תשובה מהירה
איך מפעילים DNSSEC בדומיין שלכם?
הפעילו DNSSEC בשני חלקים: חתמו את האזור אצל ספק ה-DNS שלכם, שמייצר רשומת DS, ואז פרסמו את רשומת ה-DS אצל הרשם. Wardmint: ה-DNS החינמי שלה כולל DNSSEC מנוהל ללא תוספת תשלום, בכל מקום שבו רשם הסיומה מקבל רשומות DS. DNSSEC מזהה תשובות מזויפות, אבל הוא לא מגן על חשבון שנלקח על ידי תוקף.
ארבע רשומות DNSSEC ומי מפרסם כל אחת
| רשומה | מה היא מכילה | היכן היא נמצאת | מי מפרסם אותה |
|---|---|---|---|
| DNSKEY | המפתח הציבורי שמאמת את החתימות שלכם | באזור שלכם | ספק ה-DNS שלכם |
| RRSIG | חתימה על כל קבוצת רשומות | באזור שלכם, לצד הרשומות | ספק ה-DNS שלכם |
| DS | טביעת אצבע של מפתח החתימה הראשי שלכם | באזור ההורה, כמו .com | הרישום, מנתונים שהרשם שולח |
| CDS ו-CDNSKEY | הבקשה שלכם להוסיף או לשנות את רשומת ה-DS | באזור שלכם | ספק ה-DNS שלכם, כאשר הרישום קורא אותן (RFC 7344) |
מה DNSSEC עושה לפרויקט קריפטו?
DNSSEC מוסיף חתימה דיגיטלית לתשובות DNS, כך שפותר יכול לדחות נתונים שמישהו זייף. זו קבוצת פרוטוקולים, שמוגדרת ב-RFC 4033, RFC 4034 ו-RFC 4035 ומעודכנת על ידי RFC 6840, וה-IETF מכנה אותה את הפרקטיקה המומלצת העדכנית לאימות מקור של נתוני DNS ב-RFC 9364.
לפרויקט, זה סוגר נתיב אחד של התקפה. תוקף שמשנה תשובות בין הפותר של המשתמש לשרתי השמות שלכם לא יכול להפיק חתימות תקפות, ולכן פותר מאמת מחזיר שגיאה במקום את הכתובת של התוקף. המשתמש לא נשלח לשום מקום, במקום למנקז.
המגבלה חשובה לא פחות מהיתרון. DNSSEC לא עוצר אדם שנכנס לחשבון הרשם שלכם, כי אותו אדם יכול לשנות את שרתי השמות שלכם או להחליף את רשומת ה-DS. ההשתלטויות על Curve Finance ב-2022 וב-2025 ועל Galxe ב-2023 דווחו כפריצות ברמת הרשם או החשבון, ולכן איך לאבטח את הדומיין מפני השתלטות DNS מתחיל בחשבון ומתייחס ל-DNSSEC כשכבה אחת.
איך שרשרת האמון עובדת?
שרשרת האמון מקשרת את האזור שלכם לשורש דרך רשומות DS, הורה אחר הורה. אזור השורש מאשר את .com, .com מאשר את הדומיין שלכם דרך רשומת ה-DS, והאזור שלכם מאשר את הרשומות שלו בחתימות RRSIG.
לאזור שלכם יש שני סוגים של מפתחות. מפתח החתימה לאזור חותם על קבוצות הרשומות; מפתח חתימת המפתחות חותם על קבוצת המפתחות והוא זה שרשומת ה-DS מצביעה עליו. רשומת DS מכילה תג מפתח, מספר אלגוריתם, סוג תקציר ותקציר של מפתח חתימת המפתחות. אם רשומת ה-DS ברישום לא תואמת למפתח באזור שלכם, פותרים מאמתים יתייחסו לדומיין כשבור ויחזירו SERVFAIL.
זו התקלה הנפוצה ביותר ב-DNSSEC, והיא פוגעת בזמינות, לא באבטחה: האתר נופל למשתמשים שמאחורי פותרים מאמתים. הסדר חשוב, ולכן השלבים שלהלן מפרסמים קודם את האזור החתום ורק אחר כך את רשומת ה-DS.
איזו הגדרת DNS יש לכם?
הדרך שלכם תלויה במי משרת את האזור: ה-DNS של Wardmint, או ספק חיצוני. ה-DNS החינמי של Wardmint כולל אירוח DNS בחינם עם רשומות A, AAAA, CNAME, ALIAS, MX, TXT, NS, SRV ו-CAA, DNSSEC מנוהל, ושרתי השמות שלכם אם תעדיפו (2 עד 13).
אם האזור נמצא ב-DNS של Wardmint, DNSSEC מנוהל: המפתחות נוצרים ומתחלפים בשבילכם, ומפעילים אותו לדומיין באזור הלקוח. אם האזור נמצא אצל ספק DNS חיצוני, אותו ספק חותם אותו ומציג לכם את רשומת ה-DS או את נתוני המפתח; אתם מעבירים את נתוני ה-DS למי שמחזיק ברישום. לדומיין שנרשם ב-Wardmint, שלחו דרך אזור הלקוח או בקשו מהתמיכה: תשובות באימייל תוך 12 שעות, 7 ימים בשבוע, כולל עזרה ב-DNSSEC, ברשומות CAA ובדוחות שימוש לרעה.
לפי הסקר של Wardmint מ-12 בנובמבר 2026, לכל 29 הסיומות ברשימת המחירים שלה יש מחיר WHOIS privacy של $0, וה-DNSSEC המנוהל שמגיע עם אירוח ה-DNS לא מוסיף עלות גם הוא; .com נשאר ב-12.49 $/שנה בין אם הוא חתום ובין אם לא. בדקו שהסיומה תומכת ב-DNSSEC אצל הרישום שלה לפני שאתם מתחילים; התיעוד של הרשם או הרישום קובע זאת.
איך מפעילים DNSSEC בשישה צעדים
ודאו מי משרת את האזור
הריצו dig NS example.com +short והערו איזה ספק עונה. החתימה נעשית שם.
בדקו אם יש רשומת DS קיימת
הריצו dig DS example.com +short. אם יש רשומה מהגדרה קודמת, הסירו אותה לפני שאתם מחליפים ספק.
הפעילו חתימה
הפעילו DNSSEC מנוהל אצל ספק ה-DNS שלכם או באזור הלקוח. הספק יוצר את המפתחות וחותם את האזור.
העתיקו את רשומת ה-DS
העתיקו את תג המפתח, האלגוריתם, סוג התקציר והתקציר שהספק מציג.
פרסמו את רשומת ה-DS אצל הרשם
הזינו את נתוני ה-DS של הדומיין אצל הרשם. עם ניהול אוטומטי של DS דרך CDS או CDNSKEY, הרישום קורא אותם מהאזור.
אמתו את השרשרת
הריצו dig example.com A +dnssec וחפשו את דגל ה-ad בתשובה מפותר מאמת, ואז בדקו בכלי בדיקה ציבורי של DNSSEC.
dig NS example.com +short
dig DS example.com +short
dig DNSKEY example.com +short
dig example.com A +dnssec +multiמה יכול להשתבש כשמפעילים DNSSEC?
הכשלים הם אי-התאמות, ולכל אחד יש תיקון קצר. רשומת DS שפורסמה לפני שהאזור נחתם גורמת לפותרים מאמתים להחזיר SERVFAIL. הסירו את רשומת ה-DS אצל הרשם, המתינו עד שתצא מהאזור ההורה, חתמו את האזור, ואז פרסמו שוב את רשומת ה-DS.
מעבר לספק DNS אחר הוא המלכודת השנייה. אם הספק החדש לא מחזיק במפתחות הישנים, רשומת ה-DS הישנה כבר לא תואמת. הסירו קודם את רשומת ה-DS, המתינו עד שפג זמן החיים שלה, העבירו את האזור, הפעילו חתימה אצל הספק החדש והוסיפו את רשומת ה-DS החדשה.
שמרו את רשומת ה-DS ברשימת השינויים שלכם, לצד רשומות ה-CAA באיך מגדירים רשומות CAA, ושימו את פרטי הכניסה לרשם מאחורי הבקרות באיך להגן על חשבון הרשם מפני השתלטות. תוקף שיכול להחליף רשומת DS יכול לבטל את החתימה שלכם, ולכן רשומת ה-DS בטוחה רק כמו החשבון שמעדכן אותה.
האם DNSSEC זהה לנעילת רשם הסיומה?
לא. DNSSEC מאמת תשובות; נעילת רשם הסיומה עוצרת שינויים לא מורשים ברשם. הן מגנות על נקודות שונות. DNSSEC מגן על נתונים בדרכם. נעילת רשם הסיומה, שמוצעת על ידי Verisign עבור .com ו-.net דרך רשמים משתתפים, דורשת אימות ידני מחוץ לפס לפני שינוי שרתי שמות, העברות או בעלות.
Wardmint לא מציעה נעילת רשם הסיומה. היא מציעה נעילת העברה לכל דומיין, DNSSEC מנוהל ו-CAA, והגנת דומיין ב-+29 $ לשנה, שבה הדומיין נמצא על שם DomaineGoat LLC ואדם קורא כל תלונה לפני כל פעולה. ההשוואה נמצאת בנעילת רשם הסיומה לעומת נעילה אצל הרשם.
שאלות על DNSSEC
האם DNSSEC מצפין את התעבורה שלי?
לא. DNSSEC חותם תשובות DNS כדי שאפשר יהיה לאמת אותן, אבל הוא לא מסתיר אותן. HTTPS מגן על תוכן החיבור.
האם אפשר להפעיל DNSSEC בכל סיומת?
לא בהכרח. הרישום של כל סיומת מחליט אם הוא מקבל רשומות DS. בדקו את התיעוד של הרישום או הרשם לפני שאתם מתחילים.
האם DNSSEC יאט את האתר שלי?
תשובות חתומות גדולות יותר, ופותר מאמת עושה עבודה נוספת, אבל ההשפעה על טעינת העמודים קטנה לרוב האתרים. כשלים מרשומות DS לא תואמות חשובים יותר מהמהירות.
מה אם אחליף ספק DNS בהמשך?
הסירו קודם את רשומת ה-DS, המתינו עד שיעבור זמן החיים שלה, העבירו את האזור, ואז הפעילו חתימה אצל הספק החדש ופרסמו את רשומת ה-DS שלו.
האם Wardmint גובה על DNSSEC?
לא. DNSSEC מנוהל הוא חלק מאירוח ה-DNS החינמי של Wardmint, כך שה-.com נשאר ב-12.49 $/שנה בין אם הוא חתום ובין אם לא.
לסיכום
- DNSSEC חותם תשובות DNS כדי שפותרים יוכלו לדחות תשובות מזויפות.
- מפעילים אותו בשני חלקים: חותמים את האזור, ואז מפרסמים את רשומת ה-DS אצל הרשם.
- מפרסמים את רשומת ה-DS אחרי שהאזור נחתם; הסדר הלא נכון גורם לדומיין להיכשל באימות.
- מסירים את רשומת ה-DS לפני שמעבירים ספק DNS.
- ה-DNS החינמי של Wardmint כולל DNSSEC מנוהל ללא תוספת עלות.
- DNSSEC לא מגן על חשבון שתוקף השתלט עליו.
- Wardmint לא מציעה נעילת רשם הסיומה; היא מציעה נעילת העברה והגנת דומיין.
מקורות (3)
- RFC 9364: DNS Security Extensions (DNSSEC), BCP 237 — IETF / RFC Editor (נקרא ב-2026-11-12)
- נעילת רשם הסיומה — Verisign (נקרא ב-2026-11-12)
- הודעת אירוע של Curve Finance בדומיין — Curve Finance (נקרא ב-2026-11-12)