DNSSEC: wat het is en hoe je het aanzet

DNSSEC zet een digitale handtekening op de DNS-records van je domein. Daarmee kunnen resolvers controleren dat een antwoord echt van jouw nameservers komt en onderweg niet is vervalst. In Nederland is DNSSEC wijdverbreid: .nl hoort bij de extensies met de meeste ondertekende domeinen.

Controleer je website direct

Waartegen DNSSEC beschermt

Zonder DNSSEC kan een resolver niet controleren of een DNS-antwoord klopt. Een aanvaller kan dan een vervalst antwoord laten onthouden (DNS-spoofing of cache poisoning), waardoor bezoekers op een andere server belanden of e-mail ergens anders aankomt, terwijl ze gewoon je domeinnaam hebben ingetypt.

Met DNSSEC ondertekenen je nameservers elk antwoord. Resolvers die DNSSEC controleren, zoals die van veel Nederlandse internetproviders, weigeren een antwoord waarvan de handtekening niet klopt.

Hoe het werkt

De handtekeningen vormen een keten. Je DNS-beheerder ondertekent je records met een sleutel, en een DS-record bij de registry van de extensie (zoals SIDN voor .nl) verwijst naar die sleutel. De registry is op zijn beurt ondertekend vanuit de root van DNS. Zo kan een resolver de keten van boven naar beneden controleren.

DNSSEC aanzetten

Meestal zet je DNSSEC aan bij je registrar of DNS-beheerder, vaak met één instelling. Die ondertekent dan je records en geeft het DS-record door aan de registry. Staan je DNS en je domeinregistratie bij verschillende partijen, dan moet je het DS-record soms zelf bij je registrar invoeren.

Bij veel Nederlandse hostingpartijen staat DNSSEC voor .nl-domeinen al standaard aan.

Let op bij een verhuizing

Verhuis je je DNS naar een andere partij terwijl het oude DS-record nog bij de registry staat, dan kloppen de handtekeningen niet meer bij de nieuwe nameservers. Resolvers die DNSSEC controleren, kunnen je domein dan niet meer opvragen: website en e-mail werken voor een groot deel van de bezoekers niet.

Zet DNSSEC daarom uit vóór een verhuizing en wacht tot het DS-record is verdwenen, of laat de oude en nieuwe partij de overdracht samen regelen. Zet DNSSEC daarna bij de nieuwe partij weer aan.

DNSSEC versleutelt niets: iedereen kan je DNS-records nog steeds lezen. Het bewijst alleen dat ze echt zijn.

Zelf DNSSEC controleren

Met dig zie je of een domein een DS-record heeft en of een validerende resolver het antwoord als echt beschouwt. Staat ad (authenticated data) bij de flags, dan klopt de handtekening.

Terminal

dig +short example.nl DS
dig +dnssec example.nl A @1.1.1.1

Hoe SteadyHost DNSSEC beoordeelt

In orde: DNSSEC staat aan en de handtekeningen kloppen.
Aandachtspunt: DNSSEC staat niet aan.
Probleem: DNSSEC staat aan, maar de handtekeningen kloppen niet. Resolvers die DNSSEC controleren, kunnen het domein dan niet opvragen.
Deze controle telt niet mee in de score.

Controleer je eigen website

Een gratis controle laat in enkele seconden zien hoe je website ervoor staat: bereikbaarheid, HTTPS en TLS, het SSL-certificaat, security headers, DNS en DNSSEC, de domeinregistratie en e-mailbeveiliging.