Rychlá odpověď
Jak zapnete DNSSEC na své doméně?
Zapněte DNSSEC ve dvou částech: podepište zónu u svého poskytovatele DNS, který vytvoří záznam DS, a pak tento záznam DS zveřejněte u registrátora. Bezplatné DNS Wardmint zahrnuje spravované DNSSEC bez příplatku, kdekoli registr přípony přijímá záznamy DS. DNSSEC odhalí padělané odpovědi, ale nechrání převzatý účet.
Čtyři záznamy DNSSEC a kdo je zveřejňuje
| Záznam | Co drží | Kde je | Kdo je zveřejňuje |
|---|---|---|---|
| DNSKEY | Veřejný klíč, který ověřuje vaše podpisy | Ve vaší zóně | Váš poskytovatel DNS |
| RRSIG | Podpis každé sady záznamů | Ve vaší zóně, vedle záznamů | Váš poskytovatel DNS |
| DS | Otisk vašeho klíče pro podepisování klíčů | V nadřazené zóně, například .com | Registr, z dat, která pošle registrátor |
| CDS a CDNSKEY | Vaše přání přidat nebo změnit záznam DS | Ve vaší zóně | Váš poskytovatel DNS, odkud je registr čte (RFC 7344) |
Co DNSSEC dělá pro krypto projekt?
DNSSEC přidává k odpovědím DNS digitální podpis, takže resolver může odmítnout data, která někdo padělal. Je to soubor protokolů definovaný v RFC 4033, RFC 4034 a RFC 4035, aktualizovaný RFC 6840; IETF jej v RFC 9364 označuje za osvědčený postup pro autentizaci původu dat DNS.
Pro projekt to uzavírá jednu cestu útoku. Útočník, který mění odpovědi mezi resolverem uživatele a vašimi jmennými servery, nemůže vyrobit platné podpisy, takže validující resolver vrátí chybu místo jeho adresy. Uživatel se nedostane na vysávač, ale nikam.
Omezení je stejně důležité jako přínos. DNSSEC nezastaví osobu, která se přihlásí k vašemu registrátorovi, protože ta může změnit vaše jmenné servery nebo nahradit záznam DS. Úniky Curve Finance v letech 2022 a 2025 a Galxe v roce 2023 byly popsány jako únosy na úrovni registrátora nebo účtu, a proto jak zabezpečit doménu proti únosu DNS začíná účtem a DNSSEC bere jako jednu vrstvu.
Jak funguje řetěz důvěry?
Řetěz důvěry spojuje vaši zónu s kořenem přes záznamy DS, vždy jednu nadřazenou úroveň po druhé. Kořenová zóna ručí za .com, .com ručí za vaši doménu přes záznam DS a vaše zóna ručí za své vlastní záznamy přes podpisy RRSIG.
Vaše zóna má dva druhy klíčů. Klíč pro podepisování zóny podepisuje sady záznamů; klíč pro podepisování klíčů podepisuje sadu klíčů a na něj ukazuje záznam DS. Záznam DS obsahuje key tag, číslo algoritmu, typ digestu a digest klíče pro podepisování klíčů. Pokud záznam DS v registru neodpovídá žádnému klíči ve vaší zóně, validující resolvery považují doménu za rozbitou a vrací SERVFAIL.
Toto je nejčastější selhání DNSSEC a poškozuje dostupnost, ne bezpečnost: web je pro uživatele za validujícími resolvery nedostupný. Pořadí záleží, proto kroky níže nejdřív zveřejní podepsanou zónu a teprve potom záznam DS.
Jaké máte nastavení DNS?
Vaše cesta závisí na tom, kdo zónu obsluhuje: DNS Wardmint, nebo externí poskytovatel. Bezplatný hosting DNS Wardmint zahrnuje bezplatný DNS hosting se záznamy A, AAAA, CNAME, ALIAS, MX, TXT, NS, SRV a CAA, spravované DNSSEC a vlastní jmenné servery, pokud je preferujete (2 až 13).
Je-li zóna na DNS Wardmint, je DNSSEC spravované: klíče za vás vytváříme a rotujeme a v klientské zóně jej zapnete pro doménu. Je-li zóna u externího poskytovatele DNS, ten ji podepíše a ukáže vám záznam DS nebo údaje klíče; tato data DS předáte tomu, kdo drží registraci. U domény registrované u Wardmint je pošlete přes klientskou zónu nebo požádejte podporu: odpovědi na e-maily do 12 hodin, 7 dní v týdnu, včetně pomoci s DNSSEC, záznamy CAA a hlášeními zneužití.
Podle průzkumu Wardmint ze 12. listopadu 2026 všech 29 přípon v jeho ceníku nese cenu soukromí WHOIS $0 a spravované DNSSEC, které přichází s hostingem DNS, také nic nepřidává; .com zůstává na 12,49 US$/rok, ať je podepsaná, nebo ne. Před začátkem ověřte, že přípona u svého registru DNSSEC podporuje; dokumentace registrátora nebo registru to uvádí.
Jak zapnout DNSSEC v šesti krocích
Ověřte, kdo zónu obsluhuje
Spusťte dig NS example.com +short a zapište si, který poskytovatel odpovídá. Podepisování se děje tam.
Zkontrolujte existující záznam DS
Spusťte dig DS example.com +short. Pokud existuje z dřívějšího nastavení, odstraňte jej, než změníte poskytovatele.
Zapněte podepisování
Zapněte spravované DNSSEC u svého poskytovatele DNS nebo v klientské zóně. Poskytovatel vytvoří klíče a zónu podepíše.
Zkopírujte záznam DS
Zkopírujte key tag, algoritmus, typ digestu a digest, které poskytovatel zobrazí.
Zveřejněte záznam DS u registrátora
Zadejte údaje DS pro doménu u registrátora. S automatickou správou DS přes CDS nebo CDNSKEY je registr načte ze zóny.
Ověřte řetěz
Spusťte dig example.com A +dnssec a hledejte příznak ad v odpovědi od validujícího resolveru, pak otestujte veřejným kontrolním nástrojem DNSSEC.
dig NS example.com +short
dig DS example.com +short
dig DNSKEY example.com +short
dig example.com A +dnssec +multiCo se může při zapnutí DNSSEC pokazit?
Selhání jsou neshody a každá má krátkou opravu. Záznam DS zveřejněný dřív, než je zóna podepsána, způsobí u validujících resolverů SERVFAIL. Odstraňte záznam DS u registrátora, počkejte, až zmizí z nadřazené zóny, podepište zónu a záznam DS zveřejněte znovu.
Změna poskytovatele DNS je druhá past. Pokud nový poskytovatel nemá staré klíče, starý záznam DS přestane odpovídat. Nejdřív odstraňte záznam DS, počkejte, až vyprší jeho time to live, přesuňte zónu, zapněte podepisování u nového poskytovatele a přidejte nový záznam DS.
Záznam DS si ponechte na kontrolním seznamu změn vedle záznamů CAA v jak nastavit záznamy CAA, a přihlášení k registrátorovi dejte pod kontroly v jak chránit účet registrátora před převzetím. Útočník, který může nahradit záznam DS, může zrušit vaše podepisování, takže záznam DS je tak bezpečný, jak bezpečný je účet, který jej upravuje.
Je DNSSEC totéž co zámek registru?
Ne. DNSSEC ověřuje odpovědi; zámek registru zastaví neoprávněné změny v registru. Chrání různé body. DNSSEC chrání data na cestě. Zámek registru, který nabízí Verisign pro .com a .net přes účastnící se registrátory, vyžaduje ruční ověření mimo kanál dříve, než se změní jmenné servery, převody nebo vlastnictví.
Wardmint zámek registru nenabízí. Nabízí zámek převodu pro každou doménu, spravované DNSSEC a záznamy CAA a Ochranu domény za +29 US$/rok, kdy je doména na jméno DomaineGoat LLC a člověk přečte každou stížnost před jakoukoli akcí. Srovnání je v zámek registru vs zámek registrátora.
Otázky k DNSSEC
Šifruje DNSSEC můj provoz?
Ne. DNSSEC podepisuje odpovědi DNS, aby je šlo ověřit, ale neskrývá je. HTTPS chrání obsah spojení.
Mohu zapnout DNSSEC u každé přípony?
Ne nutně. Registr každé přípony rozhoduje, zda přijímá záznamy DS. Před začátkem zkontrolujte dokumentaci registru nebo registrátora.
Zpomalí DNSSEC můj web?
Podepsané odpovědi jsou větší a validující resolver dělá navíc práci, ale vliv na načítání stránek je u většiny webů malý. Selhání kvůli neshodným záznamům DS mají větší váhu než rychlost.
Co když později změním poskytovatele DNS?
Nejdřív odstraňte záznam DS, počkejte, až uplyne jeho time to live, přesuňte zónu, pak zapněte podepisování u nového poskytovatele a zveřejněte jeho záznam DS.
Účtuje Wardmint za DNSSEC?
Ne. Spravované DNSSEC je součástí bezplatného hostingu DNS Wardmint, takže .com zůstává za 12,49 US$/rok, ať je podepsané, nebo ne.
Shrnutí
- DNSSEC podepisuje odpovědi DNS, aby resolvery mohly odmítnout padělané.
- Zapínáte jej ve dvou částech: podepište zónu, pak zveřejněte záznam DS u registrátora.
- Záznam DS zveřejněte až po podepsání zóny; špatné pořadí způsobí, že doména při validaci selže.
- Před přesunem k jinému poskytovateli DNS odstraňte záznam DS.
- Bezplatné DNS Wardmint zahrnuje spravované DNSSEC bez příplatku.
- DNSSEC nechrání účet, který útočník převzal.
- Wardmint nenabízí zámek registru; nabízí zámek převodu a Ochranu domény.
Zdroje (3)
- RFC 9364: DNS Security Extensions (DNSSEC), BCP 237 — IETF / RFC Editor (čteno 2026-11-12)
- Registry Lock — Verisign (čteno 2026-11-12)
- Oznámení o incidentu domény Curve Finance — Curve Finance (čteno 2026-11-12)