Răspuns rapid
Cum activați DNSSEC pe domeniul dumneavoastră?
Activați DNSSEC în două părți: semnați zona la furnizorul DNS, care produce o înregistrare DS, apoi publicați acea înregistrare DS la registrar. DNS-ul gratuit Wardmint include DNSSEC gestionat fără taxă suplimentară, acolo unde registrul extensiei acceptă înregistrări DS. DNSSEC detectează răspunsurile falsificate, dar nu protejează un cont preluat.
Cele patru înregistrări DNSSEC și cine le publică
| Înregistrare | Ce conține | Unde se află | Cine o publică |
|---|---|---|---|
| DNSKEY | Cheia publică care validează semnăturile dumneavoastră | În zona dumneavoastră | Furnizorul dumneavoastră DNS |
| RRSIG | O semnătură peste fiecare set de înregistrări | În zona dumneavoastră, lângă înregistrări | Furnizorul dumneavoastră DNS |
| DS | O amprentă a cheii de semnare a cheilor | În zona părinte, de exemplu .com | Registrul, din datele trimise de registrar |
| CDS și CDNSKEY | Dorința dumneavoastră de a adăuga sau de a modifica înregistrarea DS | În zona dumneavoastră | Furnizorul dumneavoastră DNS, de unde registrul le citește (RFC 7344) |
Ce face DNSSEC pentru un proiect crypto?
DNSSEC adaugă o semnătură digitală la răspunsurile DNS, ca un resolver să poată respinge datele pe care cineva le-a falsificat. Este un set de protocoale, definite în RFC 4033, RFC 4034 și RFC 4035 și actualizate de RFC 6840, iar IETF îl numește cea mai bună practică actuală pentru autentificarea originii datelor DNS în RFC 9364.
Pentru un proiect, asta închide o cale de atac. Un atacator care modifică răspunsurile între resolverul unui utilizator și serverele dumneavoastră de nume nu poate produce semnături valide, deci un resolver care validează returnează o eroare în loc de adresa atacatorului. Utilizatorul nu ajunge nicăieri, în loc să ajungă la un drainer.
Limita contează la fel de mult ca beneficiul. DNSSEC nu oprește o persoană care se autentifică la registrarul dumneavoastră, pentru că acea persoană poate schimba serverele de nume sau poate înlocui înregistrarea DS. Deturnările Curve Finance din 2022 și 2025 și ale Galxe din 2023 au fost raportate ca fiind la nivelul registrarului sau al contului, de aceea cum să vă securizați domeniul împotriva deturnării DNS începe cu contul și tratează DNSSEC ca pe un singur strat.
Cum funcționează lanțul de încredere?
Lanțul de încredere leagă zona dumneavoastră de rădăcină prin înregistrări DS, câte un părinte pe rând. Zona rădăcină garantează pentru .com, .com garantează pentru domeniul dumneavoastră prin înregistrarea DS, iar zona dumneavoastră garantează pentru propriile înregistrări cu semnături RRSIG.
Zona dumneavoastră are două feluri de chei. Cheia de semnare a zonei semnează seturile de înregistrări; cheia de semnare a cheilor semnează setul de chei și este cea spre care indică înregistrarea DS. O înregistrare DS conține un tag al cheii, un număr de algoritm, un tip de digest și un digest al cheii de semnare a cheilor. Dacă înregistrarea DS de la registru nu corespunde unei chei din zona dumneavoastră, resolverele care validează tratează domeniul ca defect și returnează SERVFAIL.
Aceasta este cea mai frecventă eroare DNSSEC, iar afectează disponibilitatea, nu securitatea: site-ul dispare pentru utilizatorii din spatele resolverelor care validează. Ordinea contează, de aceea pașii de mai jos publică mai întâi zona semnată și apoi înregistrarea DS.
Ce configurație DNS aveți?
Calea depinde de cine servește zona: DNS-ul Wardmint sau un furnizor extern. DNS-ul gratuit de găzduire al Wardmint include DNS gratuit cu înregistrări A, AAAA, CNAME, ALIAS, MX, TXT, NS, SRV și CAA, DNSSEC gestionat și serverele dumneavoastră de nume, dacă preferați (între 2 și 13).
Dacă zona se află pe DNS-ul Wardmint, DNSSEC este gestionat: cheile sunt generate și rotite pentru dumneavoastră, iar îl activați pentru domeniu în zona clientului. Dacă zona se află la un furnizor DNS extern, acel furnizor o semnează și vă arată înregistrarea DS sau datele cheii; dați acele date DS celui care deține înregistrarea. Pentru un domeniu înregistrat la Wardmint, trimiteți-le prin zona clientului sau cereți suportului: răspunsuri prin e-mail în 12 ore, 7 zile din 7, inclusiv ajutor pentru DNSSEC, înregistrări CAA și rapoarte de abuz.
Potrivit sondajului Wardmint din 12 noiembrie 2026, toate cele 29 de extensii din lista de prețuri au un preț de confidențialitate WHOIS de $0, iar DNSSEC gestionat care vine cu găzduirea DNS nu adaugă nicio taxă; un .com rămâne la 12,49 USD/an, semnat sau nesemnat. Verificați că extensia acceptă DNSSEC la registrul său înainte să începeți; documentația registrarului sau a registrului o precizează.
Cum activați DNSSEC în șase pași
Confirmați cine servește zona
Rulați dig NS example.com +short și notați ce furnizor răspunde. Semnarea se face acolo.
Verificați dacă există deja o înregistrare DS
Rulați dig DS example.com +short. Dacă există una dintr-o configurare anterioară, eliminați-o înainte să schimbați furnizorul.
Activați semnarea
Activați DNSSEC gestionat la furnizorul DNS sau în zona clientului. Furnizorul creează cheile și semnează zona.
Copiați înregistrarea DS
Copiați tagul cheii, algoritmul, tipul digestului și digestul pe care le afișează furnizorul.
Publicați înregistrarea DS la registrar
Introduceți datele DS pentru domeniu la registrar. Cu gestionarea automată a DS prin CDS sau CDNSKEY, registrul o citește din zonă.
Validați lanțul
Rulați dig example.com A +dnssec și căutați indicatorul ad în răspunsul de la un resolver care validează, apoi testați cu un verificator public de DNSSEC.
dig NS example.com +short
dig DS example.com +short
dig DNSKEY example.com +short
dig example.com A +dnssec +multiCe poate merge prost când activați DNSSEC?
Erorile sunt nepotriviri, iar fiecare are o remediere scurtă. O înregistrare DS publicată înainte ca zona să fie semnată face resolverele care validează să returneze SERVFAIL. Eliminați înregistrarea DS la registrar, așteptați să dispară din zona părinte, semnați zona, apoi publicați din nou înregistrarea DS.
Schimbarea furnizorului DNS este cealaltă capcană. Dacă noul furnizor nu deține vechile chei, vechea înregistrare DS nu mai corespunde. Eliminați mai întâi înregistrarea DS, așteptați să expire timpul ei de viață, mutați zona, activați semnarea la noul furnizor și adăugați noua înregistrare DS.
Păstrați înregistrarea DS în lista de verificare a schimbărilor, lângă înregistrările CAA din cum să configurați înregistrările CAA, și puneți autentificarea la registrar în spatele controalelor din cum să vă protejați contul de registrar de preluare. Un atacator care poate înlocui o înregistrare DS vă poate anula semnarea, deci înregistrarea DS este la fel de sigură ca propriul cont care o editează.
DNSSEC este același lucru cu blocarea la registru?
Nu. DNSSEC autentifică răspunsurile; o blocare la registru oprește modificările neautorizate la registru. Ele apără puncte diferite. DNSSEC protejează datele în tranzit. O blocare la registru, oferită de Verisign pentru .com și .net prin registrarii participanți, cere verificare manuală, în afara canalului, înainte de orice modificare a serverelor de nume, a transferurilor sau a proprietății.
Wardmint nu oferă blocare la registru. Oferă o blocare a transferului pentru fiecare domeniu, DNSSEC gestionat și înregistrări CAA, și Protecția domeniului la +29 USD/an, unde domeniul se află pe numele DomaineGoat LLC și o persoană citește fiecare reclamație înainte de orice acțiune. Comparația este în blocarea la registru vs blocarea la registrar.
Întrebări despre DNSSEC
Criptează DNSSEC traficul meu?
Nu. DNSSEC semnează răspunsurile DNS ca să poată fi verificate, dar nu le ascunde. HTTPS protejează conținutul conexiunii.
Pot activa DNSSEC la fiecare extensie?
Nu neapărat. Registrul fiecărei extensii decide dacă acceptă înregistrări DS. Verificați documentația registrului sau a registrarului înainte să începeți.
Va încetini DNSSEC site-ul meu?
Răspunsurile semnate sunt mai mari, iar un resolver care validează face muncă suplimentară, dar efectul asupra încărcării paginii este mic pentru majoritatea site-urilor. Erorile din înregistrările DS nepotrivite contează mai mult decât viteza.
Ce fac dacă schimb furnizorul DNS mai târziu?
Eliminați mai întâi înregistrarea DS, așteptați să treacă timpul ei de viață, mutați zona, apoi activați semnarea la noul furnizor și publicați înregistrarea DS a acestuia.
Taxează Wardmint DNSSEC?
Nu. DNSSEC gestionat face parte din găzduirea DNS gratuită a Wardmint, deci un .com rămâne la 12,49 USD/an, semnat sau nesemnat.
Pe scurt
- DNSSEC semnează răspunsurile DNS, ca resolverele să poată respinge pe cele falsificate.
- Îl activați în două părți: semnați zona, apoi publicați înregistrarea DS la registrar.
- Publicați înregistrarea DS după ce zona este semnată; ordinea greșită face domeniul să nu treacă validarea.
- Eliminați înregistrarea DS înainte să mutați furnizorul DNS.
- DNS-ul gratuit Wardmint include DNSSEC gestionat, fără taxă suplimentară.
- DNSSEC nu protejează un cont pe care un atacator l-a preluat.
- Wardmint nu oferă blocare la registru; oferă o blocare a transferului și Protecția domeniului.
Surse (3)
- RFC 9364: DNS Security Extensions (DNSSEC), BCP 237 — IETF / RFC Editor (citit la 2026-11-12)
- Blocare la registru — Verisign (citit la 2026-11-12)
- Notificarea incidentului de domeniu Curve Finance — Curve Finance (citit la 2026-11-12)