پاسخ کوتاه
چگونه DNSSEC را روی دامنه خود فعال می‌کنید؟
DNSSEC را در دو بخش فعال کنید: ناحیه را نزد ارائه‌دهنده DNS خود امضا کنید، که یک رکورد DS تولید می‌کند، سپس آن رکورد DS را نزد ثبت‌کننده منتشر کنید. DNS رایگان Wardmint شامل DNSSEC مدیریت‌شده بدون هزینه افزوده است، هرجا که رجیستری پسوند رکوردهای DS را بپذیرد. DNSSEC پاسخ‌های جعلی را تشخیص می‌دهد، اما از یک حساب ربوده‌شده محافظت نمی‌کند.
چهار رکورد DNSSEC و چه کسی آن‌ها را منتشر می‌کند
| رکورد | آنچه نگه می‌دارد | محل آن | چه کسی منتشر می‌کند |
|---|---|---|---|
| DNSKEY | کلید عمومی که امضاهای شما را تأیید می‌کند | در ناحیه شما | ارائه‌دهنده DNS شما |
| RRSIG | امضایی روی هر مجموعه رکورد | در ناحیه شما، کنار رکوردها | ارائه‌دهنده DNS شما |
| DS | اثرانگشت کلید امضای کلید شما | در ناحیه والد، مانند .com | رجیستری، از داده‌ای که ثبت‌کننده می‌فرستد |
| CDS و CDNSKEY | خواست شما برای افزودن یا تغییر رکورد DS | در ناحیه شما | ارائه‌دهنده DNS شما، جایی که رجیستری آن‌ها را می‌خواند (RFC 7344) |
DNSSEC برای یک پروژه کریپتو چه می‌کند؟
DNSSEC یک امضای دیجیتال به پاسخ‌های DNS می‌افزاید تا یک حل‌کننده بتواند داده‌ای را که کسی جعل کرده رد کند. این مجموعه‌ای از پروتکل‌ها است که در RFC 4033، RFC 4034 و RFC 4035 تعریف شده و توسط RFC 6840 به‌روز شده است، و IETF آن را بهترین رویه فعلی برای احراز منشأ داده DNS در RFC 9364 می‌نامد.
برای یک پروژه، این یک مسیر حمله را می‌بندد. مهاجمی که پاسخ‌ها را میان حل‌کننده کاربر و سرورهای نام شما دستکاری کند نمی‌تواند امضاهای معتبر تولید کند، پس یک حل‌کننده تأییدکننده به‌جای نشانی مهاجم خطا برمی‌گرداند. کاربر به هیچ جا فرستاده نمی‌شود، به جای اینکه به یک درینر فرستاده شود.
محدودیت به اندازه فایده مهم است. DNSSEC جلوی فردی را که به ثبت‌کننده شما وارد می‌شود نمی‌گیرد، چون آن فرد می‌تواند سرورهای نام شما را تغییر دهد یا رکورد DS را جایگزین کند. ربودن‌های Curve Finance در 2022 و 2025 و Galxe در 2023 به‌عنوان مواردی در سطح ثبت‌کننده یا حساب گزارش شدند، و به همین دلیل چگونه دامنه‌تان را در برابر ربودن DNS ایمن کنیم با حساب شروع می‌کند و DNSSEC را یک لایه می‌داند.
زنجیره اعتماد چگونه کار می‌کند؟
زنجیره اعتماد ناحیه شما را از طریق رکوردهای DS به ریشه متصل می‌کند، یک والد در هر بار. ناحیه ریشه .com را تأیید می‌کند، .com دامنه شما را از طریق رکورد DS تأیید می‌کند، و ناحیه شما رکوردهای خودش را با امضاهای RRSIG تأیید می‌کند.
ناحیه شما دو نوع کلید دارد. کلید امضای ناحیه، مجموعه‌های رکورد را امضا می‌کند؛ کلید امضای کلید، مجموعه کلید را امضا می‌کند و همان است که رکورد DS به آن اشاره دارد. یک رکورد DS شامل یک برچسب کلید، یک شماره الگوریتم، یک نوع خلاصه و خلاصه کلید امضای کلید است. اگر رکورد DS در رجیستری با کلیدی در ناحیه شما مطابقت نداشته باشد، حل‌کننده‌های تأییدکننده دامنه را خراب تلقی می‌کنند و SERVFAIL برمی‌گردانند.
این شایع‌ترین خطای DNSSEC است، و به دسترس‌پذیری آسیب می‌زند، نه به امنیت: سایت برای کاربرانی که پشت حل‌کننده‌های تأییدکننده‌اند از دسترس خارج می‌شود. ترتیب مهم است، و به همین دلیل مراحل زیر ابتدا ناحیه امضاشده و سپس رکورد DS را منتشر می‌کنند.
کدام راه‌اندازی DNS را دارید؟
مسیر شما بستگی دارد به اینکه چه کسی ناحیه را ارائه می‌کند: DNS Wardmint یا یک ارائه‌دهنده بیرونی. میزبانی رایگان DNS در Wardmint شامل میزبانی رایگان DNS با رکوردهای A، AAAA، CNAME، ALIAS، MX، TXT، NS، SRV و CAA، DNSSEC مدیریت‌شده، و در صورت تمایل نیم‌سرورهای خودتان (2 تا 13) است.
اگر ناحیه روی DNS Wardmint باشد، DNSSEC مدیریت‌شده است: کلیدها برای شما ساخته و چرخانده می‌شوند، و شما آن را در ناحیه کاربری برای دامنه روشن می‌کنید. اگر ناحیه نزد یک ارائه‌دهنده DNS بیرونی باشد، آن ارائه‌دهنده آن را امضا می‌کند و رکورد DS یا داده کلید را به شما نشان می‌دهد؛ آن داده DS را به هر کسی می‌دهید که ثبت را در اختیار دارد. برای دامنه‌ای که نزد Wardmint ثبت شده، آن را از طریق ناحیه کاربری بفرستید یا از پشتیبانی بخواهید: پاسخ ایمیلی در کمتر از 12 ساعت، هفت روز هفته، از جمله کمک برای DNSSEC، رکوردهای CAA و گزارش‌های سوءاستفاده.
بر اساس بررسی Wardmint در 12 نوامبر 2026، هر 29 پسوند در فهرست قیمت آن هزینه حریم خصوصی WHOIS برابر با 0 دلار دارند و DNSSEC مدیریت‌شده‌ای که همراه میزبانی DNS می‌آید هم هزینه‌ای ندارد؛ یک .com در $ 12.49/سال می‌ماند، چه امضاشده باشد چه نباشد. پیش از شروع بررسی کنید که پسوند در رجیستری‌اش از DNSSEC پشتیبانی می‌کند؛ مستندات ثبت‌کننده یا رجیستری آن را بیان می‌کند.
چگونه DNSSEC را در شش مرحله فعال کنیم
تعیین کنید چه کسی ناحیه را ارائه می‌کند
دستور dig NS example.com +short را اجرا کنید و یادداشت کنید کدام ارائه‌دهنده پاسخ می‌دهد. امضا همان‌جا انجام می‌شود.
بررسی وجود رکورد DS موجود
دستور dig DS example.com +short را اجرا کنید. اگر رکوردی از راه‌اندازی قبلی وجود دارد، پیش از تغییر ارائه‌دهنده آن را حذف کنید.
روشن کردن امضا
DNSSEC مدیریت‌شده را در ارائه‌دهنده DNS یا ناحیه کاربری فعال کنید. ارائه‌دهنده کلیدها را می‌سازد و ناحیه را امضا می‌کند.
کپی کردن رکورد DS
برچسب کلید، الگوریتم، نوع خلاصه و خلاصه‌ای را که ارائه‌دهنده نمایش می‌دهد کپی کنید.
انتشار رکورد DS نزد ثبت‌کننده
داده DS دامنه را نزد ثبت‌کننده وارد کنید. با مدیریت خودکار DS از طریق CDS یا CDNSKEY، رجیستری آن را از ناحیه می‌خواند.
تأیید زنجیره
دستور dig example.com A +dnssec را اجرا کنید و در پاسخ حل‌کننده تأییدکننده دنبال پرچم ad بگردید، سپس با یک بررسی‌گر عمومی DNSSEC آزمایش کنید.
dig NS example.com +short
dig DS example.com +short
dig DNSKEY example.com +short
dig example.com A +dnssec +multiوقتی DNSSEC را فعال می‌کنید چه چیزی ممکن است خراب شود؟
خرابی‌ها ناهم‌خوانی‌اند و هرکدام یک راه‌حل کوتاه دارد. اگر رکورد DS پیش از امضای ناحیه منتشر شود، حل‌کننده‌های تأییدکننده SERVFAIL برمی‌گردانند. رکورد DS را نزد ثبت‌کننده حذف کنید، صبر کنید تا از ناحیه والد خارج شود، ناحیه را امضا کنید، سپس رکورد DS را دوباره منتشر کنید.
تغییر ارائه‌دهنده DNS تله دیگر است. اگر ارائه‌دهنده جدید کلیدهای قدیمی را نداشته باشد، رکورد DS قدیمی دیگر تطبیق نمی‌کند. ابتدا رکورد DS را حذف کنید، صبر کنید تا زمان زنده ماندن آن (TTL) به پایان برسد، ناحیه را منتقل کنید، امضا را در ارائه‌دهنده جدید فعال کنید و رکورد DS جدید را اضافه کنید.
رکورد DS را در فهرست تغییراتتان کنار رکوردهای CAA نگه دارید: چگونه رکوردهای CAA را تنظیم کنیم، و ورود به ثبت‌کننده را پشت کنترل‌ها قرار دهید در چگونه حساب ثبت‌کننده خود را از تصرف محافظت کنیم. مهاجمی که بتواند رکورد DS را جایگزین کند می‌تواند امضای شما را بی‌اثر کند، پس رکورد DS فقط به اندازه حسابی امن است که آن را ویرایش می‌کند.
آیا DNSSEC همان قفل رجیستری است؟
خیر. DNSSEC پاسخ‌ها را احراز هویت می‌کند؛ قفل رجیستری تغییرات غیرمجاز را در رجیستری متوقف می‌کند. این دو نقاط متفاوتی را محافظت می‌کنند. DNSSEC داده را در حین انتقال حفظ می‌کند. قفل رجیستری که Verisign برای .com و .net از طریق ثبت‌کننده‌های شرکت‌کننده ارائه می‌کند، پیش از تغییر سرورهای نام، انتقال یا مالکیت، تأیید دستی خارج از باند را می‌خواهد.
Wardmint قفل رجیستری ارائه نمی‌دهد. برای هر دامنه قفل انتقال، DNSSEC و رکوردهای CAA مدیریت‌شده، و حفاظت از دامنه به مبلغ +$ 29 در سال ارائه می‌دهد، که دامنه به نام DomaineGoat LLC است و یک انسان هر شکایت را پیش از هر اقدامی می‌خواند. مقایسه در قفل رجیستری در برابر قفل ثبت‌کننده آمده است.
پرسش‌ها درباره DNSSEC
آیا DNSSEC ترافیک مرا رمزنگاری می‌کند؟
خیر. DNSSEC پاسخ‌های DNS را امضا می‌کند تا بتوان آن‌ها را تأیید کرد، اما آن‌ها را پنهان نمی‌کند. HTTPS از محتوای اتصال محافظت می‌کند.
آیا می‌توانم DNSSEC را برای هر پسوندی فعال کنم؟
لزوماً نه. رجیستری هر پسوند تصمیم می‌گیرد که آیا رکوردهای DS را می‌پذیرد. پیش از شروع، مستندات رجیستری یا ثبت‌کننده را بررسی کنید.
آیا DNSSEC سایت من را کند می‌کند؟
پاسخ‌های امضاشده بزرگ‌ترند و یک حل‌کننده تأییدکننده کار بیشتری انجام می‌دهد، اما اثر آن بر بارگذاری صفحه برای بیشتر سایت‌ها کوچک است. خرابی‌های ناشی از رکوردهای DS ناهم‌خوان بیشتر از سرعت اهمیت دارند.
اگر بعداً ارائه‌دهنده DNS را عوض کنم چه؟
ابتدا رکورد DS را حذف کنید، صبر کنید زمان زنده ماندنش بگذرد، ناحیه را منتقل کنید، سپس امضا را در ارائه‌دهنده جدید فعال کنید و رکورد DS آن را منتشر کنید.
آیا Wardmint برای DNSSEC هزینه می‌گیرد؟
خیر. DNSSEC مدیریت‌شده بخشی از میزبانی DNS رایگان Wardmint است، بنابراین یک .com $ 12.49/سال امضاشده یا امضانشده باقی می‌ماند.
خلاصه
- DNSSEC پاسخ‌های DNS را امضا می‌کند تا حل‌کننده‌ها بتوانند پاسخ‌های جعلی را رد کنند.
- آن را در دو بخش فعال می‌کنید: ناحیه را امضا کنید، سپس رکورد DS را نزد ثبت‌کننده منتشر کنید.
- رکورد DS را پس از امضای ناحیه منتشر کنید؛ ترتیب اشتباه باعث می‌شود دامنه در اعتبارسنجی شکست بخورد.
- پیش از تغییر ارائه‌دهنده DNS، رکورد DS را حذف کنید.
- DNS رایگان Wardmint شامل DNSSEC مدیریت‌شده بدون هزینه افزوده است.
- DNSSEC از حسابی که مهاجم آن را تصرف کرده محافظت نمی‌کند.
- Wardmint قفل رجیستری ارائه نمی‌دهد؛ قفل انتقال و حفاظت از دامنه ارائه می‌دهد.
منابع (3)
- RFC 9364: پسوندهای امنیتی DNS (DNSSEC)، BCP 237 — IETF / RFC Editor (خوانده‌شده 2026-11-12)
- قفل رجیستری — Verisign (خوانده‌شده 2026-11-12)
- اعلان حادثه دامنه Curve Finance — Curve Finance (خوانده‌شده 2026-11-12)