# ドメインで DNSSEC を有効にするには?

> ゾーンに署名し、親ゾーンに DS レコードを公開して DNSSEC を有効化。Wardmint の DNS には追加費用なしでマネージド DNSSEC が含まれます。

- URL: https://wardmint.com/ja/guides/enable-dnssec/
- 最終更新日: 2026-11-12
- 発行者: Wardmint (https://wardmint.com)

DNSSEC により、リゾルバーはドメインへの応答が途中で偽造されていないことを検証できます。有効化には2つの要素があります。署名済みゾーンと、レジストリの DS レコードです。

**簡潔な回答 — ドメインで DNSSEC を有効にするには?**

DNSSEC は2段階で有効にします。DNS プロバイダーでゾーンに署名して DS レコードを生成し、その DS レコードをレジストラで公開します。**Wardmint** の無料 DNS には、拡張子のレジストリが DS レコードを受け付ける限り、追加料金なしのマネージド DNSSEC が含まれます。DNSSEC は偽造された応答を検出しますが、乗っ取られたアカウントは守れません。

## 4つの DNSSEC レコードと公開する人

| レコード | 保持する内容 | 置かれる場所 | 公開する人 |
| --- | --- | --- | --- |
| DNSKEY | 署名を検証する公開鍵 | ご自身のゾーン内 | ご自身の DNS プロバイダー |
| RRSIG | 各レコードセットに対する署名 | ご自身のゾーン内、レコードの隣 | ご自身の DNS プロバイダー |
| DS | 鍵署名鍵のフィンガープリント | .com などの親ゾーン内 | レジストリ。レジストラが送るデータに基づく |
| CDS と CDNSKEY | DS レコードを追加・変更したいという希望 | ご自身のゾーン内 | ご自身の DNS プロバイダー。レジストリがそれを読む場合(RFC 7344) |

## DNSSEC は暗号資産プロジェクトに何をもたらしますか?

**DNSSEC は DNS の応答にデジタル署名を追加し、リゾルバーが偽造されたデータを拒否できるようにします。** RFC 4033、RFC 4034、RFC 4035 で定義され、RFC 6840 で更新されたプロトコル群で、IETF は RFC 9364 でこれを DNS データの発信元認証のための現時点でのベストプラクティスと呼んでいます。

プロジェクトにとっては、攻撃経路の1つを閉じることになります。ユーザーのリゾルバーとあなたのネームサーバーの間で応答を改ざんする攻撃者は、有効な署名を作れないため、検証を行うリゾルバーは攻撃者のアドレスではなくエラーを返します。ユーザーはドレイナーではなく、どこにも導かれません。

限界も利点と同じくらい重要です。DNSSEC は、レジストラにログインする人物を止められません。その人物はネームサーバーを変更したり、DS レコードを置き換えたりできるからです。2022年と2025年の Curve Finance、2023年の Galxe のハイジャックは、レジストラ側またはアカウント側のものと報告されており、そのため[DNS ハイジャックからドメインを守る方法](https://wardmint.com/ja/guides/secure-domain-against-dns-hijacking/ "How to secure your domain against DNS hijacking")はアカウントから始め、DNSSEC を防御の一層として扱っています。

## 信頼の連鎖はどのように機能しますか?

**信頼の連鎖は、DS レコードを通じて、親を1つずつたどってあなたのゾーンをルートに結び付けます。** ルートゾーンが .com を保証し、.com が DS レコードを通じてあなたのドメインを保証し、あなたのゾーンが RRSIG 署名で自らのレコードを保証します。

ゾーンには2種類の鍵があります。ゾーン署名鍵はレコードセットに署名し、鍵署名鍵は鍵セットに署名し、DS レコードが指すのはこちらです。DS レコードには、キータグ、アルゴリズム番号、ダイジェストタイプ、鍵署名鍵のダイジェストが含まれます。レジストリの DS レコードがゾーン内の鍵と一致しない場合、検証を行うリゾルバーはドメインを壊れているものとみなし、SERVFAIL を返します。

これは最もよくある DNSSEC の障害で、被害を受けるのはセキュリティではなく可用性です。検証を行うリゾルバーを使うユーザーに対して、サイトが見えなくなります。順序が重要なため、以下の手順では署名済みゾーンを先に、DS レコードを後に公開します。

## どの DNS 構成をお使いですか?

**手順は、ゾーンを誰が提供しているかによって異なります。Wardmint の DNS か、外部のプロバイダーかです。** Wardmint の無料 DNS ホスティングには A、AAAA、CNAME、ALIAS、MX、TXT、NS、SRV、CAA レコードに対応した無料の DNS ホスティング、マネージド DNSSEC、ご希望なら独自ネームサーバー(2〜13) が含まれます。

ゾーンが Wardmint の DNS にある場合、DNSSEC はマネージドで、鍵の生成とローテーションは代行され、クライアントエリアでドメインごとにオンにするだけです。ゾーンが外部の DNS プロバイダーにある場合、そのプロバイダーが署名し、DS レコードまたは鍵データを表示します。その DS データを、登録を保有する側に渡します。Wardmint で登録したドメインでは、クライアントエリアから送るか、サポートにご連絡ください:メールでの返信は12時間以内、年中無休。DNSSEC、CAA レコード、不正利用報告のサポートも含みます。

2026年11月12日 の Wardmint の調査によると、価格表の29種類すべての拡張子で WHOIS プライバシーの価格は $0 で、DNS ホスティングに付属するマネージド DNSSEC にも追加料金はありません。.com は署名の有無にかかわらず $12.49/年 のままです。始める前に、その拡張子のレジストリが DNSSEC に対応しているか確認してください。レジストラまたはレジストリのドキュメントに記載されています。

## DNSSEC を有効にする6つの手順

1. **ゾーンを誰が提供しているか確認する** — dig NS example.com +short を実行し、どのプロバイダーが応答するか確認します。署名はそこで行われます。
2. **既存の DS レコードを確認する** — dig DS example.com +short を実行します。以前の設定の DS レコードが残っている場合は、プロバイダーを変更する前に削除してください。
3. **署名をオンにする** — DNS プロバイダーまたはクライアントエリアで、マネージド DNSSEC を有効にします。プロバイダーが鍵を作成し、ゾーンに署名します。
4. **DS レコードをコピーする** — プロバイダーが表示するキータグ、アルゴリズム、ダイジェストタイプ、ダイジェストをコピーします。
5. **レジストラで DS レコードを公開する** — レジストラでドメインの DS データを入力します。CDS または CDNSKEY による DS の自動管理では、レジストリがゾーンから読み取ります。
6. **連鎖を検証する** — dig example.com A +dnssec を実行し、検証を行うリゾルバーからの応答に ad フラグがあることを確認してから、公開されている DNSSEC チェッカーでテストします。

*コマンドラインから DNSSEC を確認する*

```bash
dig NS example.com +short
dig DS example.com +short
dig DNSKEY example.com +short
dig example.com A +dnssec +multi
```

## DNSSEC を有効にするときに何がうまくいかなくなる可能性がありますか?

**障害は不一致で、それぞれ短い修正で直せます。** ゾーンに署名する前に DS レコードを公開すると、検証を行うリゾルバーが SERVFAIL を返します。レジストラで DS レコードを削除し、親ゾーンから消えるのを待ち、ゾーンに署名してから、DS レコードを再度公開してください。

DNS プロバイダーの移行もよくある落とし穴です。新しいプロバイダーが古い鍵を持っていなければ、古い DS レコードは一致しなくなります。まず DS レコードを削除し、その TTL が切れるのを待ち、ゾーンを移し、新しいプロバイダーで署名を有効にして、新しい DS レコードを追加してください。

DS レコードを変更チェックリストに入れ、[CAA レコードの設定方法](https://wardmint.com/ja/guides/set-up-caa-records/ "How to set up CAA records")の CAA レコードの隣に置き、レジストラのログインを[レジストラアカウントの乗っ取りを防ぐ方法](https://wardmint.com/ja/guides/protect-registrar-account/ "How to protect your registrar account from takeover")の対策で守ってください。DS レコードを置き換えられる攻撃者は署名を無効にできるため、DS レコードの安全性は、それを編集するアカウントの安全性と同じです。

## DNSSEC はレジストリロックと同じですか?

**いいえ。DNSSEC は応答を認証し、レジストリロックはレジストリでの不正な変更を防ぎます。** 守る箇所が異なります。DNSSEC は通信中のデータを守ります。.com と .net で対応するレジストラを通じて Verisign が提供するレジストリロックは、ネームサーバー、移管、所有権を変更する前に、帯域外での手動確認を必要とします。

Wardmint はレジストリロックを提供していません。提供しているのは、ドメインごとの移管ロック、マネージド DNSSEC と CAA レコード、年 +$29 のドメイン保護で、ドメイン保護ではドメインが DomaineGoat LLC の名義となり、措置の前にすべての苦情を担当者が読みます。比較は[レジストリロックとレジストラロックの比較](https://wardmint.com/ja/registry-lock-vs-registrar-lock/ "Registry lock vs registrar lock: what is the difference?")にあります。

## DNSSEC に関する質問

### DNSSEC は通信を暗号化しますか?

いいえ。DNSSEC は DNS の応答に署名して検証できるようにしますが、隠しはしません。接続の内容は HTTPS が守ります。

### すべての拡張子で DNSSEC を有効にできますか?

必ずしもそうではありません。DS レコードを受け付けるかどうかは各拡張子のレジストリが決めます。始める前にレジストリまたはレジストラのドキュメントを確認してください。

### DNSSEC でサイトは遅くなりますか?

署名された応答は大きくなり、検証を行うリゾルバーは余分な処理をしますが、ほとんどのサイトでページの読み込みへの影響は小さいです。速度よりも、DS レコードの不一致による障害のほうが重要です。

### 後で DNS プロバイダーを変更したらどうなりますか?

まず DS レコードを削除し、その TTL が過ぎるのを待ち、ゾーンを移してから、新しいプロバイダーで署名を有効にし、その DS レコードを公開してください。

### Wardmint は DNSSEC に料金がかかりますか?

いいえ。マネージド DNSSEC は Wardmint の無料 DNS ホスティングの一部なので、署名の有無にかかわらず .com は $12.49/年 のままです。

**まとめ**

- DNSSEC は DNS の応答に署名し、リゾルバーが偽造された応答を拒否できるようにします。
- 有効化は2段階です。ゾーンに署名し、レジストラで DS レコードを公開します。
- DS レコードはゾーンの署名後に公開してください。順序を間違えると、ドメインが検証に失敗します。
- DNS プロバイダーを移す前に、DS レコードを削除してください。
- Wardmint の無料 DNS には、追加料金なしのマネージド DNSSEC が含まれます。
- DNSSEC は、攻撃者に乗っ取られたアカウントを守りません。
- Wardmint はレジストリロックを提供していません。移管ロックとドメイン保護を提供しています。

## 出典

1. [RFC 9364: DNS Security Extensions (DNSSEC), BCP 237](https://www.rfc-editor.org/rfc/rfc9364.html) — IETF / RFC Editor (確認日 2026-11-12)
2. [Registry Lock](https://www.verisign.com/resources/registrar-resources/registry-lock) — Verisign (確認日 2026-11-12)
3. [Curve Finance のドメインインシデント通知](https://news.curve.finance/curve-domain-incident/) — Curve Finance (確認日 2026-11-12)

---

Wardmint: Wardmint は、暗号資産プロジェクトに必要な防御的ドメイン(フィッシング犯が使う拡張子での自社名、自社名のタイプミスや類似バリエーション)を登録します。支払いは暗号資産、KYCなし:ID不要で、ドメインごとに確認済みのメールアドレス1つだけです。運営はパナマで登録された会社 DomaineGoat LLC で、ドメインは ICANN 認定のレジストラパートナーを通じて登録されます。.com は $12.49/年、毎年同じ価格です。