Vérificateur DNSSEC

Tapez un domaine : vous voyez si sa zone est signée, si la chaîne de signatures tient depuis la zone parente, et quels algorithmes elle utilise. Une chaîne cassée fait disparaître le domaine pour tous les résolveurs qui valident.

Les requêtes DNS vont directement de votre navigateur à des résolveurs publics (Cloudflare, Google) : nous ne voyons rien.

Ce que regarde le vérificateur

L’enregistrement DS: Publié dans la zone parente (.org, .fr…) par votre bureau d’enregistrement : il dit « cette zone est signée, avec cette clé ». Sans lui, rien n’est validé, même si la zone porte des signatures.
Les enregistrements DNSKEY: Les clés publiques de la zone : une clé de signature de clés (drapeaux 257), celle que désigne le DS, et le plus souvent une clé de signature de zone (drapeaux 256).
La validation: La même question est posée deux fois à un résolveur validant, avec et sans validation. Une réponse qui n’arrive que sans validation : la chaîne est cassée.
Les algorithmes: L’algorithme de signature de chaque clé et le condensat de chaque DS. RSA/SHA-1 et les condensats SHA-1 valident encore, mais ne sont plus recommandés (RFC 8624).

Comment lire le résultat

Signée et validée: Un DS chez le parent, des clés qui correspondent, et le résolveur confirme les réponses (drapeau AD). Rien à faire, sinon surveiller : c’est aux changements de clé que les chaînes cassent.
Non signée: Pas de DS chez le parent. Le domaine fonctionne, mais rien n’arrête une réponse DNS falsifiée en chemin. DNSSEC s’active chez votre hébergeur DNS, puis chez votre bureau d’enregistrement.
Cassée: Le résolveur refuse les réponses. Les visiteurs derrière un résolveur validant (la plupart des grands fournisseurs d’accès, 1.1.1.1, 8.8.8.8) ne peuvent plus joindre le site ni remettre de courrier. C’est pire que pas de DNSSEC du tout.

Les erreurs que l’on rencontre

Les messages que donnent les résolveurs et les outils de test quand une chaîne ne tient pas, et quoi faire.

SERVFAIL

Pourquoi. Un résolveur validant a trouvé un DS chez le parent mais n’a pas pu valider les réponses : le DS désigne une clé que la zone ne publie plus, les signatures ont expiré, ou la zone est passée chez un hébergeur qui ne la signe pas.

Correction. Si vous avez changé d’hébergeur DNS : retirez le DS chez le bureau d’enregistrement, attendez son TTL, puis activez DNSSEC chez le nouvel hébergeur et publiez le nouveau DS. Sinon, signez de nouveau la zone et vérifiez que le DS correspond à la clé de signature de clés actuelle.

No DS record found at the parent

Pourquoi. La zone est signée chez votre hébergeur DNS, mais le bureau d’enregistrement n’a jamais reçu le DS : la chaîne s’arrête au-dessus de votre zone et rien n’est validé.

Correction. Copiez le DS (identifiant de clé, algorithme, type de condensat, condensat) de votre hébergeur DNS vers votre bureau d’enregistrement. Certains couples de prestataires le font pour vous (CDS/CDNSKEY).

DS algorithm does not match any DNSKEY

Pourquoi. Le DS chez le parent a été fait pour une clé d’un autre algorithme que celles que la zone publie aujourd’hui, en général après un changement d’algorithme ou un déménagement.

Correction. Publiez chez le bureau d’enregistrement le DS de la clé de signature de clés actuelle et retirez l’ancien, dans cet ordre, en laissant passer les TTL.

Questions

DNSSEC chiffre-t-il mon DNS ?

Non. Il signe les réponses pour qu’un résolveur puisse vérifier qu’elles n’ont pas été modifiées ; questions et réponses restent lisibles. Le chiffrement du transport, c’est DNS sur TLS ou sur HTTPS.

Un domaine non signé est-il une vulnérabilité ?

C’est une protection absente, pas une faille : le domaine fonctionne, mais une réponse falsifiée ne se distingue pas d’une vraie. Cela compte davantage là où le DNS porte des décisions de sécurité : MX, CAA, TLSA, les enregistrements de votre messagerie.

Activer DNSSEC peut-il casser mon domaine ?

Oui, si le DS et les clés cessent de correspondre. Les moments à risque sont le changement d’hébergeur DNS et le changement de clé. Retirez le DS avant un déménagement, et vérifiez après chaque changement.

Envoyez-vous quelque chose à vos serveurs ?

Non. Les requêtes vont de votre navigateur à des résolveurs publics (Cloudflare, Google) ; nous ne voyons ni le domaine ni le résultat.