Risposta rapida
Come si attiva DNSSEC sul proprio dominio?
Attivate DNSSEC in due parti: firmate la zona presso il vostro provider DNS, che produce un record DS, poi pubblicate quel record DS presso il registrar. Il DNS gratuito di Wardmint include DNSSEC gestito senza costi aggiuntivi, ovunque il registry dell'estensione accetti record DS. DNSSEC rileva le risposte falsificate ma non protegge un account di cui qualcuno ha preso il controllo.
I quattro record DNSSEC e chi li pubblica
| Record | Cosa contiene | Dove si trova | Chi lo pubblica |
|---|---|---|---|
| DNSKEY | La chiave pubblica che convalida le vostre firme | Nella vostra zona | Il vostro provider DNS |
| RRSIG | Una firma su ogni insieme di record | Nella vostra zona, accanto ai record | Il vostro provider DNS |
| DS | Un'impronta della vostra key signing key | Nella zona superiore, come .com | Il registry, a partire dai dati inviati dal registrar |
| CDS e CDNSKEY | La vostra richiesta di aggiungere o modificare il record DS | Nella vostra zona | Il vostro provider DNS, dove il registry li legge (RFC 7344) |
Cosa fa DNSSEC per un progetto crypto?
DNSSEC aggiunge una firma digitale alle risposte DNS in modo che un resolver possa rifiutare i dati falsificati. È un insieme di protocolli, definiti in RFC 4033, RFC 4034 e RFC 4035 e aggiornati da RFC 6840, e l'IETF lo definisce la migliore pratica attuale per l'autenticazione dell'origine dei dati DNS in RFC 9364.
Per un progetto, questo chiude una via di attacco. Un attaccante che manomette le risposte tra il resolver di un utente e i vostri name server non può produrre firme valide, quindi un resolver che convalida restituisce un errore invece dell'indirizzo dell'attaccante. L'utente non viene portato da nessuna parte invece che su un drainer.
Il limite conta quanto il beneficio. DNSSEC non ferma chi accede al vostro registrar, perché quella persona può cambiare i vostri name server o sostituire il record DS. I dirottamenti di Curve Finance nel 2022 e nel 2025 e di Galxe nel 2023 sono stati riportati come lato registrar o lato account, ed è per questo che come proteggere il proprio dominio dal dirottamento DNS parte dall'account e tratta DNSSEC come un livello.
Come funziona la catena di fiducia?
La catena di fiducia collega la vostra zona alla radice tramite record DS, un livello superiore alla volta. La zona radice garantisce per .com, .com garantisce per il vostro dominio tramite il record DS, e la vostra zona garantisce per i propri record con le firme RRSIG.
La vostra zona ha due tipi di chiave. La zone signing key firma gli insiemi di record; la key signing key firma l'insieme delle chiavi ed è quella a cui punta il record DS. Un record DS contiene un key tag, un numero di algoritmo, un tipo di digest e un digest della key signing key. Se il record DS presso il registry non corrisponde a una chiave della vostra zona, i resolver che convalidano considerano il dominio guasto e restituiscono SERVFAIL.
È il guasto DNSSEC più comune, e danneggia la disponibilità, non la sicurezza: il sito diventa irraggiungibile per gli utenti dietro resolver che convalidano. L'ordine conta, ed è per questo che i passaggi qui sotto pubblicano prima la zona firmata e poi il record DS.
Quale configurazione DNS avete?
Il Suo percorso dipende da chi gestisce la zona: il DNS di Wardmint o un fornitore esterno. Il DNS gratuito di Wardmint include hosting DNS gratuito con record A, AAAA, CNAME, ALIAS, MX, TXT, NS, SRV e CAA, DNSSEC gestito e, se preferite, nameserver personalizzati (da 2 a 13).
Se la zona è sul DNS di Wardmint, DNSSEC è gestito: le chiavi vengono generate e ruotate per Lei, e lo attiva per il dominio nell'area clienti. Se la zona è presso un fornitore DNS esterno, quel fornitore la firma e Le mostra il record DS o i dati della chiave; Lei fornisce quei dati DS a chi detiene la registrazione. Per un dominio registrato presso Wardmint, lo invii tramite l'area clienti o chieda al supporto: risposte via e-mail entro 12 ore, 7 giorni su 7, compreso l'aiuto con DNSSEC, record CAA e segnalazioni di abuso.
Secondo il sondaggio di Wardmint del 12 novembre 2026, tutte e 29 le estensioni del suo listino hanno un prezzo di privacy WHOIS pari a 0 $ e il DNSSEC gestito incluso nell'hosting DNS non comporta costi aggiuntivi; un .com resta a 12,49 USD/anno che sia firmato o meno. Verifichi che l'estensione supporti DNSSEC presso il suo registro prima di iniziare; la documentazione del registrar o del registro lo indica.
Come attivare DNSSEC in sei passaggi
Come attivare DNSSEC in sei passaggi
Esegua dig NS example.com +short e annoti quale provider risponde. La firma avviene lì.
Eseguite dig NS example.com +short e annotate quale provider risponde. La firma avviene lì.
Verificate l'esistenza di un record DS
Eseguite dig DS example.com +short. Se ne esiste uno da una configurazione precedente, rimuovetelo prima di cambiare provider.
Attivi DNSSEC gestito nel proprio provider DNS o nell'area clienti. Il provider crea le chiavi e firma la zona.
Attivate DNSSEC gestito presso il vostro provider DNS o nell'area clienti. Il provider crea le chiavi e firma la zona.
Copi il key tag, l'algoritmo, il tipo di digest e il digest che il provider visualizza.
Copiate il key tag, l'algoritmo, il tipo di digest e il digest che il provider mostra.
Inserite i dati DS del dominio presso il registrar. Con la gestione automatica del DS tramite CDS o CDNSKEY, il registry li legge dalla zona.
Convalidate la catena
Eseguite dig example.com A +dnssec e cercate il flag ad nella risposta di un resolver che convalida, poi verificate con un controllo DNSSEC pubblico.
dig NS example.com +short
dig DS example.com +short
dig DNSKEY example.com +short
dig example.com A +dnssec +multiCosa può andare storto quando si attiva DNSSEC?
I guasti sono mancate corrispondenze, e ciascuno ha una soluzione rapida. Un record DS pubblicato prima che la zona sia firmata fa sì che i resolver che convalidano restituiscano SERVFAIL. Rimuovete il record DS presso il registrar, attendete che lasci la zona superiore, firmate la zona, poi pubblicate di nuovo il record DS.
Il cambio di provider DNS è l'altra trappola. Se il nuovo provider non possiede le vecchie chiavi, il vecchio record DS non corrisponde più. Rimuovete prima il record DS, attendete la scadenza del suo time to live, spostate la zona, attivate la firma presso il nuovo provider e aggiungete il nuovo record DS.
Tenete il record DS nella vostra checklist delle modifiche, accanto ai record CAA descritti in come configurare i record CAA, e mettete l'accesso al registrar dietro i controlli descritti in come proteggere il proprio account di registrar dal furto. Un attaccante che può sostituire un record DS può annullare la vostra firma, quindi il record DS è sicuro quanto l'account che lo modifica.
DNSSEC è la stessa cosa di un registry lock?
No. DNSSEC autentica le risposte; un registry lock impedisce le modifiche non autorizzate presso il registry. Difendono punti diversi. DNSSEC protegge i dati in transito. Un registry lock, offerto da Verisign per .com e .net tramite i registrar partecipanti, richiede una verifica manuale fuori banda prima che name server, trasferimenti o titolarità cambino.
Wardmint non offre il registry lock. Offre un blocco dei trasferimenti per ogni dominio, DNSSEC gestito e record CAA, e la Protezione del dominio a +29 USD/anno, in cui il dominio è a nome di DomaineGoat LLC e una persona legge ogni reclamo prima di qualsiasi azione. Il confronto è in registry lock o blocco del registrar.
Domande su DNSSEC
DNSSEC cifra il mio traffico?
No. DNSSEC firma le risposte DNS in modo che possano essere verificate, ma non le nasconde. HTTPS protegge il contenuto della connessione.
Posso attivare DNSSEC su ogni estensione?
Non necessariamente. Il registry di ciascuna estensione decide se accetta record DS. Controllate la documentazione del registry o del registrar prima di iniziare.
DNSSEC rallenterà il mio sito?
Le risposte firmate sono più grandi, e un resolver che convalida fa un lavoro in più, ma l'effetto sul caricamento delle pagine è piccolo per la maggior parte dei siti. I guasti dovuti a record DS non corrispondenti contano più della velocità.
E se cambio provider DNS in seguito?
Rimuovete prima il record DS, attendete che trascorra il suo time to live, spostate la zona, poi attivate la firma presso il nuovo provider e pubblicate il suo record DS.
Wardmint fa pagare DNSSEC?
No. Il DNSSEC gestito fa parte dell'hosting DNS gratuito di Wardmint, quindi un .com resta a 12,49 USD/anno firmato o non firmato.
In sintesi
- DNSSEC firma le risposte DNS in modo che i resolver possano rifiutare quelle falsificate.
- Lo attivate in due parti: firmate la zona, poi pubblicate il record DS presso il registrar.
- Pubblicate il record DS dopo che la zona è firmata; l'ordine sbagliato fa fallire la convalida del dominio.
- Rimuovete il record DS prima di cambiare provider DNS.
- Il DNS gratuito di Wardmint include DNSSEC gestito senza costi aggiuntivi.
- DNSSEC non protegge un account di cui un attaccante ha preso il controllo.
- Wardmint non offre il registry lock; offre un blocco dei trasferimenti e la Protezione del dominio.
Fonti (3)
- RFC 9364: DNS Security Extensions (DNSSEC), BCP 237 — IETF / RFC Editor (letto il 2026-11-12)
- Registry Lock — Verisign (letto il 2026-11-12)
- Avviso sull'incidente del dominio di Curve Finance — Curve Finance (letto il 2026-11-12)