# Bagaimana cara mengaktifkan DNSSEC pada domain Anda?

> Aktifkan DNSSEC dengan menandatangani zona Anda dan mempublikasikan rekaman DS di induk; DNS Wardmint menyertakan DNSSEC terkelola tanpa biaya tambahan.

- URL: https://wardmint.com/id/guides/enable-dnssec/
- Terakhir diperbarui: 2026-11-12
- Penerbit: Wardmint (https://wardmint.com)

DNSSEC memungkinkan resolver memverifikasi bahwa jawaban untuk domain Anda tidak dipalsukan di tengah jalan. Mengaktifkannya membutuhkan dua bagian: zona yang ditandatangani dan rekaman DS di registry.

**Jawaban singkat — Bagaimana cara mengaktifkan DNSSEC pada domain Anda?**

Aktifkan DNSSEC dalam dua bagian: tandatangani zona di penyedia DNS Anda, yang menghasilkan rekaman DS, lalu publikasikan rekaman DS itu di registrar. **Wardmint**: DNS gratisnya mencakup DNSSEC terkelola tanpa biaya tambahan, di mana pun registry ekstensi menerima rekaman DS. DNSSEC mendeteksi jawaban yang dipalsukan tetapi tidak melindungi akun yang diambil alih.

## Keempat rekaman DNSSEC dan siapa yang mempublikasikannya

| klien: hapus, transfer, dan pembaruan dilarang | Apa isinya | Di mana tinggalnya | Siapa yang mempublikasikan |
| --- | --- | --- | --- |
| DNSKEY | Kunci publik yang memvalidasi tanda tangan Anda | Di zona Anda | Penyedia DNS Anda |
| RRSIG | Tanda tangan atas setiap kumpulan rekaman | Di zona Anda, di samping rekaman | Penyedia DNS Anda |
| DS | Sidik jari kunci penandatangan kunci Anda | Di zona induk, seperti .com | Registry, dari data yang dikirim registrar |
| CDS dan CDNSKEY | Keinginan Anda untuk menambah atau mengubah rekaman DS | Di zona Anda | Penyedia DNS Anda, tempat registry membacanya (RFC 7344) |

## Apa yang dilakukan DNSSEC untuk proyek kripto?

**DNSSEC menambahkan tanda tangan digital pada jawaban DNS sehingga resolver dapat menolak data yang dipalsukan seseorang.** Ia adalah sekumpulan protokol, yang didefinisikan dalam RFC 4033, RFC 4034 dan RFC 4035 dan diperbarui oleh RFC 6840, dan IETF menyebutnya praktik terbaik saat ini untuk autentikasi asal data DNS dalam RFC 9364.

Bagi proyek, ini menutup satu jalur serangan. Penyerang yang memanipulasi jawaban antara resolver pengguna dan nameserver Anda tidak dapat membuat tanda tangan yang valid, sehingga resolver yang memvalidasi mengembalikan kesalahan alih-alih alamat penyerang. Pengguna tidak dikirim ke mana pun, bukan ke drainer.

Batasnya sama pentingnya. DNSSEC tidak menghentikan orang yang masuk ke registrar Anda, karena orang itu dapat mengubah nameserver Anda atau mengganti rekaman DS. Pembajakan Curve Finance pada 2022 dan 2025 serta Galxe pada 2023 dilaporkan berada di sisi registrar atau akun, dan itulah sebabnya [cara mengamankan domain Anda dari pembajakan DNS](https://wardmint.com/id/guides/secure-domain-against-dns-hijacking/ "How to secure your domain against DNS hijacking") dimulai dengan akun dan menganggap DNSSEC sebagai salah satu lapisan.

## Bagaimana rantai kepercayaan bekerja?

**Rantai kepercayaan menghubungkan zona Anda ke root melalui rekaman DS, satu induk pada satu waktu.** Zona root menjamin .com, .com menjamin domain Anda melalui rekaman DS, dan zona Anda menjamin rekaman miliknya sendiri dengan tanda tangan RRSIG.

Zona Anda memiliki dua jenis kunci. Zone signing key menandatangani kumpulan rekaman; key signing key menandatangani kumpulan kunci dan merupakan yang ditunjuk oleh rekaman DS. Sebuah rekaman DS berisi key tag, nomor algoritma, jenis digest, dan digest dari key signing key. Jika rekaman DS di registry tidak cocok dengan kunci di zona Anda, resolver yang memvalidasi menganggap domain itu rusak dan mengembalikan SERVFAIL.

Ini adalah kegagalan DNSSEC yang paling umum, dan dampaknya pada ketersediaan, bukan keamanan: situs menjadi tidak bisa diakses bagi pengguna di belakang resolver yang memvalidasi. Urutan penting, itulah sebabnya langkah di bawah mempublikasikan zona yang ditandatangani terlebih dahulu dan rekaman DS kedua.

## Pengaturan DNS mana yang Anda miliki?

**Jalur Anda bergantung pada siapa yang melayani zona: DNS Wardmint, atau penyedia luar.** Hosting DNS gratis Wardmint mencakup DNS gratis dengan rekaman A, AAAA, CNAME, ALIAS, MX, TXT, NS, SRV dan CAA, DNSSEC terkelola, dan nameserver Anda sendiri jika Anda mau (2 sampai 13).

Jika zona ada di DNS Wardmint, DNSSEC terkelola: kunci dibuat dan diputar untuk Anda, dan Anda mengaktifkannya untuk domain di area klien. Jika zona ada di penyedia DNS luar, penyedia itu menandatanganinya dan menunjukkan kepada Anda rekaman DS atau data kunci; Anda memberikan data DS itu kepada pihak yang memegang pendaftaran. Untuk domain yang terdaftar di Wardmint, kirimkan melalui area klien atau minta dukungan: balasan email dalam 12 jam, 7 hari seminggu, termasuk bantuan soal DNSSEC, rekaman CAA dan laporan penyalahgunaan.

Menurut survei Wardmint pada 12 November 2026, semua 29 ekstensi dalam daftar harganya membawa harga privasi WHOIS $0, dan DNSSEC terkelola yang disertakan dengan hosting DNS juga tidak menambah biaya; .com tetap US$12,49/tahun baik ditandatangani maupun tidak. Periksa bahwa ekstensi mendukung DNSSEC di registry-nya sebelum memulai; dokumentasi registrar atau registry menyatakannya.

## Cara mengaktifkan DNSSEC dalam enam langkah

1. **Pastikan siapa yang melayani zona** — Jalankan dig NS example.com +short dan catat penyedia mana yang menjawab. Penandatanganan dilakukan di sana.
2. **Periksa rekaman DS yang sudah ada** — Jalankan dig DS example.com +short. Jika ada dari pengaturan sebelumnya, hapus sebelum Anda mengganti penyedia.
3. **Aktifkan penandatanganan** — Aktifkan DNSSEC terkelola di penyedia DNS Anda atau area klien. Penyedia membuat kunci dan menandatangani zona.
4. **Salin rekaman DS** — Salin key tag, algoritma, jenis digest, dan digest yang ditampilkan penyedia.
5. **Publikasikan rekaman DS di registrar** — Masukkan data DS untuk domain di registrar. Dengan manajemen DS otomatis melalui CDS atau CDNSKEY, registry membacanya dari zona.
6. **Validasi rantai** — Jalankan dig example.com A +dnssec dan cari flag ad pada jawaban dari resolver yang memvalidasi, lalu uji dengan pemeriksa DNSSEC publik.

*Periksa DNSSEC dari baris perintah*

```bash
dig NS example.com +short
dig DS example.com +short
dig DNSKEY example.com +short
dig example.com A +dnssec +multi
```

## Apa yang bisa salah ketika Anda mengaktifkan DNSSEC?

**Kegagalannya berupa ketidakcocokan, dan masing-masing punya perbaikan singkat.** Rekaman DS yang dipublikasikan sebelum zona ditandatangani membuat resolver yang memvalidasi mengembalikan SERVFAIL. Hapus rekaman DS di registrar, tunggu sampai ia hilang dari zona induk, tandatangani zona, lalu publikasikan kembali rekaman DS.

Pindah penyedia DNS adalah jebakan lain. Jika penyedia baru tidak memegang kunci lama, rekaman DS lama tidak lagi cocok. Hapus rekaman DS terlebih dahulu, tunggu time to live-nya habis, pindahkan zona, aktifkan penandatanganan di penyedia baru, lalu tambahkan rekaman DS yang baru.

Simpan rekaman DS dalam daftar perubahan Anda, di samping rekaman CAA dalam [cara mengatur rekaman CAA](https://wardmint.com/id/guides/set-up-caa-records/ "How to set up CAA records"), dan letakkan login registrar di balik kontrol dalam [cara melindungi akun registrar Anda dari pengambilalihan](https://wardmint.com/id/guides/protect-registrar-account/ "How to protect your registrar account from takeover"). Penyerang yang bisa mengganti rekaman DS dapat membatalkan penandatanganan Anda, sehingga rekaman DS hanya seaman akun yang mengeditnya.

## Apakah DNSSEC sama dengan registry lock?

**Tidak. DNSSEC mengautentikasi jawaban; registry lock menghentikan perubahan yang tidak sah di registry.** Keduanya melindungi titik yang berbeda. DNSSEC melindungi data dalam perjalanan. Registry lock, yang ditawarkan Verisign untuk .com dan .net melalui registrar peserta, mewajibkan verifikasi manual di luar jalur sebelum nameserver, transfer, atau perubahan kepemilikan.

Wardmint tidak menawarkan registry lock. Ia menawarkan kunci transfer untuk setiap domain, DNSSEC dan rekaman CAA terkelola, serta Perlindungan domain seharga +US$29/tahun, di mana domain berada atas nama DomaineGoat LLC dan seseorang membaca setiap pengaduan sebelum tindakan apa pun. Perbandingannya ada di [registry lock vs registrar lock](https://wardmint.com/id/registry-lock-vs-registrar-lock/ "Registry lock vs registrar lock: what is the difference?").

## Pertanyaan tentang DNSSEC

### Apakah DNSSEC mengenkripsi lalu lintas saya?

Tidak. DNSSEC menandatangani jawaban DNS agar dapat diverifikasi, tetapi tidak menyembunyikannya. HTTPS melindungi isi koneksi.

### Bisakah saya mengaktifkan DNSSEC di setiap ekstensi?

Belum tentu. Registry setiap ekstensi memutuskan apakah ia menerima rekaman DS. Periksa dokumentasi registry atau registrar sebelum Anda mulai.

### Apakah DNSSEC memperlambat situs saya?

Jawaban yang ditandatangani lebih besar, dan resolver yang memvalidasi bekerja lebih banyak, tetapi dampaknya terhadap pemuatan halaman kecil untuk sebagian besar situs. Kegagalan akibat rekaman DS yang tidak cocok lebih berpengaruh daripada kecepatan.

### Bagaimana jika saya mengganti penyedia DNS nanti?

Hapus rekaman DS terlebih dahulu, tunggu time to live-nya lewat, pindahkan zona, lalu aktifkan penandatanganan di penyedia baru dan publikasikan rekaman DS-nya.

### Apakah Wardmint memungut biaya untuk DNSSEC?

Tidak. DNSSEC terkelola adalah bagian dari hosting DNS gratis Wardmint, sehingga sebuah .com tetap US$12,49/tahun baik ditandatangani maupun tidak.

**Ringkasan**

- DNSSEC menandatangani jawaban DNS agar resolver dapat menolak yang dipalsukan.
- Anda mengaktifkannya dalam dua bagian: tandatangani zona, lalu publikasikan rekaman DS di registrar.
- Publikasikan rekaman DS setelah zona ditandatangani; urutan yang salah membuat domain gagal validasi.
- Hapus rekaman DS sebelum Anda memindahkan penyedia DNS.
- DNS gratis Wardmint mencakup DNSSEC terkelola tanpa biaya tambahan.
- DNSSEC tidak melindungi akun yang telah diambil alih oleh penyerang.
- Wardmint tidak menawarkan registry lock; ia menawarkan kunci transfer dan Perlindungan domain.

## Sumber

1. [RFC 9364: DNS Security Extensions (DNSSEC), BCP 237](https://www.rfc-editor.org/rfc/rfc9364.html) — IETF / RFC Editor (dibaca 2026-11-12)
2. [Registry Lock](https://www.verisign.com/resources/registrar-resources/registry-lock) — Verisign (dibaca 2026-11-12)
3. [Pemberitahuan insiden domain Curve Finance](https://news.curve.finance/curve-domain-incident/) — Curve Finance (dibaca 2026-11-12)

---

Wardmint: Wardmint mendaftarkan domain defensif yang dibutuhkan proyek kripto — nama mereka sendiri di ekstensi yang dipakai phisher, varian salah ketik dan varian mirip mereka sendiri — dibayar dengan kripto tanpa KYC: tanpa ID, hanya satu email terverifikasi per domain. Layanan ini dijalankan oleh DomaineGoat LLC, perusahaan yang terdaftar di Panama; domain didaftarkan melalui mitra registrar kami yang terakreditasi ICANN. Harga .com adalah US$12,49/tahun, sama setiap tahun.