# 도메인에서 DNSSEC는 어떻게 활성화하나요?

> 영역에 서명하고 상위 영역에 DS 레코드를 게시하여 DNSSEC를 활성화하십시오. Wardmint의 DNS에는 추가 비용 없이 관리형 DNSSEC가 포함됩니다.

- URL: https://wardmint.com/ko/guides/enable-dnssec/
- 최종 업데이트: 2026-11-12
- 발행자: Wardmint (https://wardmint.com)

DNSSEC를 사용하면 리졸버가 내 도메인에 대한 응답이 전달 중에 위조되지 않았음을 검증할 수 있습니다. 활성화는 서명된 영역과 레지스트리의 DS 레코드, 두 부분으로 이루어집니다.

**빠른 답변 — 도메인에서 DNSSEC는 어떻게 활성화하나요?**

두 부분으로 DNSSEC를 활성화하십시오. DNS 제공업체에서 영역에 서명하면 DS 레코드가 생성되고, 그 DS 레코드를 등록기관에 게시합니다. **Wardmint**의 무료 DNS에는 확장자의 레지스트리가 DS 레코드를 받는 한 추가 요금 없이 관리형 DNSSEC가 포함됩니다. DNSSEC는 위조된 응답을 탐지하지만, 탈취된 계정은 막지 못합니다.

## DNSSEC 레코드 네 가지와 게시하는 주체

| 레코드 | 담고 있는 것 | 위치 | 게시하는 주체 |
| --- | --- | --- | --- |
| DNSKEY | 서명을 검증하는 공개 키 | 내 영역 안 | DNS 제공업체 |
| RRSIG | 각 레코드 집합에 대한 서명 | 내 영역 안, 레코드 옆 | DNS 제공업체 |
| DS | 키 서명 키의 지문 | .com 같은 상위 영역 | 등록기관이 보낸 데이터를 바탕으로 한 레지스트리 |
| CDS와 CDNSKEY | DS 레코드를 추가하거나 변경하려는 요청 | 내 영역 안 | 레지스트리가 읽는 경우의 DNS 제공업체(RFC 7344) |

## DNSSEC는 암호화폐 프로젝트에 무엇을 해 주나요?

**DNSSEC는 DNS 응답에 디지털 서명을 추가하여 리졸버가 누군가 위조한 데이터를 거부할 수 있게 합니다.** RFC 4033, RFC 4034, RFC 4035에서 정의되고 RFC 6840으로 갱신된 프로토콜 모음이며, IETF는 RFC 9364에서 이를 DNS 데이터의 출처 인증을 위한 현행 모범 사례라고 부릅니다.

프로젝트에는 공격 경로 하나를 막아 줍니다. 사용자의 리졸버와 내 네임서버 사이에서 응답을 조작하는 공격자는 유효한 서명을 만들 수 없으므로, 검증하는 리졸버는 공격자의 주소 대신 오류를 반환합니다. 사용자는 드레이너가 아니라 아무 곳도 아닌 곳으로 보내집니다.

한계도 이점만큼 중요합니다. DNSSEC는 내 등록기관에 로그인하는 사람을 막지 못합니다. 그 사람이 네임서버를 바꾸거나 DS 레코드를 교체할 수 있기 때문입니다. 2022년과 2025년 Curve Finance, 2023년 Galxe의 하이재킹은 등록기관 측 또는 계정 측으로 보고되었으며, 그래서 [DNS 하이재킹으로부터 도메인을 보호하는 방법](https://wardmint.com/ko/guides/secure-domain-against-dns-hijacking/ "How to secure your domain against DNS hijacking")은 계정에서 시작하고 DNSSEC를 하나의 계층으로 다룹니다.

## 신뢰 체인은 어떻게 작동하나요?

**신뢰 체인은 DS 레코드를 통해 내 영역을 루트에 연결하며, 한 번에 한 단계의 상위 영역씩 이어집니다.** 루트 영역이 .com을 보증하고, .com이 DS 레코드를 통해 내 도메인을 보증하며, 내 영역은 RRSIG 서명으로 자기 레코드를 보증합니다.

내 영역에는 두 종류의 키가 있습니다. 영역 서명 키는 레코드 집합에 서명하고, 키 서명 키는 키 집합에 서명하며 DS 레코드가 가리키는 키입니다. DS 레코드에는 키 태그, 알고리즘 번호, 다이제스트 유형, 키 서명 키의 다이제스트가 들어 있습니다. 레지스트리의 DS 레코드가 내 영역의 키와 일치하지 않으면 검증하는 리졸버는 도메인이 깨진 것으로 보고 SERVFAIL을 반환합니다.

이것이 가장 흔한 DNSSEC 실패이며, 보안이 아니라 가용성에 타격을 줍니다. 검증하는 리졸버를 쓰는 사용자에게 사이트가 먹통이 됩니다. 순서가 중요하며, 그래서 아래 단계는 서명된 영역을 먼저, DS 레코드를 나중에 게시합니다.

## 어떤 DNS 구성을 쓰고 있나요?

**방법은 영역을 누가 제공하느냐에 달려 있습니다. Wardmint의 DNS인지, 외부 제공업체인지입니다.** Wardmint의 무료 DNS 호스팅에는 A, AAAA, CNAME, ALIAS, MX, TXT, NS, SRV, CAA 레코드를 지원하는 무료 DNS 호스팅, 관리형 DNSSEC, 원하시면 자체 네임서버(2~13개)이 포함됩니다.

영역이 Wardmint의 DNS에 있다면 DNSSEC는 관리형입니다. 키는 자동으로 생성되고 교체되며, 고객 영역에서 도메인에 대해 켜기만 하면 됩니다. 영역이 외부 DNS 제공업체에 있다면 그 제공업체가 서명하고 DS 레코드나 키 데이터를 보여 주며, 그 DS 데이터를 등록을 보유한 곳에 전달합니다. Wardmint에 등록된 도메인은 고객 영역을 통해 보내거나 지원팀에 문의하십시오: DNSSEC, CAA 레코드, 악용 신고 지원을 포함해 주 7일, 12시간 이내 이메일 답변.

2026년 11월 12일 Wardmint의 조사에 따르면, 가격표의 29개 확장자 모두 WHOIS 개인정보 보호 가격이 $0이며, DNS 호스팅에 포함된 관리형 DNSSEC도 추가 요금이 없습니다. .com은 서명 여부와 관계없이 US$12.49/년입니다. 시작하기 전에 해당 확장자가 레지스트리에서 DNSSEC를 지원하는지 확인하십시오. 등록기관 또는 레지스트리 문서에 나와 있습니다.

## 여섯 단계로 DNSSEC를 활성화하는 방법

1. **영역을 누가 제공하는지 확인** — dig NS example.com +short를 실행하여 어느 제공업체가 응답하는지 기록하십시오. 서명은 거기서 이루어집니다.
2. **기존 DS 레코드 확인** — dig DS example.com +short를 실행하십시오. 이전 구성에서 남은 것이 있다면 제공업체를 바꾸기 전에 제거하십시오.
3. **서명 켜기** — DNS 제공업체나 고객 영역에서 관리형 DNSSEC를 활성화하십시오. 제공업체가 키를 만들고 영역에 서명합니다.
4. **DS 레코드 복사** — 제공업체가 표시하는 키 태그, 알고리즘, 다이제스트 유형, 다이제스트를 복사하십시오.
5. **등록기관에 DS 레코드 게시** — 등록기관에서 도메인의 DS 데이터를 입력하십시오. CDS 또는 CDNSKEY를 통한 자동 DS 관리를 쓰면 레지스트리가 영역에서 이를 읽습니다.
6. **체인 검증** — dig example.com A +dnssec를 실행하여 검증하는 리졸버의 응답에서 ad 플래그를 확인한 다음, 공개 DNSSEC 검사 도구로 테스트하십시오.

*명령줄에서 DNSSEC 확인*

```bash
dig NS example.com +short
dig DS example.com +short
dig DNSKEY example.com +short
dig example.com A +dnssec +multi
```

## DNSSEC를 활성화할 때 무엇이 잘못될 수 있나요?

**실패는 불일치이며, 각각 짧은 해결책이 있습니다.** 영역에 서명하기 전에 DS 레코드를 게시하면 검증하는 리졸버가 SERVFAIL을 반환합니다. 등록기관에서 DS 레코드를 제거하고, 상위 영역에서 사라질 때까지 기다린 다음, 영역에 서명하고 DS 레코드를 다시 게시하십시오.

DNS 제공업체를 옮기는 것이 또 다른 함정입니다. 새 제공업체가 이전 키를 갖고 있지 않으면 기존 DS 레코드가 더 이상 일치하지 않습니다. 먼저 DS 레코드를 제거하고, TTL이 만료될 때까지 기다린 다음, 영역을 옮기고, 새 제공업체에서 서명을 켜고, 새 DS 레코드를 추가하십시오.

DS 레코드를 변경 체크리스트에 넣고, [CAA 레코드 설정 방법](https://wardmint.com/ko/guides/set-up-caa-records/ "How to set up CAA records")의 CAA 레코드 옆에 두며, 등록기관 로그인은 [등록기관 계정 탈취로부터 보호하는 방법](https://wardmint.com/ko/guides/protect-registrar-account/ "How to protect your registrar account from takeover")의 통제 수단 뒤에 두십시오. DS 레코드를 교체할 수 있는 공격자는 서명을 무력화할 수 있으므로, DS 레코드는 이를 편집하는 계정만큼만 안전합니다.

## DNSSEC는 레지스트리 잠금과 같은가요?

**아니요. DNSSEC는 응답을 인증하고, 레지스트리 잠금은 레지스트리에서 무단 변경을 막습니다.** 서로 다른 지점을 방어합니다. DNSSEC는 전송 중인 데이터를 보호합니다. Verisign이 .com과 .net에 대해 참여 등록기관을 통해 제공하는 레지스트리 잠금은 네임서버, 이전, 소유권을 변경하기 전에 수동 대역 외 확인을 요구합니다.

Wardmint는 레지스트리 잠금을 제공하지 않습니다. 도메인별 이전 잠금, 관리형 DNSSEC와 CAA 레코드, 그리고 연 +US$29의 도메인 보호를 제공합니다. 도메인 보호에서는 도메인이 DomaineGoat LLC 명의가 되고 사람이 조치 전에 모든 신고를 읽습니다. 비교는 [레지스트리 잠금과 등록기관 잠금 비교](https://wardmint.com/ko/registry-lock-vs-registrar-lock/ "Registry lock vs registrar lock: what is the difference?")에 있습니다.

## DNSSEC에 관한 질문

### DNSSEC가 내 트래픽을 암호화하나요?

아니요. DNSSEC는 DNS 응답에 서명하여 검증할 수 있게 하지만 숨기지는 않습니다. 연결의 내용은 HTTPS가 보호합니다.

### 모든 확장자에서 DNSSEC를 활성화할 수 있나요?

반드시 그렇지는 않습니다. 각 확장자의 레지스트리가 DS 레코드를 받는지 결정합니다. 시작하기 전에 레지스트리 또는 등록기관 문서를 확인하십시오.

### DNSSEC가 내 사이트를 느리게 하나요?

서명된 응답은 더 크고 검증하는 리졸버는 추가 작업을 하지만, 대부분의 사이트에서 페이지 로딩에 미치는 영향은 작습니다. 속도보다 DS 레코드 불일치로 인한 실패가 더 중요합니다.

### 나중에 DNS 제공업체를 바꾸면 어떻게 되나요?

먼저 DS 레코드를 제거하고, TTL이 지날 때까지 기다린 다음, 영역을 옮기고, 새 제공업체에서 서명을 켜고 그 DS 레코드를 게시하십시오.

### Wardmint는 DNSSEC에 요금을 부과하나요?

아니요. 관리형 DNSSEC는 Wardmint의 무료 DNS 호스팅의 일부이므로, 서명 여부와 관계없이 .com은 US$12.49/년로 유지됩니다.

**요약**

- DNSSEC는 DNS 응답에 서명하여 리졸버가 위조된 응답을 거부할 수 있게 합니다.
- 두 부분으로 활성화합니다. 영역에 서명한 다음 등록기관에 DS 레코드를 게시합니다.
- DS 레코드는 영역에 서명한 후에 게시하십시오. 순서가 틀리면 도메인이 검증에 실패합니다.
- DNS 제공업체를 옮기기 전에 DS 레코드를 제거하십시오.
- Wardmint의 무료 DNS에는 추가 요금 없이 관리형 DNSSEC가 포함됩니다.
- DNSSEC는 공격자가 탈취한 계정을 보호하지 않습니다.
- Wardmint는 레지스트리 잠금을 제공하지 않으며, 이전 잠금과 도메인 보호를 제공합니다.

## 출처

1. [RFC 9364: DNS Security Extensions (DNSSEC), BCP 237](https://www.rfc-editor.org/rfc/rfc9364.html) — IETF / RFC Editor (2026-11-12 확인)
2. [Registry Lock](https://www.verisign.com/resources/registrar-resources/registry-lock) — Verisign (2026-11-12 확인)
3. [Curve Finance 도메인 사고 공지](https://news.curve.finance/curve-domain-incident/) — Curve Finance (2026-11-12 확인)

---

Wardmint: Wardmint는 암호화폐 프로젝트에 필요한 방어적 도메인, 즉 피싱 사범이 이용하는 확장자 전반에 걸친 프로젝트 고유 이름과 오타 및 유사 변형을 등록해 드리며, KYC 없이 암호화폐로 결제합니다. 신분증은 필요 없고 도메인당 인증된 이메일 하나만 있으면 됩니다. 파나마에 등록된 회사 DomaineGoat LLC가 운영하며, 도메인은 ICANN 인증 등록기관 파트너를 통해 등록됩니다. .com은 US$12.49/년이며 매년 같은 가격입니다.