben Sie eine Domain ein: Sie sehen, ob ihre Zone signiert ist, ob die Signaturkette von der übergeordneten Zone an hält und welche Algorithmen sie verwendet. Eine gebrochene Kette lässt die Domain für jeden validierenden Resolver verschwinden.

Die DNS-Abfragen gehen direkt von Ihrem Browser an öffentliche Resolver (Cloudflare, Google): Wir sehen nichts.

Was der Check betrachtet

Der DS-Eintrag: Von Ihrem Registrar in der übergeordneten Zone (.org, .de …) veröffentlicht: Er besagt „diese Zone ist signiert, mit diesem Schlüssel“. Ohne ihn wird nichts validiert, auch wenn die Zone Signaturen trägt.
Die DNSKEY-Einträge: Die öffentlichen Schlüssel der Zone: ein Key-Signing-Key (Flags 257), auf den der DS verweist, und meist ein Zone-Signing-Key (Flags 256).
Die Validierung: Dieselbe Frage wird einem validierenden Resolver zweimal gestellt, mit und ohne Validierung. Kommt die Antwort nur ohne Validierung, ist die Kette gebrochen.
Die Algorithmen: Der Signaturalgorithmus jedes Schlüssels und der Digest jedes DS. RSA/SHA-1 und SHA-1-Digests validieren noch, werden aber nicht mehr empfohlen (RFC 8624).

So lesen Sie das Ergebnis

Signiert und validiert: Ein DS in der übergeordneten Zone, passende Schlüssel, und der Resolver bestätigt die Antworten (AD-Flag). Nichts zu tun, außer es im Blick zu behalten: Ketten brechen bei Schlüsselwechseln.
Nicht signiert: Kein DS in der übergeordneten Zone. Die Domain funktioniert, aber nichts verhindert eine gefälschte DNS-Antwort unterwegs. DNSSEC wird beim DNS-Anbieter aktiviert, dann beim Registrar.
Gebrochen: Der Resolver weist die Antworten ab. Besucher hinter validierenden Resolvern (die meisten großen Provider, 1.1.1.1, 8.8.8.8) erreichen die Website nicht und können keine E-Mails zustellen. Das ist schlimmer als gar kein DNSSEC.

Fehler, auf die man stößt

Die Meldungen von Resolvern und Testwerkzeugen, wenn eine Kette nicht hält, und was zu tun ist.

SERVFAIL

Ursache. Ein validierender Resolver hat einen DS in der übergeordneten Zone gefunden, konnte die Antworten aber nicht validieren: Der DS verweist auf einen Schlüssel, den die Zone nicht mehr veröffentlicht, Signaturen sind abgelaufen, oder die Zone liegt nun bei einem Anbieter, der sie nicht signiert.

Behebung. Nach einem Wechsel des DNS-Anbieters: Entfernen Sie den DS beim Registrar, warten Sie dessen TTL ab, aktivieren Sie dann DNSSEC beim neuen Anbieter und veröffentlichen Sie den neuen DS. Andernfalls signieren Sie die Zone neu und prüfen Sie, ob der DS zum aktuellen Key-Signing-Key passt.

No DS record found at the parent

Ursache. Die Zone ist beim DNS-Anbieter signiert, aber der Registrar hat den DS nie erhalten: Die Kette endet oberhalb Ihrer Zone, und nichts wird validiert.

Behebung. Übertragen Sie den DS (Key-Tag, Algorithmus, Digest-Typ, Digest) vom DNS-Anbieter zum Registrar. Manche Anbieterpaare erledigen das für Sie (CDS/CDNSKEY).

DS algorithm does not match any DNSKEY

Ursache. Der DS in der übergeordneten Zone wurde für einen Schlüssel mit einem anderen Algorithmus erstellt, als die Zone heute veröffentlicht, meist nach einem Algorithmuswechsel oder Umzug.

Behebung. Veröffentlichen Sie beim Registrar den DS des aktuellen Key-Signing-Keys und entfernen Sie den alten, in dieser Reihenfolge und mit Zeit für die TTLs.

Fragen

Verschlüsselt DNSSEC mein DNS?

Nein. Es signiert die Antworten, damit ein Resolver prüfen kann, dass sie nicht verändert wurden; Fragen und Antworten bleiben lesbar. Die Verschlüsselung des Transports ist DNS über TLS oder HTTPS.

Ist eine nicht signierte Domain eine Schwachstelle?

Es ist ein fehlender Schutz, keine Lücke: Die Domain funktioniert, aber eine gefälschte Antwort lässt sich nicht von einer echten unterscheiden. Das wiegt schwerer, wo das DNS Sicherheitsentscheidungen trägt: MX, CAA, TLSA, die Einträge Ihrer E-Mail.

Kann das Aktivieren von DNSSEC meine Domain lahmlegen?

Ja, wenn DS und Schlüssel nicht mehr zusammenpassen. Riskant sind der Wechsel des DNS-Anbieters und der Schlüsselwechsel. Entfernen Sie den DS vor einem Umzug und prüfen Sie nach jeder Änderung.

Senden Sie etwas an Ihre Server?

Nein. Die Abfragen gehen von Ihrem Browser an öffentliche Resolver (Cloudflare, Google); wir sehen weder die Domain noch das Ergebnis.