الجواب السريع
كيف تفعّل DNSSEC على نطاقك؟
فعّل DNSSEC على مرحلتين: وقّع المنطقة لدى مزوّد DNS، فيُنتج ذلك سجل DS، ثم انشر سجل DS لدى المسجّل. Wardmint: يتضمن DNS المجاني لديه DNSSEC مُدارا دون رسوم إضافية حيثما يقبل سجل الامتداد سجلات DS. ويكشف DNSSEC الإجابات المزوّرة، لكنه لا يحمي حسابا تم الاستيلاء عليه.
السجلات الأربعة لـ DNSSEC ومن ينشرها
| السجل | ما يحتويه | مكانه | من ينشره |
|---|---|---|---|
| DNSKEY | المفتاح العام الذي يتحقق من توقيعاتك | في منطقتك | مزوّد DNS الخاص بك |
| RRSIG | توقيع على كل مجموعة سجلات | في منطقتك، بجوار السجلات | مزوّد DNS الخاص بك |
| DS | بصمة مفتاح توقيع المفاتيح (KSK) | في المنطقة الأب، مثل .com | السجل، من البيانات التي يرسلها المسجّل |
| CDS وCDNSKEY | رغبتك في إضافة سجل DS أو تغييره | في منطقتك | مزوّد DNS الخاص بك، حيث يقرأها السجل (RFC 7344) |
ماذا يفعل DNSSEC لمشروع عملات مشفرة؟
يضيف DNSSEC توقيعا رقميا إلى إجابات DNS، فيستطيع المحلل أن يرفض البيانات التي زوّرها أحد. وهو مجموعة من البروتوكولات معرّفة في RFC 4033 وRFC 4034 وRFC 4035 ومحدّثة بـ RFC 6840، ويسمّيه IETF أفضل الممارسات الحالية لمصادقة أصل بيانات DNS في RFC 9364.
بالنسبة إلى مشروع، يغلق هذا مسارا واحدا للهجوم. فالمهاجم الذي يعبث بالإجابات بين محلل المستخدم وخوادم أسمائك لا يستطيع إنتاج توقيعات صالحة، فيعيد المحلل المصادَق خطأ بدل عنوان المهاجم. فيُرسل المستخدم إلى لا مكان بدلا من أداة سحب.
والحد مهم بقدر الفائدة. فـ DNSSEC لا يوقف شخصا يسجّل الدخول إلى مسجّلك، لأن ذلك الشخص يستطيع تغيير خوادم أسمائك أو استبدال سجل DS. وقد وُصف اختطاف Curve Finance عام 2022 و2025 وGalxe عام 2023 بأنه على مستوى المسجّل أو الحساب، ولذلك يبدأ كيف تؤمّن نطاقك ضد اختطاف DNS بالحساب، ويعامل DNSSEC بوصفه طبقة واحدة.
كيف تعمل سلسلة الثقة؟
تربط سلسلة الثقة منطقتك بالجذر عبر سجلات DS، أبا بعد أب. تضمن منطقة الجذر .com، ويضمن .com نطاقك عبر سجل DS، وتضمن منطقتك سجلاتها الخاصة بتوقيعات RRSIG.
لمنطقتك نوعان من المفاتيح. مفتاح توقيع المنطقة (ZSK) يوقّع مجموعات السجلات؛ ومفتاح توقيع المفاتيح (KSK) يوقّع مجموعة المفاتيح، وهو المفتاح الذي يشير إليه سجل DS. ويحتوي سجل DS على معرّف المفتاح (key tag) ورقم الخوارزمية ونوع الملخّص وملخّص مفتاح توقيع المفاتيح. فإن لم يطابق سجل DS لدى السجل أي مفتاح في منطقتك، تعامل المحللات المتحقِّقة النطاق على أنه معطل وتعيد SERVFAIL.
هذا أكثر أعطال DNSSEC شيوعا، وهو يضر بالتوفر لا بالأمان: يتوقف الموقع عن العمل أمام المستخدمين خلف محللات متحقِّقة. والترتيب مهم، ولهذا تنشر الخطوات أدناه المنطقة الموقّعة أولا ثم سجل DS.
ما إعداد DNS لديك؟
يعتمد مسارك على من يخدم المنطقة: DNS الخاص بـ Wardmint، أو مزوّد خارجي. يتضمن DNS المجاني لدى Wardmint DNS مجاني مع سجلات A وAAAA وCNAME وALIAS وMX وTXT وNS وSRV وCAA، وDNSSEC مُدار، وخوادم أسماء خاصة بك إن فضّلت (من 2 إلى 13).
إن كانت المنطقة لدى DNS الخاص بـ Wardmint، فإن DNSSEC مُدار: تُولَّد المفاتيح وتُدوّر لك، وتفعّله للنطاق في منطقة العميل. وإن كانت المنطقة لدى مزوّد DNS خارجي، فذلك المزوّد يوقّعها ويعرض عليك سجل DS أو بيانات المفتاح؛ وتعطي بيانات DS لمن يحتفظ بالتسجيل. وبالنسبة إلى نطاق سُجّل لدى Wardmint، أرسله عبر منطقة العميل أو اطلب من الدعم: رد على البريد الإلكتروني خلال 12 ساعة، 7 أيام في الأسبوع، بما في ذلك المساعدة في DNSSEC وسجلات CAA وبلاغات الإساءة.
وفق مسح Wardmint بتاريخ 12 نوفمبر 2026، تحمل الامتدادات الـ 29 كلها في قائمة أسعاره سعر خصوصية WHOIS يساوي $0، ولا يضيف DNSSEC المُدار المرافق لاستضافة DNS أي رسوم، ويبقى .com بسعر 12.49 US$/سنة سواء كان موقّعا أم لا. تحقق من أن الامتداد يدعم DNSSEC لدى سجله قبل أن تبدأ؛ وتذكر وثائق المسجّل أو السجل ذلك.
كيف تفعّل DNSSEC في ست خطوات
تأكد من الجهة التي تخدم المنطقة
شغّل dig NS example.com +short ودوّن المزوّد الذي يجيب. التوقيع يجري هناك.
تحقق من وجود سجل DS
شغّل dig DS example.com +short. إن كان هناك سجل من إعداد سابق، فأزله قبل أن تغيّر المزوّد.
فعّل التوقيع
فعّل DNSSEC المُدار لدى مزوّد DNS الخاص بك أو في منطقة العميل. يُنشئ المزوّد المفاتيح ويوقّع المنطقة.
انسخ سجل DS
انسخ معرّف المفتاح والخوارزمية ونوع الملخّص والملخّص الذي يعرضه المزوّد.
انشر سجل DS لدى المسجّل
أدخل بيانات DS للنطاق لدى المسجّل. ومع النشر التلقائي لـ DS عبر CDS أو CDNSKEY، يقرأ السجل المعلومات من المنطقة.
تحقق من سلسلة الثقة
شغّل dig example.com A +dnssec وابحث عن علامة ad في الإجابة من محلل متحقق، ثم اختبر بأداة فحص DNSSEC علنية.
dig NS example.com +short
dig DS example.com +short
dig DNSKEY example.com +short
dig example.com A +dnssec +multiما الذي قد يسوء عند تفعيل DNSSEC؟
الأعطال عدم تطابقات، ولكل منها إصلاح قصير. يؤدي سجل DS المنشور قبل توقيع المنطقة إلى أن ترد المحللات المتحقِّقة بـ SERVFAIL. أزل سجل DS لدى المسجّل، وانتظر حتى يغادر المنطقة الأب، ثم وقّع المنطقة، ثم انشر سجل DS من جديد.
تغيير مزوّد DNS هو الفخ الآخر. إن لم يحتفظ المزوّد الجديد بالمفاتيح القديمة، فلن يطابق سجل DS القديم. أزل سجل DS أولا، وانتظر انتهاء وقت حياته (TTL)، وانقل المنطقة، ثم فعّل التوقيع لدى المزوّد الجديد وأضف سجل DS الجديد.
أبقِ سجل DS في قائمة التغييرات، بجوار سجلات CAA في كيف تعد سجلات CAA، واجعل بيانات دخول المسجّل خلف الضوابط في كيف تحمي حساب المسجّل من الاستيلاء عليه. فالمهاجم الذي يستطيع استبدال سجل DS يستطيع إلغاء توقيعك، لذلك لا يكون سجل DS آمنا إلا بقدر أمان الحساب الذي يعدّله.
هل DNSSEC هو قفل السجل نفسه؟
لا. يصادق DNSSEC الإجابات، بينما يوقف قفل السجل التغييرات غير المصرّح بها لدى السجل. وهما يحميان نقطتين مختلفتين. يحمي DNSSEC البيانات أثناء النقل. أما قفل السجل، الذي تقدّمه Verisign لـ .com وnet عبر المسجّلين المشاركين، فيشترط تحققا يدويا خارج النطاق قبل تغيير خوادم الأسماء أو النقل أو الملكية.
لا يقدّم Wardmint قفل السجل. بل يقدّم قفل النقل لكل نطاق، وDNSSEC مُدارا وسجلات CAA، وحماية النطاق بسعر +29 US$/سنة، حيث يقع النطاق باسم DomaineGoat LLC ويقرأ شخص كل شكوى قبل أي إجراء. والمقارنة موجودة في قفل السجل مقابل قفل المسجّل.
أسئلة عن DNSSEC
هل يشفّر DNSSEC حركة المرور لدي؟
لا. يوقّع DNSSEC إجابات DNS حتى يمكن التحقق منها، لكنه لا يخفيها. أما HTTPS فيحمي محتوى الاتصال.
هل أستطيع تفعيل DNSSEC على كل امتداد؟
ليس بالضرورة. يقرر سجل كل امتداد إن كان يقبل سجلات DS. تحقق من وثائق السجل أو المسجّل قبل أن تبدأ.
هل سيبطئ DNSSEC موقعي؟
الإجابات الموقّعة أكبر حجما، ويعمل المحلل المتحقق بجهد إضافي، لكن الأثر على تحميل الصفحات صغير لمعظم المواقع. وأعطال سجلات DS غير المتطابقة أهم من السرعة.
ماذا لو غيّرت مزوّد DNS لاحقا؟
أزل سجل DS أولا، وانتظر حتى ينقضي وقت حياته (TTL)، وانقل المنطقة، ثم فعّل التوقيع لدى المزوّد الجديد وانشر سجل DS الخاص به.
هل يتقاضى Wardmint رسوما على DNSSEC؟
لا. يُعد DNSSEC المُدار جزءا من استضافة DNS المجانية لدى Wardmint، لذلك يبقى .com بسعر 12.49 US$/سنة سواء كان موقّعا أو غير موقّع.
خلاصة
- يوقّع DNSSEC إجابات DNS حتى يستطيع المحلل أن يرفض المزوّرة منها.
- تفعّله على مرحلتين: وقّع المنطقة، ثم انشر سجل DS لدى المسجّل.
- انشر سجل DS بعد توقيع المنطقة؛ فالترتيب الخاطئ يجعل النطاق يفشل في التحقق.
- أزل سجل DS قبل أن تنقل إلى مزوّد DNS آخر.
- يتضمن DNS المجاني لدى Wardmint DNSSEC مُدارا دون رسوم إضافية.
- لا يحمي DNSSEC حسابا استولى عليه مهاجم.
- لا يقدّم Wardmint قفل السجل؛ بل يقدّم قفل النقل وحماية النطاق.
المصادر (3)
- RFC 9364: امتدادات أمان DNS (DNSSEC)، BCP 237 — IETF / RFC Editor (تاريخ القراءة 2026-11-12)
- قفل السجل (Registry Lock) — Verisign (تاريخ القراءة 2026-11-12)
- إشعار حادثة نطاق Curve Finance — Curve Finance (تاريخ القراءة 2026-11-12)