ドメインで DNSSEC を有効にするには?

DNSSEC は暗号資産プロジェクトに何をもたらしますか?

DNSSEC は DNS の応答にデジタル署名を追加し、リゾルバーが偽造されたデータを拒否できるようにします。 RFC 4033、RFC 4034、RFC 4035 で定義され、RFC 6840 で更新されたプロトコル群で、IETF は RFC 9364 でこれを DNS データの発信元認証のための現時点でのベストプラクティスと呼んでいます。

プロジェクトにとっては、攻撃経路の1つを閉じることになります。ユーザーのリゾルバーとあなたのネームサーバーの間で応答を改ざんする攻撃者は、有効な署名を作れないため、検証を行うリゾルバーは攻撃者のアドレスではなくエラーを返します。ユーザーはドレイナーではなく、どこにも導かれません。

限界も利点と同じくらい重要です。DNSSEC は、レジストラにログインする人物を止められません。その人物はネームサーバーを変更したり、DS レコードを置き換えたりできるからです。2022年と2025年の Curve Finance、2023年の Galxe のハイジャックは、レジストラ側またはアカウント側のものと報告されており、そのためDNS ハイジャックからドメインを守る方法はアカウントから始め、DNSSEC を防御の一層として扱っています。

信頼の連鎖はどのように機能しますか?

信頼の連鎖は、DS レコードを通じて、親を1つずつたどってあなたのゾーンをルートに結び付けます。 ルートゾーンが .com を保証し、.com が DS レコードを通じてあなたのドメインを保証し、あなたのゾーンが RRSIG 署名で自らのレコードを保証します。

ゾーンには2種類の鍵があります。ゾーン署名鍵はレコードセットに署名し、鍵署名鍵は鍵セットに署名し、DS レコードが指すのはこちらです。DS レコードには、キータグ、アルゴリズム番号、ダイジェストタイプ、鍵署名鍵のダイジェストが含まれます。レジストリの DS レコードがゾーン内の鍵と一致しない場合、検証を行うリゾルバーはドメインを壊れているものとみなし、SERVFAIL を返します。

これは最もよくある DNSSEC の障害で、被害を受けるのはセキュリティではなく可用性です。検証を行うリゾルバーを使うユーザーに対して、サイトが見えなくなります。順序が重要なため、以下の手順では署名済みゾーンを先に、DS レコードを後に公開します。

どの DNS 構成をお使いですか?

手順は、ゾーンを誰が提供しているかによって異なります。Wardmint の DNS か、外部のプロバイダーかです。 Wardmint の無料 DNS ホスティングには A、AAAA、CNAME、ALIAS、MX、TXT、NS、SRV、CAA レコードに対応した無料の DNS ホスティング、マネージド DNSSEC、ご希望なら独自ネームサーバー(2〜13) が含まれます。

ゾーンが Wardmint の DNS にある場合、DNSSEC はマネージドで、鍵の生成とローテーションは代行され、クライアントエリアでドメインごとにオンにするだけです。ゾーンが外部の DNS プロバイダーにある場合、そのプロバイダーが署名し、DS レコードまたは鍵データを表示します。その DS データを、登録を保有する側に渡します。Wardmint で登録したドメインでは、クライアントエリアから送るか、サポートにご連絡ください:メールでの返信は12時間以内、年中無休。DNSSEC、CAA レコード、不正利用報告のサポートも含みます。

2026年11月12日 の Wardmint の調査によると、価格表の29種類すべての拡張子で WHOIS プライバシーの価格は $0 で、DNS ホスティングに付属するマネージド DNSSEC にも追加料金はありません。.com は署名の有無にかかわらず $12.49/年 のままです。始める前に、その拡張子のレジストリが DNSSEC に対応しているか確認してください。レジストラまたはレジストリのドキュメントに記載されています。

DNSSEC を有効にするときに何がうまくいかなくなる可能性がありますか?

障害は不一致で、それぞれ短い修正で直せます。 ゾーンに署名する前に DS レコードを公開すると、検証を行うリゾルバーが SERVFAIL を返します。レジストラで DS レコードを削除し、親ゾーンから消えるのを待ち、ゾーンに署名してから、DS レコードを再度公開してください。

DNS プロバイダーの移行もよくある落とし穴です。新しいプロバイダーが古い鍵を持っていなければ、古い DS レコードは一致しなくなります。まず DS レコードを削除し、その TTL が切れるのを待ち、ゾーンを移し、新しいプロバイダーで署名を有効にして、新しい DS レコードを追加してください。

DS レコードを変更チェックリストに入れ、CAA レコードの設定方法の CAA レコードの隣に置き、レジストラのログインをレジストラアカウントの乗っ取りを防ぐ方法の対策で守ってください。DS レコードを置き換えられる攻撃者は署名を無効にできるため、DS レコードの安全性は、それを編集するアカウントの安全性と同じです。

DNSSEC はレジストリロックと同じですか?

いいえ。DNSSEC は応答を認証し、レジストリロックはレジストリでの不正な変更を防ぎます。 守る箇所が異なります。DNSSEC は通信中のデータを守ります。.com と .net で対応するレジストラを通じて Verisign が提供するレジストリロックは、ネームサーバー、移管、所有権を変更する前に、帯域外での手動確認を必要とします。

Wardmint はレジストリロックを提供していません。提供しているのは、ドメインごとの移管ロック、マネージド DNSSEC と CAA レコード、年 +$29 のドメイン保護で、ドメイン保護ではドメインが DomaineGoat LLC の名義となり、措置の前にすべての苦情を担当者が読みます。比較はレジストリロックとレジストラロックの比較にあります。