Activer DNSSEC pour votre domaine

Une protection DNS contre les réponses falsifiées. DNSSEC permet aux résolveurs validants de détecter et de rejeter les réponses DNS falsifiées. Voici comment activer la signature et vérifier la validation.

Ce que signifie ce constat

Une protection DNS contre les réponses falsifiées. DNSSEC signe les enregistrements DNS afin que les résolveurs validants puissent détecter et rejeter les réponses falsifiées. Il ne protège pas contre la compromission du compte chez le bureau d'enregistrement, les modifications DNS autorisées ni la compromission du site web. MyDomainRisk indique la présence des enregistrements de signature séparément de l'observation faite par un résolveur validant. Une validation qui n'a pas pu être observée reste non vérifiée.

Pourquoi c'est important

• Les attaques par empoisonnement du cache DNS sont réelles et ont été utilisées dans des attaques très médiatisées
• DNSSEC est de plus en plus attendu pour tout domaine qui traite des données sensibles
• C'est un prérequis pour DANE (DNS-based Authentication of Named Entities), qui ajoute une couche supplémentaire de vérification des certificats TLS
• De nombreux outils de sécurité des domaines le considèrent comme un élément utile

Activer DNSSEC, étape par étape

Activez la signature chez votre fournisseur DNS, puis publiez son enregistrement DS via votre bureau d'enregistrement pour relier les signatures à la zone parente. Certains fournisseurs gèrent les deux étapes ; suivez les instructions actuelles de votre fournisseur.

Étape 1 : activer la signature DNSSEC chez votre fournisseur DNS

Si votre DNS est géré par votre bureau d'enregistrement (par exemple GoDaddy, Namecheap, Cloudflare), il existe généralement une option DNSSEC à activer en un clic dans la section de gestion DNS ou de paramètres du domaine.

• Cloudflare: DNS → Settings → DNSSEC → Enable. Activez la signature, puis suivez les instructions pour publier l'enregistrement DS chez votre bureau d'enregistrement ; cette étape peut être automatisée pour les configurations prises en charge.
• GoDaddy: My Products → DNS → scroll to DNSSEC → Enable
• Namecheap: Domain List → Manage → Advanced DNS → DNSSEC

Étape 2 : publier l'enregistrement DS dans la zone parente

Une fois DNSSEC activé, votre fournisseur DNS génère un enregistrement DS (Delegation Signer). Il doit être publié dans la zone parente (le registre de l'extension, par exemple .com, .co.uk). Votre bureau d'enregistrement s'en charge généralement automatiquement lorsque vous activez DNSSEC. Sinon, vous devrez lui transmettre l'enregistrement DS manuellement.

Étape 3 : vérifier la chaîne de confiance

Une fois l'enregistrement DS publié, vérifiez la chaîne DNSSEC avec un résolveur validant. MyDomainRisk indique séparément les enregistrements de signature et l'observation de validation du résolveur : la seule présence des enregistrements ne prouve pas que la validation réussit.

Vérifier que cela fonctionne

Examinez séparément les résultats sur les enregistrements de signature et sur la validation par le résolveur. Si la validation n'a pas pu être vérifiée, elle reste non vérifiée ; la seule présence des enregistrements de signature n'établit pas que la chaîne est validée.