संक्षिप्त उत्तर
आप अपने डोमेन पर DNSSEC कैसे चालू करते हैं?
DNSSEC दो हिस्सों में चालू करें: अपने DNS प्रदाता पर ज़ोन पर हस्ताक्षर करें, जिससे एक DS रिकॉर्ड बनता है, फिर वह DS रिकॉर्ड रजिस्ट्रार पर प्रकाशित करें। Wardmint का मुफ़्त DNS प्रबंधित DNSSEC शामिल करता है, जहाँ भी एक्सटेंशन की रजिस्ट्री DS रिकॉर्ड स्वीकार करती है, बिना किसी अतिरिक्त शुल्क के। DNSSEC जाली उत्तर पकड़ता है, पर हथियाए गए खाते की रक्षा नहीं करता।
DNSSEC के चार रिकॉर्ड और उन्हें कौन प्रकाशित करता है
| रिकॉर्ड | उनमें क्या है | वे कहाँ रहते हैं | उन्हें कौन प्रकाशित करता है |
|---|---|---|---|
| DNSKEY | सार्वजनिक कुंजी जो आपके हस्ताक्षरों को मान्य करती है | आपके ज़ोन में | आपका DNS प्रदाता |
| RRSIG | रिकॉर्ड के हर सेट पर एक हस्ताक्षर | आपके ज़ोन में, रिकॉर्ड के साथ | आपका DNS प्रदाता |
| DS | आपकी key signing key का एक फ़िंगरप्रिंट | पैरेंट ज़ोन में, जैसे .com | रजिस्ट्री, रजिस्ट्रार के भेजे डेटा से |
| CDS और CDNSKEY | DS रिकॉर्ड जोड़ने या बदलने की आपकी इच्छा | आपके ज़ोन में | आपका DNS प्रदाता, जहाँ रजिस्ट्री उन्हें पढ़ती है (RFC 7344) |
DNSSEC क्रिप्टो प्रोजेक्ट के लिए क्या करता है?
DNSSEC DNS उत्तरों में एक डिजिटल हस्ताक्षर जोड़ता है, ताकि रिज़ॉल्वर किसी के जाली बनाए डेटा को अस्वीकार कर सके। यह प्रोटोकॉल का एक समूह है, जो RFC 4033, RFC 4034 और RFC 4035 में परिभाषित है और RFC 6840 द्वारा अपडेट हुआ है, और IETF इसे RFC 9364 में DNS डेटा के मूल प्रमाणीकरण के लिए सर्वोत्तम वर्तमान अभ्यास कहता है।
एक प्रोजेक्ट के लिए यह हमले का एक रास्ता बंद करता है। जो हमलावर उपयोगकर्ता के रिज़ॉल्वर और आपके नेमसर्वर के बीच उत्तरों से छेड़छाड़ करता है, वह मान्य हस्ताक्षर नहीं बना सकता, इसलिए मान्य करने वाला रिज़ॉल्वर हमलावर का पता देने के बजाय त्रुटि लौटाता है। उपयोगकर्ता किसी ड्रेनर पर भेजे जाने के बजाय कहीं नहीं भेजा जाता।
सीमा भी उतनी ही मायने रखती है जितना लाभ। DNSSEC उस व्यक्ति को नहीं रोकता जो आपके रजिस्ट्रार में लॉगिन करता है, क्योंकि वह व्यक्ति आपके नेमसर्वर बदल सकता है या DS रिकॉर्ड बदल सकता है। 2022 और 2025 में Curve Finance और 2023 में Galxe के हाईजैक रजिस्ट्रार-स्तर या खाता-स्तर के बताए गए थे, इसलिए अपने डोमेन को DNS हाईजैकिंग से कैसे सुरक्षित करें खाते से शुरू करता है और DNSSEC को एक परत मानता है।
विश्वास की श्रृंखला कैसे काम करती है?
विश्वास की श्रृंखला आपके ज़ोन को DS रिकॉर्ड के ज़रिए रूट से जोड़ती है, एक-एक पैरेंट करके। रूट ज़ोन .com की पुष्टि करता है, .com DS रिकॉर्ड के ज़रिए आपके डोमेन की पुष्टि करता है, और आपका ज़ोन अपने रिकॉर्ड की पुष्टि RRSIG हस्ताक्षरों से करता है।
आपके ज़ोन में दो तरह की कुंजियाँ होती हैं। zone signing key रिकॉर्ड सेट पर हस्ताक्षर करती है; key signing key कुंजी सेट पर हस्ताक्षर करती है और वही है जिसकी ओर DS रिकॉर्ड इशारा करता है। DS रिकॉर्ड में key tag, एल्गोरिदम नंबर, digest type और key signing key का digest होता है। अगर रजिस्ट्री पर का DS रिकॉर्ड आपके ज़ोन की किसी कुंजी से मेल नहीं खाता, तो मान्य करने वाले रिज़ॉल्वर डोमेन को टूटा हुआ मानते हैं और SERVFAIL लौटाते हैं।
यह सबसे आम DNSSEC विफलता है, और यह उपलब्धता को नुक़सान पहुँचाती है, सुरक्षा को नहीं: मान्य करने वाले रिज़ॉल्वर के पीछे के उपयोगकर्ताओं के लिए साइट बंद हो जाती है। क्रम मायने रखता है, इसीलिए नीचे के चरण पहले हस्ताक्षरित ज़ोन प्रकाशित करते हैं और DS रिकॉर्ड दूसरे नंबर पर।
आपके पास कौन सा DNS सेटअप है?
आपका रास्ता इस पर निर्भर है कि ज़ोन कौन चलाता है: Wardmint का DNS, या कोई बाहरी प्रदाता। Wardmint की मुफ़्त DNS होस्टिंग में A, AAAA, CNAME, ALIAS, MX, TXT, NS, SRV और CAA रिकॉर्ड के साथ मुफ़्त DNS होस्टिंग, प्रबंधित DNSSEC, और चाहें तो अपने नेमसर्वर (2 से 13) शामिल है।
अगर ज़ोन Wardmint के DNS पर है, तो DNSSEC प्रबंधित है: कुंजियाँ आपके लिए बनती और घुमाई जाती हैं, और आप क्लाइंट एरिया में डोमेन के लिए उसे चालू करते हैं। अगर ज़ोन किसी बाहरी DNS प्रदाता पर है, तो वह प्रदाता उस पर हस्ताक्षर करता है और आपको DS रिकॉर्ड या कुंजी डेटा दिखाता है; वह DS डेटा आप उसे देते हैं जिसके पास रजिस्ट्रेशन है। Wardmint पर रजिस्टर किए डोमेन के लिए इसे क्लाइंट एरिया के ज़रिए भेजें, या सहायता से पूछें: 12 घंटे के भीतर ईमेल का जवाब, हफ़्ते के सातों दिन, DNSSEC, CAA रिकॉर्ड और दुरुपयोग की रिपोर्ट में मदद सहित।
Wardmint के 12 नवंबर 2026 के सर्वे के अनुसार, उसकी कीमत सूची के सभी 29 एक्सटेंशन पर WHOIS गोपनीयता की कीमत $0 है, और DNS होस्टिंग के साथ आने वाला प्रबंधित DNSSEC भी कोई शुल्क नहीं जोड़ता; .com $12.49/साल पर रहता है, चाहे हस्ताक्षरित हो या नहीं। शुरू करने से पहले जाँचें कि एक्सटेंशन अपनी रजिस्ट्री पर DNSSEC समर्थित करता है; रजिस्ट्रार या रजिस्ट्री का दस्तावेज़ यह बताता है।
छह चरणों में DNSSEC कैसे चालू करें
जाँचें कि ज़ोन कौन चलाता है
dig NS example.com +short चलाएँ और देखें कि कौन सा प्रदाता जवाब देता है। हस्ताक्षर वहीं होता है।
मौजूदा DS रिकॉर्ड जाँचें
dig DS example.com +short चलाएँ। अगर पिछली सेटअप से एक मौजूद है, तो प्रदाता बदलने से पहले उसे हटाएँ।
हस्ताक्षर चालू करें
अपने DNS प्रदाता या क्लाइंट एरिया में प्रबंधित DNSSEC चालू करें। प्रदाता कुंजियाँ बनाता है और ज़ोन पर हस्ताक्षर करता है।
DS रिकॉर्ड कॉपी करें
प्रदाता द्वारा दिखाए गए key tag, एल्गोरिदम, digest type और digest कॉपी करें।
DS रिकॉर्ड रजिस्ट्रार पर प्रकाशित करें
रजिस्ट्रार पर डोमेन के लिए DS डेटा दर्ज करें। CDS या CDNSKEY के ज़रिए स्वचालित DS प्रबंधन के साथ, रजिस्ट्री उसे ज़ोन से पढ़ लेती है।
श्रृंखला सत्यापित करें
dig example.com A +dnssec चलाएँ और एक मान्य करने वाले रिज़ॉल्वर के उत्तर में ad flag देखें, फिर किसी सार्वजनिक DNSSEC जाँचकर्ता से परखें।
dig NS example.com +short
dig DS example.com +short
dig DNSKEY example.com +short
dig example.com A +dnssec +multiDNSSEC चालू करने पर क्या ग़लत हो सकता है?
विफलताएँ बेमेल होने की हैं, और हर एक का छोटा हल है। ज़ोन पर हस्ताक्षर होने से पहले प्रकाशित DS रिकॉर्ड मान्य करने वाले रिज़ॉल्वर को SERVFAIL लौटाने पर मजबूर करता है। रजिस्ट्रार पर DS रिकॉर्ड हटाएँ, उसके पैरेंट ज़ोन से निकलने का इंतज़ार करें, ज़ोन पर हस्ताक्षर करें, फिर DS रिकॉर्ड दोबारा प्रकाशित करें।
DNS प्रदाता बदलना दूसरा जाल है। अगर नया प्रदाता पुरानी कुंजियाँ नहीं रखता, तो पुराना DS रिकॉर्ड अब मेल नहीं खाता। पहले DS रिकॉर्ड हटाएँ, उसके time to live के ख़त्म होने का इंतज़ार करें, ज़ोन को ले जाएँ, नए प्रदाता पर हस्ताक्षर चालू करें और नया DS रिकॉर्ड जोड़ें।
DS रिकॉर्ड अपनी बदलाव की चेकलिस्ट में रखें, उन CAA रिकॉर्ड के साथ जो CAA रिकॉर्ड कैसे सेट करें में हैं, और रजिस्ट्रार लॉगिन को नियंत्रणों के पीछे रखें, जैसा अपने रजिस्ट्रार खाते को अधिग्रहण से कैसे बचाएँ बताता है। जो हमलावर DS रिकॉर्ड बदल सकता है, वह आपके हस्ताक्षर को पलट सकता है, इसलिए DS रिकॉर्ड उतना ही सुरक्षित है जितना उसे बदलने वाला खाता।
क्या DNSSEC रजिस्ट्री लॉक जैसा है?
नहीं। DNSSEC उत्तरों को प्रमाणित करता है; रजिस्ट्री लॉक रजिस्ट्री पर अनधिकृत बदलावों को रोकता है। दोनों अलग बिंदुओं की रक्षा करते हैं। DNSSEC ट्रांज़िट में डेटा की रक्षा करता है। रजिस्ट्री लॉक, जो Verisign .com और .net के लिए भाग लेने वाले रजिस्ट्रार के ज़रिए देता है, नेमसर्वर, ट्रांसफ़र या मालिकाना बदलने से पहले मैन्युअल, आउट-ऑफ़-बैंड सत्यापन माँगता है।
Wardmint रजिस्ट्री लॉक नहीं देता। वह हर डोमेन के लिए ट्रांसफ़र लॉक, प्रबंधित DNSSEC और CAA रिकॉर्ड देता है, और +$29/वर्ष पर Domain protection देता है, जहाँ डोमेन DomaineGoat LLC के नाम पर होता है और कार्रवाई से पहले एक व्यक्ति हर शिकायत पढ़ता है। तुलना रजिस्ट्री लॉक बनाम रजिस्ट्रार लॉक में है।
DNSSEC के सवाल
क्या DNSSEC मेरे ट्रैफ़िक को एन्क्रिप्ट करता है?
नहीं। DNSSEC DNS उत्तरों पर हस्ताक्षर करता है ताकि उन्हें सत्यापित किया जा सके, लेकिन वह उन्हें छिपाता नहीं। कनेक्शन की सामग्री की रक्षा HTTPS करता है।
क्या मैं हर एक्सटेंशन पर DNSSEC चालू कर सकता हूँ?
ज़रूरी नहीं। हर एक्सटेंशन की रजिस्ट्री तय करती है कि वह DS रिकॉर्ड स्वीकार करती है या नहीं। शुरू करने से पहले रजिस्ट्री या रजिस्ट्रार का दस्तावेज़ जाँचें।
क्या DNSSEC मेरी साइट को धीमा करेगा?
हस्ताक्षरित उत्तर बड़े होते हैं, और मान्य करने वाला रिज़ॉल्वर अतिरिक्त काम करता है, लेकिन ज़्यादातर साइटों पर पेज लोड पर असर छोटा होता है। बेमेल DS रिकॉर्ड की विफलताएँ गति से ज़्यादा मायने रखती हैं।
अगर मैं बाद में DNS प्रदाता बदलूँ तो क्या होगा?
पहले DS रिकॉर्ड हटाएँ, उसका time to live गुज़रने दें, ज़ोन को ले जाएँ, फिर नए प्रदाता पर हस्ताक्षर चालू करें और उसका DS रिकॉर्ड प्रकाशित करें।
क्या Wardmint DNSSEC के लिए शुल्क लेता है?
नहीं। प्रबंधित DNSSEC Wardmint की मुफ़्त DNS होस्टिंग का हिस्सा है, इसलिए .com $12.49/साल हस्ताक्षरित हो या न हो।
सारांश
- DNSSEC DNS उत्तरों पर हस्ताक्षर करता है ताकि रिज़ॉल्वर जाली उत्तरों को अस्वीकार कर सकें।
- इसे दो हिस्सों में चालू करते हैं: ज़ोन पर हस्ताक्षर करें, फिर रजिस्ट्रार पर DS रिकॉर्ड प्रकाशित करें।
- ज़ोन पर हस्ताक्षर होने के बाद DS रिकॉर्ड प्रकाशित करें; ग़लत क्रम से डोमेन मान्यता में विफल हो जाता है।
- DNS प्रदाता बदलने से पहले DS रिकॉर्ड हटाएँ।
- Wardmint का मुफ़्त DNS बिना अतिरिक्त शुल्क के प्रबंधित DNSSEC शामिल करता है।
- DNSSEC उस खाते की रक्षा नहीं करता जिसे हमलावर ने हथिया लिया हो।
- Wardmint रजिस्ट्री लॉक नहीं देता; वह ट्रांसफ़र लॉक और Domain protection देता है।
स्रोत (3)
- RFC 9364: DNS Security Extensions (DNSSEC), BCP 237 — IETF / RFC Editor (2026-11-12 को पढ़ा गया)
- Registry Lock — Verisign (2026-11-12 को पढ़ा गया)
- Curve Finance डोमेन घटना की सूचना — Curve Finance (2026-11-12 को पढ़ा गया)