Krótka odpowiedź
Jak włączyć DNSSEC dla swojej domeny?
Włącz DNSSEC w dwóch częściach: podpisz strefę u dostawcy DNS, co tworzy rekord DS, a następnie opublikuj ten rekord DS u rejestratora. Bezpłatny DNS Wardmint zawiera zarządzany DNSSEC bez dodatkowej opłaty, wszędzie tam, gdzie rejestr rozszerzenia przyjmuje rekordy DS. DNSSEC wykrywa sfałszowane odpowiedzi, ale nie chroni przejętego konta.
Cztery rekordy DNSSEC i kto je publikuje
| Rekord | Co zawiera | Gdzie się znajduje | Kto go publikuje |
|---|---|---|---|
| DNSKEY | Klucz publiczny, który weryfikuje Państwa podpisy | W Państwa strefie | Państwa dostawca DNS |
| RRSIG | Podpis każdego zestawu rekordów | W Państwa strefie, obok rekordów | Państwa dostawca DNS |
| DS | Odcisk klucza podpisującego klucze | W strefie nadrzędnej, takiej jak .com | Rejestr, na podstawie danych przesłanych przez rejestratora |
| CDS i CDNSKEY | Państwa życzenie dodania lub zmiany rekordu DS | W Państwa strefie | Państwa dostawca DNS, tam gdzie rejestr je odczytuje (RFC 7344) |
Co DNSSEC daje projektowi kryptowalutowemu?
DNSSEC dodaje podpis cyfrowy do odpowiedzi DNS, aby resolver mógł odrzucić dane, które ktoś sfałszował. To zestaw protokołów, zdefiniowanych w RFC 4033, RFC 4034 i RFC 4035 oraz zaktualizowanych przez RFC 6840, a IETF nazywa go najlepszą obecną praktyką uwierzytelniania pochodzenia danych DNS w RFC 9364.
Dla projektu zamyka to jedną ścieżkę ataku. Atakujący, który manipuluje odpowiedziami między resolverem użytkownika a Państwa serwerami nazw, nie może wytworzyć prawidłowych podpisów, więc resolver weryfikujący zwraca błąd zamiast adresu atakującego. Użytkownik trafia donikąd zamiast na drainer.
Ograniczenie jest równie ważne jak korzyść. DNSSEC nie powstrzyma osoby, która loguje się do Państwa rejestratora, ponieważ taka osoba może zmienić serwery nazw lub zastąpić rekord DS. Przejęcia Curve Finance w 2022 i 2025 oraz Galxe w 2023 opisano jako dokonane po stronie rejestratora lub konta, dlatego jak zabezpieczyć domenę przed przejęciem DNS zaczyna od konta i traktuje DNSSEC jako jedną warstwę.
Jak działa łańcuch zaufania?
Łańcuch zaufania łączy Państwa strefę z korzeniem przez rekordy DS, po jednym rodzicu naraz. Strefa główna poręcza za .com, .com poręcza za Państwa domenę przez rekord DS, a Państwa strefa poręcza za własne rekordy podpisami RRSIG.
Państwa strefa ma dwa rodzaje kluczy. Klucz podpisujący strefę podpisuje zestawy rekordów; klucz podpisujący klucze podpisuje zestaw kluczy i to na niego wskazuje rekord DS. Rekord DS zawiera tag klucza, numer algorytmu, typ skrótu i skrót klucza podpisującego klucze. Jeśli rekord DS w rejestrze nie pasuje do żadnego klucza w Państwa strefie, resolvery weryfikujące uznają domenę za uszkodzoną i zwracają SERVFAIL.
To najczęstsza awaria DNSSEC i uderza w dostępność, a nie w bezpieczeństwo: witryna znika dla użytkowników za resolverami weryfikującymi. Kolejność ma znaczenie, dlatego poniższe kroki publikują najpierw podpisaną strefę, a rekord DS dopiero potem.
Jaką konfigurację DNS Państwo mają?
Ścieżka zależy od tego, kto obsługuje strefę: DNS Wardmint czy zewnętrzny dostawca. Bezpłatny hosting DNS Wardmint zawiera bezpłatny hosting DNS z rekordami A, AAAA, CNAME, ALIAS, MX, TXT, NS, SRV i CAA, zarządzany DNSSEC oraz własne serwery nazw, jeśli wolisz (od 2 do 13).
Jeśli strefa jest w DNS Wardmint, DNSSEC jest zarządzany: klucze są generowane i rotowane za Państwa, a Państwo włączają go dla domeny w panelu klienta. Jeśli strefa jest u zewnętrznego dostawcy DNS, ten dostawca ją podpisuje i pokazuje rekord DS lub dane klucza; te dane DS przekazują Państwo temu, kto trzyma rejestrację. Dla domeny zarejestrowanej w Wardmint należy przekazać je przez panel klienta lub poprosić wsparcie: odpowiedzi e-mailem w ciągu 12 godzin, 7 dni w tygodniu, także pomoc w sprawie DNSSEC, rekordów CAA i zgłoszeń nadużyć.
Według badania Wardmint z 12 listopada 2026 wszystkie 29 rozszerzeń z cennika ma cenę prywatności WHOIS $0, a zarządzany DNSSEC dołączony do hostingu DNS również nie dodaje opłaty; .com pozostaje przy 12,49 USD/rok, niezależnie od tego, czy jest podpisane. Przed rozpoczęciem należy sprawdzić, czy rozszerzenie obsługuje DNSSEC w swoim rejestrze; podaje to dokumentacja rejestratora lub rejestru.
Jak włączyć DNSSEC w sześciu krokach
Potwierdź, kto obsługuje strefę
Uruchom dig NS example.com +short i zanotuj, który dostawca odpowiada. Tam odbywa się podpisywanie.
Sprawdź, czy istnieje rekord DS
Uruchom dig DS example.com +short. Jeśli istnieje z poprzedniej konfiguracji, usuń go przed zmianą dostawcy.
Włącz podpisywanie
Włącz zarządzany DNSSEC u dostawcy DNS lub w panelu klienta. Dostawca tworzy klucze i podpisuje strefę.
Skopiuj rekord DS
Skopiuj tag klucza, algorytm, typ skrótu i skrót wyświetlane przez dostawcę.
Opublikuj rekord DS u rejestratora
Wprowadź dane DS dla domeny u rejestratora. Przy automatycznym zarządzaniu DS przez CDS lub CDNSKEY rejestr odczytuje je ze strefy.
Zweryfikuj łańcuch
Uruchom dig example.com A +dnssec i poszukaj flagi ad w odpowiedzi od resolvera weryfikującego, a następnie sprawdź publicznym narzędziem do kontroli DNSSEC.
dig NS example.com +short
dig DS example.com +short
dig DNSKEY example.com +short
dig example.com A +dnssec +multiCo może pójść nie tak po włączeniu DNSSEC?
Awarie to niezgodności i każda ma krótką poprawkę. Rekord DS opublikowany, zanim strefa zostanie podpisana, sprawia, że resolvery weryfikujące zwracają SERVFAIL. Należy usunąć rekord DS u rejestratora, poczekać, aż zniknie ze strefy nadrzędnej, podpisać strefę, a następnie opublikować rekord DS ponownie.
Zmiana dostawcy DNS to druga pułapka. Jeśli nowy dostawca nie ma starych kluczy, stary rekord DS przestaje pasować. Należy najpierw usunąć rekord DS, poczekać na wygaśnięcie jego czasu życia, przenieść strefę, włączyć podpisywanie u nowego dostawcy i dodać nowy rekord DS.
Rekord DS warto mieć na liście kontrolnej zmian, obok rekordów CAA z jak skonfigurować rekordy CAA, a logowanie do rejestratora ukryć za zabezpieczeniami z jak chronić konto rejestratora przed przejęciem. Atakujący, który może zastąpić rekord DS, może cofnąć Państwa podpisywanie, więc rekord DS jest tak bezpieczny, jak konto, które go edytuje.
Czy DNSSEC to to samo co blokada rejestru?
Nie. DNSSEC uwierzytelnia odpowiedzi; blokada rejestru zatrzymuje nieautoryzowane zmiany w rejestrze. Bronią różnych punktów. DNSSEC chroni dane w tranzycie. Blokada rejestru, oferowana przez Verisign dla .com i .net przez uczestniczących rejestratorów, wymaga ręcznej weryfikacji poza kanałem, zanim zmienią się serwery nazw, transfery lub własność.
Wardmint nie oferuje blokady rejestru. Oferuje blokadę transferu dla każdej domeny, zarządzany DNSSEC i rekordy CAA oraz Ochronę domeny za +29 USD/rok, w której domena figuruje na nazwę DomaineGoat LLC, a osoba czyta każdą skargę przed jakimkolwiek działaniem. Porównanie znajduje się w blokada rejestru a blokada rejestratora.
Pytania o DNSSEC
Czy DNSSEC szyfruje mój ruch?
Nie. DNSSEC podpisuje odpowiedzi DNS, by można je było zweryfikować, ale ich nie ukrywa. Zawartość połączenia chroni HTTPS.
Czy mogę włączyć DNSSEC w każdym rozszerzeniu?
Niekoniecznie. Rejestr każdego rozszerzenia decyduje, czy przyjmuje rekordy DS. Przed rozpoczęciem należy sprawdzić dokumentację rejestru lub rejestratora.
Czy DNSSEC spowolni moją witrynę?
Podpisane odpowiedzi są większe, a resolver weryfikujący wykonuje dodatkową pracę, ale wpływ na ładowanie stron jest dla większości witryn niewielki. Awarie wynikające z niezgodnych rekordów DS mają większe znaczenie niż szybkość.
Co jeśli później zmienię dostawcę DNS?
Należy najpierw usunąć rekord DS, poczekać na upływ jego czasu życia, przenieść strefę, a następnie włączyć podpisywanie u nowego dostawcy i opublikować jego rekord DS.
Czy Wardmint pobiera opłatę za DNSSEC?
Nie. Zarządzany DNSSEC jest częścią bezpłatnego hostingu DNS Wardmint, więc .com pozostaje za 12,49 USD/rok, podpisane lub nie.
Podsumowanie
- DNSSEC podpisuje odpowiedzi DNS, aby resolvery mogły odrzucać sfałszowane.
- Włącza się go w dwóch częściach: podpisz strefę, a następnie opublikuj rekord DS u rejestratora.
- Rekord DS publikuj po podpisaniu strefy; zła kolejność sprawia, że domena nie przechodzi weryfikacji.
- Usuń rekord DS przed zmianą dostawcy DNS.
- Bezpłatny DNS Wardmint zawiera zarządzany DNSSEC bez dodatkowej opłaty.
- DNSSEC nie chroni konta, które przejął atakujący.
- Wardmint nie oferuje blokady rejestru; oferuje blokadę transferu i Ochronę domeny.
Źródła (3)
- RFC 9364: DNS Security Extensions (DNSSEC), BCP 237 — IETF / RFC Editor (odczytano 2026-11-12)
- Registry Lock — Verisign (odczytano 2026-11-12)
- Komunikat Curve Finance o incydencie z domeną — Curve Finance (odczytano 2026-11-12)