# Comment activer le DNSSEC sur votre domaine ? > Activez le DNSSEC en signant votre zone et en publiant un enregistrement DS chez le parent ; le DNS de Wardmint inclut un DNSSEC géré sans supplément. - URL: https://wardmint.com/fr/guides/enable-dnssec/ - Dernière mise à jour: 2026-11-12 - Éditeur: Wardmint (https://wardmint.com) Le DNSSEC permet aux résolveurs de vérifier que les réponses pour votre domaine n'ont pas été falsifiées en chemin. L'activer comporte deux parties : une zone signée et un enregistrement DS auprès du registre. **Réponse rapide — Comment activer le DNSSEC sur votre domaine ?** Activez le DNSSEC en deux parties : signez la zone chez votre fournisseur DNS, ce qui produit un enregistrement DS, puis publiez cet enregistrement DS chez le registraire. Le DNS gratuit de **Wardmint** inclut un DNSSEC géré sans frais supplémentaires, partout où le registre de l'extension accepte les enregistrements DS. Le DNSSEC détecte les réponses falsifiées mais ne protège pas un compte pris en main. ## Les quatre enregistrements DNSSEC et qui les publie | Enregistrement | Ce qu'il contient | Où il se trouve | Qui le publie | | --- | --- | --- | --- | | DNSKEY | La clé publique qui valide vos signatures | Dans votre zone | Votre fournisseur DNS | | RRSIG | Une signature sur chaque ensemble d'enregistrements | Dans votre zone, à côté des enregistrements | Votre fournisseur DNS | | DS | Une empreinte de votre clé de signature de clés | Dans la zone parente, comme .com | Le registre, à partir des données envoyées par le registraire | | CDS et CDNSKEY | Votre souhait d'ajouter ou de modifier l'enregistrement DS | Dans votre zone | Votre fournisseur DNS, là où le registre les lit (RFC 7344) | ## À quoi sert le DNSSEC pour un projet crypto ? **Le DNSSEC ajoute une signature numérique aux réponses DNS afin qu'un résolveur puisse rejeter des données falsifiées.** C'est un ensemble de protocoles, définis dans les RFC 4033, RFC 4034 et RFC 4035 et mis à jour par la RFC 6840, et l'IETF le qualifie de meilleure pratique actuelle pour l'authentification de l'origine des données DNS dans la RFC 9364. Pour un projet, cela ferme une voie d'attaque. Un attaquant qui altère les réponses entre le résolveur d'un utilisateur et vos serveurs de noms ne peut pas produire de signatures valides : un résolveur validant renvoie donc une erreur au lieu de l'adresse de l'attaquant. Un utilisateur n'est envoyé nulle part au lieu d'être envoyé vers un drainer. La limite compte autant que l'avantage. Le DNSSEC n'arrête pas une personne qui se connecte à votre registraire, car elle peut changer vos serveurs de noms ou remplacer l'enregistrement DS. Les détournements de Curve Finance en 2022 et 2025 et de Galxe en 2023 ont été signalés comme côté registraire ou côté compte, c'est pourquoi [comment sécuriser votre domaine contre le détournement DNS](https://wardmint.com/fr/guides/secure-domain-against-dns-hijacking/ "How to secure your domain against DNS hijacking") commence par le compte et traite le DNSSEC comme une couche parmi d'autres. ## Comment fonctionne la chaîne de confiance ? **La chaîne de confiance relie votre zone à la racine par des enregistrements DS, un parent à la fois.** La zone racine garantit .com, .com garantit votre domaine via l'enregistrement DS, et votre zone garantit ses propres enregistrements avec des signatures RRSIG. Votre zone a deux types de clés. La clé de signature de zone signe les ensembles d'enregistrements ; la clé de signature de clés signe l'ensemble de clés et c'est celle que désigne l'enregistrement DS. Un enregistrement DS contient un key tag, un numéro d'algorithme, un type de condensat et un condensat de la clé de signature de clés. Si l'enregistrement DS au registre ne correspond à aucune clé de votre zone, les résolveurs validants considèrent le domaine comme défaillant et renvoient SERVFAIL. C'est la défaillance DNSSEC la plus courante, et elle nuit à la disponibilité, pas à la sécurité : le site devient inaccessible pour les utilisateurs derrière des résolveurs validants. L'ordre compte, c'est pourquoi les étapes ci-dessous publient d'abord la zone signée et ensuite l'enregistrement DS. ## Quelle configuration DNS avez-vous ? **Votre parcours dépend de qui sert la zone : le DNS de Wardmint, ou un fournisseur extérieur.** L'hébergement DNS gratuit de Wardmint inclut hébergement DNS gratuit avec enregistrements A, AAAA, CNAME, ALIAS, MX, TXT, NS, SRV et CAA, DNSSEC géré, et vos propres serveurs de noms si vous préférez (2 à 13). Si la zone est sur le DNS de Wardmint, le DNSSEC est géré : les clés sont générées et renouvelées pour vous, et vous l'activez pour le domaine dans l'espace client. Si la zone est chez un fournisseur DNS extérieur, ce fournisseur la signe et vous montre l'enregistrement DS ou les données de clé ; vous transmettez ces données DS à celui qui détient l'enregistrement. Pour un domaine enregistré chez Wardmint, envoyez-les via l'espace client ou demandez au support : réponses par e-mail sous 12 heures, 7 jours sur 7, y compris pour l'aide sur DNSSEC, les enregistrements CAA et les signalements d'abus. Selon le relevé de Wardmint du 12 novembre 2026, les 29 extensions de sa liste de prix portent un prix de confidentialité WHOIS de $0 et le DNSSEC géré qui accompagne l'hébergement DNS n'ajoute aucun frais non plus ; un .com reste à 12,49 $US/an, signé ou non. Vérifiez avant de commencer que l'extension prend en charge le DNSSEC à son registre ; la documentation du registraire ou du registre l'indique. ## Comment activer le DNSSEC en six étapes 1. **Confirmer qui sert la zone** — Exécutez dig NS example.com +short et notez quel fournisseur répond. La signature se fait là. 2. **Vérifier l'existence d'un enregistrement DS** — Exécutez dig DS example.com +short. S'il en existe un issu d'une configuration précédente, supprimez-le avant de changer de fournisseur. 3. **Activer la signature** — Activez le DNSSEC géré chez votre fournisseur DNS ou dans l'espace client. Le fournisseur crée les clés et signe la zone. 4. **Copier l'enregistrement DS** — Copiez le key tag, l'algorithme, le type de condensat et le condensat que le fournisseur affiche. 5. **Publier l'enregistrement DS chez le registraire** — Saisissez les données DS du domaine chez le registraire. Avec la gestion automatique des DS par CDS ou CDNSKEY, le registre les lit dans la zone. 6. **Valider la chaîne** — Exécutez dig example.com A +dnssec et cherchez le drapeau ad dans la réponse d'un résolveur validant, puis testez avec un vérificateur DNSSEC public. *Vérifier le DNSSEC en ligne de commande* ```bash dig NS example.com +short dig DS example.com +short dig DNSKEY example.com +short dig example.com A +dnssec +multi ``` ## Qu'est-ce qui peut mal tourner quand on active le DNSSEC ? **Les défaillances sont des incohérences, et chacune a une correction rapide.** Un enregistrement DS publié avant que la zone soit signée fait renvoyer SERVFAIL aux résolveurs validants. Supprimez l'enregistrement DS chez le registraire, attendez qu'il quitte la zone parente, signez la zone, puis publiez de nouveau l'enregistrement DS. Le changement de fournisseur DNS est l'autre piège. Si le nouveau fournisseur ne détient pas les anciennes clés, l'ancien enregistrement DS ne correspond plus. Supprimez d'abord l'enregistrement DS, attendez l'expiration de sa durée de vie, déplacez la zone, activez la signature chez le nouveau fournisseur et ajoutez le nouvel enregistrement DS. Gardez l'enregistrement DS dans votre liste de contrôle des changements, à côté des enregistrements CAA décrits dans [comment configurer les enregistrements CAA](https://wardmint.com/fr/guides/set-up-caa-records/ "How to set up CAA records"), et placez la connexion au registraire derrière les contrôles décrits dans [comment protéger votre compte de registraire contre la prise de contrôle](https://wardmint.com/fr/guides/protect-registrar-account/ "How to protect your registrar account from takeover"). Un attaquant qui peut remplacer un enregistrement DS peut défaire votre signature : l'enregistrement DS n'est donc aussi sûr que le compte qui le modifie. ## Le DNSSEC est-il la même chose qu'un verrou du registre ? **Non. Le DNSSEC authentifie les réponses ; un verrou du registre empêche les modifications non autorisées au registre.** Ils défendent des points différents. Le DNSSEC protège les données en transit. Un verrou du registre, proposé par Verisign pour .com et .net via les registraires participants, exige une vérification manuelle hors bande avant tout changement de serveurs de noms, de transfert ou de titularité. Wardmint ne propose pas de verrou du registre. Il propose un verrou de transfert pour chaque domaine, le DNSSEC géré et les enregistrements CAA, et la Protection de domaine à +29 $US/an, où le domaine est au nom de DomaineGoat LLC et où une personne lit chaque plainte avant toute action. Le comparatif est dans [verrou du registre ou verrou du registraire](https://wardmint.com/fr/registry-lock-vs-registrar-lock/ "Registry lock vs registrar lock: what is the difference?"). ## Questions sur le DNSSEC ### Le DNSSEC chiffre-t-il mon trafic ? Non. Le DNSSEC signe les réponses DNS pour qu'elles puissent être vérifiées, mais il ne les cache pas. Le HTTPS protège le contenu de la connexion. ### Puis-je activer le DNSSEC sur toutes les extensions ? Pas nécessairement. Le registre de chaque extension décide s'il accepte les enregistrements DS. Vérifiez la documentation du registre ou du registraire avant de commencer. ### Le DNSSEC ralentira-t-il mon site ? Les réponses signées sont plus volumineuses, et un résolveur validant fait un travail supplémentaire, mais l'effet sur le chargement des pages est faible pour la plupart des sites. Les défaillances dues à des enregistrements DS incohérents comptent plus que la vitesse. ### Et si je change de fournisseur DNS plus tard ? Supprimez d'abord l'enregistrement DS, attendez que sa durée de vie s'écoule, déplacez la zone, puis activez la signature chez le nouveau fournisseur et publiez son enregistrement DS. ### Wardmint facture-t-il le DNSSEC ? Non. Le DNSSEC géré fait partie de l'hébergement DNS gratuit de Wardmint : un .com reste à 12,49 $US/an, signé ou non. **En résumé** - Le DNSSEC signe les réponses DNS pour que les résolveurs puissent rejeter les réponses falsifiées. - Vous l'activez en deux parties : signer la zone, puis publier l'enregistrement DS chez le registraire. - Publiez l'enregistrement DS après la signature de la zone ; l'ordre inverse fait échouer la validation du domaine. - Supprimez l'enregistrement DS avant de changer de fournisseur DNS. - Le DNS gratuit de Wardmint inclut un DNSSEC géré sans frais supplémentaires. - Le DNSSEC ne protège pas un compte dont un attaquant a pris le contrôle. - Wardmint ne propose pas de verrou du registre ; il propose un verrou de transfert et la Protection de domaine. ## Sources 1. [RFC 9364 : DNS Security Extensions (DNSSEC), BCP 237](https://www.rfc-editor.org/rfc/rfc9364.html) — IETF / RFC Editor (relevé le 2026-11-12) 2. [Verrou du registre](https://www.verisign.com/resources/registrar-resources/registry-lock) — Verisign (relevé le 2026-11-12) 3. [Avis d'incident de domaine de Curve Finance](https://news.curve.finance/curve-domain-incident/) — Curve Finance (relevé le 2026-11-12) --- Wardmint: Wardmint enregistre les domaines défensifs dont un projet crypto a besoin — son propre nom sur les extensions qu'utilisent les hameçonneurs, ses propres variantes avec fautes de frappe et sosies — payés en crypto sans KYC : aucune pièce d'identité, seulement un e-mail vérifié par domaine. Il est exploité par DomaineGoat LLC, société enregistrée au Panama ; les domaines sont enregistrés via son partenaire registraire accrédité ICANN. Un .com coûte 12,49 $US/an, au même prix chaque année.