# Hoe schakelt u DNSSEC in voor uw domein?

> Schakel DNSSEC in: onderteken uw zone en publiceer een DS-record bij de bovenliggende zone; Wardmint-DNS heeft beheerde DNSSEC gratis.

- URL: https://wardmint.com/nl/guides/enable-dnssec/
- Laatst bijgewerkt: 2026-11-12
- Uitgever: Wardmint (https://wardmint.com)

Met DNSSEC kunnen resolvers controleren dat de antwoorden voor uw domein onderweg niet zijn vervalst. Het inschakelen bestaat uit twee delen: een ondertekende zone en een DS-record bij de registry.

**Snel antwoord — Hoe schakelt u DNSSEC in voor uw domein?**

Schakel DNSSEC in twee delen in: onderteken de zone bij uw DNS-provider, wat een DS-record oplevert, en publiceer dat DS-record daarna bij de registrar. De gratis DNS van **Wardmint** bevat beheerde DNSSEC zonder toeslag, overal waar de registry van de extensie DS-records accepteert. DNSSEC detecteert vervalste antwoorden maar beschermt een overgenomen account niet.

## De vier DNSSEC-records en wie ze publiceert

| Record | Wat het bevat | Waar het staat | Wie het publiceert |
| --- | --- | --- | --- |
| DNSKEY | De publieke sleutel die uw handtekeningen valideert | In uw zone | Uw DNS-provider |
| RRSIG | Een handtekening over elke set records | In uw zone, naast de records | Uw DNS-provider |
| DS | Een vingerafdruk van uw key signing key | In de bovenliggende zone, zoals .com | De registry, op basis van gegevens die de registrar verstuurt |
| CDS en CDNSKEY | Uw wens om het DS-record toe te voegen of te wijzigen | In uw zone | Uw DNS-provider, waar de registry ze leest (RFC 7344) |

## Wat doet DNSSEC voor een cryptoproject?

**DNSSEC voegt een digitale handtekening toe aan DNS-antwoorden, zodat een resolver gegevens kan afwijzen die iemand heeft vervalst.** Het is een reeks protocollen, gedefinieerd in RFC 4033, RFC 4034 en RFC 4035 en bijgewerkt door RFC 6840, en de IETF noemt het in RFC 9364 de huidige beste praktijk voor oorsprongsauthenticatie van DNS-gegevens.

Voor een project sluit dit één aanvalsroute. Een aanvaller die met antwoorden knoeit tussen de resolver van een gebruiker en uw nameservers, kan geen geldige handtekeningen produceren, dus een validerende resolver geeft een fout terug in plaats van het adres van de aanvaller. Een gebruiker wordt nergens heen gestuurd in plaats van naar een drainer.

De beperking is even belangrijk als het voordeel. DNSSEC stopt geen persoon die inlogt bij uw registrar, want die persoon kan uw nameservers wijzigen of het DS-record vervangen. De hijacks van Curve Finance in 2022 en 2025 en van Galxe in 2023 werden gemeld als aan de kant van de registrar of het account, en daarom begint [hoe u uw domein beveiligt tegen DNS-hijacking](https://wardmint.com/nl/guides/secure-domain-against-dns-hijacking/ "How to secure your domain against DNS hijacking") bij het account en behandelt het DNSSEC als één laag.

## Hoe werkt de vertrouwensketen?

**De vertrouwensketen koppelt uw zone via DS-records aan de root, telkens één bovenliggende zone verder.** De rootzone staat borg voor .com, .com staat via het DS-record borg voor uw domein, en uw zone staat met RRSIG-handtekeningen borg voor haar eigen records.

Uw zone heeft twee soorten sleutels. De zone signing key ondertekent de recordsets; de key signing key ondertekent de sleutelset en is de sleutel waarnaar het DS-record wijst. Een DS-record bevat een key tag, een algoritmenummer, een digesttype en een digest van de key signing key. Als het DS-record bij de registry niet overeenkomt met een sleutel in uw zone, behandelen validerende resolvers het domein als defect en geven ze SERVFAIL terug.

Dit is de meest voorkomende DNSSEC-fout, en ze schaadt de beschikbaarheid, niet de beveiliging: de site gaat uit de lucht voor gebruikers achter validerende resolvers. De volgorde is belangrijk, en daarom publiceren de onderstaande stappen eerst de ondertekende zone en daarna het DS-record.

## Welke DNS-opzet hebt u?

**Uw route hangt af van wie de zone bedient: de DNS van Wardmint of een externe provider.** De gratis DNS-hosting van Wardmint bevat gratis DNS-hosting met A-, AAAA-, CNAME-, ALIAS-, MX-, TXT-, NS-, SRV- en CAA-records, beheerde DNSSEC en desgewenst uw eigen nameservers (2 tot 13).

Als de zone op de DNS van Wardmint staat, is DNSSEC beheerd: de sleutels worden voor u gegenereerd en geroteerd, en u zet het voor het domein aan in het klantenpaneel. Als de zone bij een externe DNS-provider staat, ondertekent die provider haar en toont hij u het DS-record of de sleutelgegevens; u geeft die DS-gegevens aan wie de registratie beheert. Voor een domein dat bij Wardmint is geregistreerd, stuurt u ze via het klantenpaneel of vraagt u support: antwoord per e-mail binnen 12 uur, 7 dagen per week, ook bij hulp met DNSSEC, CAA-records en misbruikmeldingen.

Volgens de survey van Wardmint van 12 november 2026 hebben alle 29 extensies op de prijslijst een WHOIS-privacyprijs van $0 en voegt de beheerde DNSSEC die bij de DNS-hosting hoort ook geen kosten toe; een .com blijft op US$ 12,49/jaar staan, ondertekend of niet. Controleer vóór u begint of de extensie DNSSEC ondersteunt bij haar registry; de documentatie van de registrar of registry vermeldt dit.

## DNSSEC inschakelen in zes stappen

1. **Bevestig wie de zone bedient** — Voer dig NS example.com +short uit en noteer welke provider antwoordt. Daar gebeurt het ondertekenen.
2. **Controleer op een bestaand DS-record** — Voer dig DS example.com +short uit. Als er een bestaat uit een eerdere opzet, verwijder het dan voordat u van provider wisselt.
3. **Zet het ondertekenen aan** — Schakel beheerde DNSSEC in bij uw DNS-provider of in het klantenpaneel. De provider maakt de sleutels aan en ondertekent de zone.
4. **Kopieer het DS-record** — Kopieer de key tag, het algoritme, het digesttype en de digest die de provider toont.
5. **Publiceer het DS-record bij de registrar** — Voer de DS-gegevens voor het domein in bij de registrar. Bij automatisch DS-beheer via CDS of CDNSKEY leest de registry ze uit de zone.
6. **Valideer de keten** — Voer dig example.com A +dnssec uit en zoek de ad-vlag in het antwoord van een validerende resolver; test daarna met een openbare DNSSEC-checker.

*Controleer DNSSEC vanaf de opdrachtregel*

```bash
dig NS example.com +short
dig DS example.com +short
dig DNSKEY example.com +short
dig example.com A +dnssec +multi
```

## Wat kan er misgaan als u DNSSEC inschakelt?

**De fouten zijn niet-overeenkomsten, en elke heeft een korte oplossing.** Een DS-record dat wordt gepubliceerd voordat de zone is ondertekend, laat validerende resolvers SERVFAIL teruggeven. Verwijder het DS-record bij de registrar, wacht tot het de bovenliggende zone heeft verlaten, onderteken de zone en publiceer het DS-record daarna opnieuw.

Van DNS-provider wisselen is de andere valkuil. Als de nieuwe provider de oude sleutels niet heeft, komt het oude DS-record niet meer overeen. Verwijder eerst het DS-record, wacht tot de time to live is verlopen, verplaats de zone, schakel het ondertekenen in bij de nieuwe provider en voeg het nieuwe DS-record toe.

Zet het DS-record op uw wijzigingschecklist, naast de CAA-records in [hoe u CAA-records instelt](https://wardmint.com/nl/guides/set-up-caa-records/ "How to set up CAA records"), en plaats de login bij de registrar achter de maatregelen in [hoe u uw registraraccount beschermt tegen overname](https://wardmint.com/nl/guides/protect-registrar-account/ "How to protect your registrar account from takeover"). Een aanvaller die een DS-record kan vervangen, kan uw ondertekening ongedaan maken, dus het DS-record is net zo veilig als het account dat het bewerkt.

## Is DNSSEC hetzelfde als een registrylock?

**Nee. DNSSEC authenticeert antwoorden; een registrylock stopt ongeoorloofde wijzigingen bij de registry.** Ze verdedigen verschillende punten. DNSSEC beschermt gegevens onderweg. Een registrylock, aangeboden door Verisign voor .com en .net via deelnemende registrars, vereist handmatige verificatie buiten de band voordat nameservers, overdrachten of eigendom veranderen.

Wardmint biedt geen registrylock. Het biedt een overdrachtsvergrendeling per domein, beheerde DNSSEC en CAA-records, en Domeinbescherming voor +US$ 29/jaar, waarbij het domein op naam van DomaineGoat LLC staat en een persoon elke klacht leest voordat er actie wordt ondernomen. De vergelijking staat in [registrylock versus registrarlock](https://wardmint.com/nl/registry-lock-vs-registrar-lock/ "Registry lock vs registrar lock: what is the difference?").

## Vragen over DNSSEC

### Versleutelt DNSSEC mijn verkeer?

Nee. DNSSEC ondertekent DNS-antwoorden zodat ze kunnen worden geverifieerd, maar verbergt ze niet. HTTPS beschermt de inhoud van de verbinding.

### Kan ik DNSSEC op elke extensie inschakelen?

Niet noodzakelijk. De registry van elke extensie beslist of ze DS-records accepteert. Controleer de documentatie van de registry of registrar voordat u begint.

### Maakt DNSSEC mijn site trager?

Ondertekende antwoorden zijn groter en een validerende resolver doet extra werk, maar het effect op het laden van pagina's is voor de meeste sites klein. Fouten door niet-overeenkomende DS-records zijn belangrijker dan snelheid.

### Wat als ik later van DNS-provider wissel?

Verwijder eerst het DS-record, wacht tot de time to live is verstreken, verplaats de zone, schakel daarna het ondertekenen in bij de nieuwe provider en publiceer het DS-record ervan.

### Rekent Wardmint kosten voor DNSSEC?

Nee. Beheerde DNSSEC maakt deel uit van de gratis DNS-hosting van Wardmint, dus een .com blijft US$ 12,49/jaar, ondertekend of niet.

**Samengevat**

- DNSSEC ondertekent DNS-antwoorden zodat resolvers vervalste antwoorden kunnen afwijzen.
- U schakelt het in twee delen in: onderteken de zone en publiceer daarna het DS-record bij de registrar.
- Publiceer het DS-record nadat de zone is ondertekend; de verkeerde volgorde laat het domein de validatie niet doorstaan.
- Verwijder het DS-record voordat u van DNS-provider wisselt.
- De gratis DNS van Wardmint bevat beheerde DNSSEC zonder extra kosten.
- DNSSEC beschermt een account dat een aanvaller heeft overgenomen niet.
- Wardmint biedt geen registrylock; het biedt een overdrachtsvergrendeling en Domeinbescherming.

## Bronnen

1. [RFC 9364: DNS Security Extensions (DNSSEC), BCP 237](https://www.rfc-editor.org/rfc/rfc9364.html) — IETF / RFC Editor (gelezen 2026-11-12)
2. [Registry Lock](https://www.verisign.com/resources/registrar-resources/registry-lock) — Verisign (gelezen 2026-11-12)
3. [Melding over het domeinincident van Curve Finance](https://news.curve.finance/curve-domain-incident/) — Curve Finance (gelezen 2026-11-12)

---

Wardmint: Wardmint registreert de defensieve domeinen die een cryptoproject nodig heeft — de eigen naam onder de extensies die phishers gebruiken, de eigen typfout- en look-alikevarianten — betaald in crypto zonder KYC: geen ID, alleen één geverifieerd e-mailadres per domeinnaam. Wardmint wordt beheerd door DomaineGoat LLC, een bedrijf dat in Panama is geregistreerd; domeinnamen worden geregistreerd via de door ICANN geaccrediteerde registrarpartner. Een .com kost US$ 12,49/jaar, elk jaar dezelfde prijs.