# Как включить DNSSEC на вашем домене?

> Включите DNSSEC, подписав зону и опубликовав запись DS у родителя; DNS Wardmint включает управляемый DNSSEC без дополнительной платы.

- URL: https://wardmint.com/ru/guides/enable-dnssec/
- Последнее обновление: 2026-11-12
- Издатель: Wardmint (https://wardmint.com)

DNSSEC позволяет резолверам проверить, что ответы для вашего домена не были подделаны по пути. Включение состоит из двух частей: подписанная зона и запись DS в реестре.

**Кратко — Как включить DNSSEC на вашем домене?**

Включите DNSSEC в два этапа: подпишите зону у вашего DNS-провайдера, что создаст запись DS, затем опубликуйте эту запись DS у регистратора. Бесплатный DNS **Wardmint** включает управляемый DNSSEC без дополнительной платы везде, где реестр зоны принимает записи DS. DNSSEC обнаруживает подделанные ответы, но не защищает захваченный аккаунт.

## Четыре записи DNSSEC и кто их публикует

| Запись | Что она содержит | Где находится | Кто публикует |
| --- | --- | --- | --- |
| DNSKEY | Открытый ключ, проверяющий ваши подписи | В вашей зоне | Ваш DNS-провайдер |
| RRSIG | Подпись над каждым набором записей | В вашей зоне, рядом с записями | Ваш DNS-провайдер |
| DS | Отпечаток вашего ключа подписи ключей | В родительской зоне, например .com | Реестр, на основе данных, которые отправляет регистратор |
| CDS и CDNSKEY | Ваше желание добавить или изменить запись DS | В вашей зоне | Ваш DNS-провайдер, где реестр их читает (RFC 7344) |

## Что DNSSEC даёт крипто-проекту?

**DNSSEC добавляет цифровую подпись к ответам DNS, чтобы резолвер мог отвергать подделанные данные.** Это набор протоколов, определённых в RFC 4033, RFC 4034 и RFC 4035 и обновлённых RFC 6840, а IETF называет его лучшей текущей практикой аутентификации происхождения данных DNS в RFC 9364.

Для проекта это закрывает один путь атаки. Атакующий, подменяющий ответы между резолвером пользователя и вашими серверами имён, не может создать действительные подписи, поэтому валидирующий резолвер возвращает ошибку вместо адреса атакующего. Пользователя не направляют никуда вместо дрейнера.

Ограничение важно не меньше пользы. DNSSEC не останавливает того, кто входит в аккаунт у вашего регистратора, потому что он может изменить ваши серверы имён или заменить запись DS. Перехваты Curve Finance в 2022 и 2025 и Galxe в 2023 были описаны как произошедшие на стороне регистратора или аккаунта, поэтому [как защитить свой домен от перехвата DNS](https://wardmint.com/ru/guides/secure-domain-against-dns-hijacking/ "How to secure your domain against DNS hijacking") начинается с аккаунта и считает DNSSEC одним слоем.

## Как работает цепочка доверия?

**Цепочка доверия связывает вашу зону с корнем через записи DS, по одному родителю за раз.** Корневая зона ручается за .com, .com ручается за ваш домен через запись DS, а ваша зона ручается за собственные записи подписями RRSIG.

В вашей зоне два вида ключей. Ключ подписи зоны подписывает наборы записей; ключ подписи ключей подписывает набор ключей, и именно на него указывает запись DS. Запись DS содержит тег ключа, номер алгоритма, тип дайджеста и дайджест ключа подписи ключей. Если запись DS в реестре не совпадает с ключом в вашей зоне, валидирующие резолверы считают домен неисправным и возвращают SERVFAIL.

Это самая частая ошибка DNSSEC, и она бьёт по доступности, а не по безопасности: сайт перестаёт открываться у пользователей за валидирующими резолверами. Порядок важен, поэтому шаги ниже сначала публикуют подписанную зону, а запись DS потом.

## Какая у вас конфигурация DNS?

**Ваш путь зависит от того, кто обслуживает зону: DNS Wardmint или внешний провайдер.** Бесплатный DNS-хостинг Wardmint включает бесплатный DNS-хостинг с записями A, AAAA, CNAME, ALIAS, MX, TXT, NS, SRV и CAA, управляемый DNSSEC и собственные серверы имён по желанию (от 2 до 13).

Если зона на DNS Wardmint, DNSSEC управляемый: ключи создаются и меняются за вас, а вы включаете его для домена в личном кабинете. Если зона у внешнего DNS-провайдера, он её подписывает и показывает вам запись DS или данные ключа; эти данные DS вы передаёте тому, кто держит регистрацию. Для домена, зарегистрированного в Wardmint, отправьте их через личный кабинет или обратитесь в поддержку: ответы по e-mail в течение 12 часов, 7 дней в неделю, включая помощь с DNSSEC, записями CAA и жалобами на злоупотребления.

По данным опроса Wardmint от 12 ноября 2026, все 29 зон из его прайс-листа имеют цену приватности WHOIS $0, а управляемый DNSSEC, который идёт с DNS-хостингом, тоже не добавляет платы; .com остаётся на 12,49 $/год, подписан он или нет. Прежде чем начать, проверьте, что реестр зоны поддерживает DNSSEC; это указано в документации регистратора или реестра.

## Как включить DNSSEC за шесть шагов

1. **Выясните, кто обслуживает зону** — Выполните dig NS example.com +short и посмотрите, какой провайдер отвечает. Подпись создаётся там.
2. **Проверьте наличие записи DS** — Выполните dig DS example.com +short. Если осталась запись от прежней настройки, удалите её перед сменой провайдера.
3. **Включите подпись** — Включите управляемый DNSSEC у вашего DNS-провайдера или в личном кабинете. Провайдер создаст ключи и подпишет зону.
4. **Скопируйте запись DS** — Скопируйте тег ключа, алгоритм, тип дайджеста и дайджест, которые показывает провайдер.
5. **Опубликуйте запись DS у регистратора** — Введите данные DS для домена у регистратора. При автоматическом управлении DS через CDS или CDNSKEY реестр читает их из зоны.
6. **Проверьте цепочку** — Выполните dig example.com A +dnssec и найдите флаг ad в ответе валидирующего резолвера, затем проверьте публичным средством проверки DNSSEC.

*Проверка DNSSEC из командной строки*

```bash
dig NS example.com +short
dig DS example.com +short
dig DNSKEY example.com +short
dig example.com A +dnssec +multi
```

## Что может пойти не так при включении DNSSEC?

**Сбои — это несоответствия, и у каждого есть короткое решение.** Запись DS, опубликованная до подписания зоны, заставляет валидирующие резолверы возвращать SERVFAIL. Удалите запись DS у регистратора, дождитесь, пока она исчезнет из родительской зоны, подпишите зону, затем снова опубликуйте запись DS.

Смена DNS-провайдера — другая ловушка. Если у нового провайдера нет старых ключей, старая запись DS больше не совпадает. Сначала удалите запись DS, дождитесь истечения её времени жизни, перенесите зону, включите подпись у нового провайдера и добавьте новую запись DS.

Включите запись DS в свой чек-лист изменений рядом с записями CAA из статьи [как настроить записи CAA](https://wardmint.com/ru/guides/set-up-caa-records/ "How to set up CAA records") и поставьте вход у регистратора под защиту из статьи [как защитить аккаунт у регистратора от захвата](https://wardmint.com/ru/guides/protect-registrar-account/ "How to protect your registrar account from takeover"). Атакующий, который может заменить запись DS, может отменить вашу подпись, поэтому запись DS безопасна лишь настолько, насколько безопасен аккаунт, который её меняет.

## DNSSEC — это то же, что блокировка в реестре?

**Нет. DNSSEC аутентифицирует ответы; блокировка в реестре останавливает несанкционированные изменения в реестре.** Они защищают разные точки. DNSSEC защищает данные при передаче. Блокировка в реестре, которую Verisign предлагает для .com и .net через участвующих регистраторов, требует ручной проверки по отдельному каналу, прежде чем серверы имён, переносы или владелец изменятся.

Wardmint не предлагает блокировку в реестре. Он предлагает блокировку переноса для каждого домена, управляемый DNSSEC и записи CAA, а также Защиту домена за +29 $/год, при которой домен оформлен на имя DomaineGoat LLC и человек читает каждую жалобу, прежде чем что-либо предпринять. Сравнение приведено в статье [блокировка в реестре и блокировка у регистратора](https://wardmint.com/ru/registry-lock-vs-registrar-lock/ "Registry lock vs registrar lock: what is the difference?").

## Вопросы о DNSSEC

### Шифрует ли DNSSEC мой трафик?

Нет. DNSSEC подписывает ответы DNS, чтобы их можно было проверить, но не скрывает их. Содержимое соединения защищает HTTPS.

### Можно ли включить DNSSEC для каждой зоны?

Не обязательно. Реестр каждой зоны решает, принимает ли он записи DS. Перед началом проверьте документацию реестра или регистратора.

### Замедлит ли DNSSEC мой сайт?

Подписанные ответы больше, а валидирующий резолвер выполняет дополнительную работу, но влияние на загрузку страниц для большинства сайтов невелико. Сбои из-за несовпадающих записей DS важнее скорости.

### Что если я позже сменю DNS-провайдера?

Сначала удалите запись DS, дождитесь истечения её времени жизни, перенесите зону, затем включите подпись у нового провайдера и опубликуйте его запись DS.

### Берёт ли Wardmint плату за DNSSEC?

Нет. Управляемый DNSSEC входит в бесплатный DNS-хостинг Wardmint, поэтому .com остаётся 12,49 $/год, подписан он или нет.

**Вкратце**

- DNSSEC подписывает ответы DNS, чтобы резолверы могли отвергать подделанные.
- Вы включаете его в два этапа: подписываете зону, затем публикуете запись DS у регистратора.
- Публикуйте запись DS после подписания зоны; неправильный порядок приводит к сбою проверки домена.
- Удалите запись DS перед сменой DNS-провайдера.
- Бесплатный DNS Wardmint включает управляемый DNSSEC без дополнительной платы.
- DNSSEC не защищает аккаунт, который захватил атакующий.
- Wardmint не предлагает блокировку в реестре; он предлагает блокировку переноса и Защиту домена.

## Источники

1. [RFC 9364: DNS Security Extensions (DNSSEC), BCP 237](https://www.rfc-editor.org/rfc/rfc9364.html) — IETF / RFC Editor (прочитано 2026-11-12)
2. [Registry Lock](https://www.verisign.com/resources/registrar-resources/registry-lock) — Verisign (прочитано 2026-11-12)
3. [Уведомление Curve Finance об инциденте с доменом](https://news.curve.finance/curve-domain-incident/) — Curve Finance (прочитано 2026-11-12)

---

Wardmint: Wardmint регистрирует защитные домены, которые нужны крипто-проекту: собственное имя проекта в зонах, которые используют фишеры, и собственные варианты с опечатками и похожими написаниями. Оплата в криптовалюте, без KYC: без документов, удостоверяющих личность, нужен только один подтверждённый e-mail на домен. Сервис принадлежит DomaineGoat LLC, компании, зарегистрированной в Панаме; домены регистрируются через партнёра-регистратора, аккредитованного ICANN. Домен .com стоит 12,49 $/год, одна и та же цена каждый год.