# Hur aktiverar du DNSSEC på din domän?

> Aktivera DNSSEC genom att signera din zon och publicera en DS-post hos föräldern; Wardmints DNS innehåller hanterad DNSSEC utan extra avgift.

- URL: https://wardmint.com/sv/guides/enable-dnssec/
- Senast uppdaterad: 2026-11-12
- Utgivare: Wardmint (https://wardmint.com)

DNSSEC gör att resolvrar kan kontrollera att svaren för din domän inte förfalskats på vägen. Att slå på det tar två delar: en signerad zon och en DS-post hos registret.

**Snabbt svar — Hur aktiverar du DNSSEC på din domän?**

Aktivera DNSSEC i två delar: signera zonen hos din DNS-leverantör, vilket ger en DS-post, och publicera sedan DS-posten hos registraren. **Wardmints** kostnadsfria DNS innehåller hanterad DNSSEC utan tilläggsavgift, där registret för tillägget accepterar DS-poster. DNSSEC upptäcker förfalskade svar men skyddar inte ett konto som har kapats.

## De fyra DNSSEC-posterna och vem som publicerar dem

| Post | Vad den innehåller | Var den finns | Vem som publicerar den |
| --- | --- | --- | --- |
| DNSKEY | Den publika nyckeln som validerar dina signaturer | I din zon | Din DNS-leverantör |
| RRSIG | En signatur över varje uppsättning poster | I din zon, bredvid posterna | Din DNS-leverantör |
| DS | Ett fingeravtryck av din nyckelsigneringsnyckel (key signing key) | I föräldrazonen, till exempel .com | Registret, från data som registraren skickar |
| CDS och CDNSKEY | Din önskan att lägga till eller ändra DS-posten | I din zon | Din DNS-leverantör, där registret läser dem (RFC 7344) |

## Vad gör DNSSEC för ett kryptoprojekt?

**DNSSEC lägger till en digital signatur på DNS-svar så att en resolver kan avvisa data som någon har förfalskat.** Det är en uppsättning protokoll, definierade i RFC 4033, RFC 4034 och RFC 4035 och uppdaterade av RFC 6840, och IETF kallar det bästa praxis för ursprungsautentisering av DNS-data i RFC 9364.

För ett projekt stänger detta en angreppsväg. En angripare som manipulerar svar mellan en användares resolver och dina namnservrar kan inte producera giltiga signaturer, så en validerande resolver returnerar ett fel i stället för angriparens adress. En användare hamnar ingenstans i stället för hos en dränerare.

Begränsningen är lika viktig som fördelen. DNSSEC stoppar inte en person som loggar in hos din registrar, eftersom den personen kan ändra dina namnservrar eller ersätta DS-posten. Kapningarna av Curve Finance 2022 och 2025 och av Galxe 2023 rapporterades som registrar- eller kontohändelser, och det är anledningen till att [hur du säkrar din domän mot DNS-kapning](https://wardmint.com/sv/guides/secure-domain-against-dns-hijacking/ "How to secure your domain against DNS hijacking") börjar med kontot och behandlar DNSSEC som ett lager.

## Hur fungerar förtroendekedjan?

**Förtroendekedjan länkar din zon till roten genom DS-poster, en förälder i taget.** Rotzonen intygar .com, .com intygar din domän genom DS-posten, och din zon intygar sina egna poster med RRSIG-signaturer.

Din zon har två sorters nycklar. Zonsigneringsnyckeln (zone signing key) signerar postuppsättningarna; nyckelsigneringsnyckeln (key signing key) signerar nyckeluppsättningen och är den som DS-posten pekar på. En DS-post innehåller en nyckeltagg, ett algoritmnummer, en digesttyp och en digest av nyckelsigneringsnyckeln. Om DS-posten hos registret inte matchar en nyckel i din zon behandlar validerande resolvrar domänen som trasig och returnerar SERVFAIL.

Detta är det vanligaste DNSSEC-felet, och det skadar tillgängligheten, inte säkerheten: sajten blir oåtkomlig för användare bakom validerande resolvrar. Ordningen spelar roll, vilket är anledningen till att stegen nedan publicerar den signerade zonen först och DS-posten sedan.

## Vilken DNS-uppsättning har du?

**Din väg beror på vem som betjänar zonen: Wardmints DNS eller en extern leverantör.** Wardmints kostnadsfria DNS-hosting innehåller gratis DNS-hosting med A-, AAAA-, CNAME-, ALIAS-, MX-, TXT-, NS-, SRV- och CAA-poster, hanterad DNSSEC och egna nameservers om du föredrar det (2 till 13).

Om zonen ligger på Wardmints DNS är DNSSEC hanterad: nycklarna genereras och roteras åt dig, och du slår på det för domänen i kundområdet. Om zonen ligger hos en extern DNS-leverantör signerar den leverantören den och visar dig DS-posten eller nyckeldatan; du ger den DS-datan till den som håller registreringen. För en domän registrerad hos Wardmint skickar du den via kundområdet eller frågar supporten: e-svar inom 12 timmar, 7 dagar i veckan, inklusive hjälp med DNSSEC, CAA-poster och missbruksanmälningar.

Enligt Wardmints undersökning den 12 november 2026 har alla 29 tillägg på dess prislista ett WHOIS-integritetspris på $0, och den hanterade DNSSEC som följer med DNS-hostingen tillkommer inte heller som avgift; en .com ligger kvar på 12,49 US$/år oavsett om den är signerad eller inte. Kontrollera att tillägget stöder DNSSEC hos sitt register innan du börjar; registrarens eller registrets dokumentation anger det.

## Hur du aktiverar DNSSEC i sex steg

1. **Bekräfta vem som betjänar zonen** — Kör dig NS example.com +short och notera vilken leverantör som svarar. Signeringen sker där.
2. **Kontrollera om en DS-post redan finns** — Kör dig DS example.com +short. Om en finns kvar från en tidigare installation tar du bort den innan du byter leverantör.
3. **Slå på signering** — Aktivera hanterad DNSSEC hos din DNS-leverantör eller i kundområdet. Leverantören skapar nycklarna och signerar zonen.
4. **Kopiera DS-posten** — Kopiera nyckeltaggen, algoritmen, digesttypen och digesten som leverantören visar.
5. **Publicera DS-posten hos registraren** — Ange DS-datan för domänen hos registraren. Med automatisk DS-hantering via CDS eller CDNSKEY läser registret den från zonen.
6. **Validera kedjan** — Kör dig example.com A +dnssec och leta efter ad-flaggan i svaret från en validerande resolver, och testa sedan med en publik DNSSEC-kontroll.

*Kontrollera DNSSEC från kommandoraden*

```bash
dig NS example.com +short
dig DS example.com +short
dig DNSKEY example.com +short
dig example.com A +dnssec +multi
```

## Vad kan gå fel när du aktiverar DNSSEC?

**Felen är felaktiga matchningar, och var och en har en kort lösning.** En DS-post som publiceras innan zonen är signerad får validerande resolvrar att returnera SERVFAIL. Ta bort DS-posten hos registraren, vänta tills den lämnat föräldrazonen, signera zonen och publicera sedan DS-posten igen.

Att byta DNS-leverantör är den andra fällan. Om den nya leverantören inte har de gamla nycklarna matchar den gamla DS-posten inte längre. Ta bort DS-posten först, vänta tills dess time to live gått ut, flytta zonen, aktivera signering hos den nya leverantören och lägg till den nya DS-posten.

Håll DS-posten på din ändringslista, bredvid CAA-posterna i [hur du ställer in CAA-poster](https://wardmint.com/sv/guides/set-up-caa-records/ "How to set up CAA records"), och lägg registerinloggningen bakom kontrollerna i [hur du skyddar ditt registrarkonto mot övertagande](https://wardmint.com/sv/guides/protect-registrar-account/ "How to protect your registrar account from takeover"). En angripare som kan ersätta en DS-post kan ångra din signering, så DS-posten är bara så säker som kontot som redigerar den.

## Är DNSSEC detsamma som ett registerlås?

**Nej. DNSSEC autentiserar svar; ett registerlås stoppar obehöriga ändringar hos registret.** De skyddar olika punkter. DNSSEC skyddar data under transport. Ett registerlås, som Verisign erbjuder för .com och .net via deltagande registrar, kräver manuell verifiering utanför bandet innan namnservrar, överföringar eller ägarskap ändras.

Wardmint erbjuder inte registerlås. Det erbjuder ett överföringslås för varje domän, hanterad DNSSEC och CAA-poster, och Domänskydd för +29 US$/år, där domänen står i DomaineGoat LLC:s namn och en person läser varje klagomål innan någon åtgärd vidtas. Jämförelsen finns i [registerlås vs registrarlås](https://wardmint.com/sv/registry-lock-vs-registrar-lock/ "Registry lock vs registrar lock: what is the difference?").

## Frågor om DNSSEC

### Krypterar DNSSEC min trafik?

Nej. DNSSEC signerar DNS-svar så att de kan verifieras, men det döljer dem inte. HTTPS skyddar innehållet i anslutningen.

### Kan jag aktivera DNSSEC på varje tillägg?

Inte nödvändigtvis. Registret för varje tillägg avgör om det accepterar DS-poster. Kontrollera registrets eller registrarens dokumentation innan du börjar.

### Gör DNSSEC min sajt långsammare?

Signerade svar är större, och en validerande resolver gör extra arbete, men effekten på sidladdningen är liten för de flesta sajter. Fel från felaktiga DS-poster spelar större roll än hastigheten.

### Vad händer om jag byter DNS-leverantör senare?

Ta bort DS-posten först, vänta tills dess time to live passerat, flytta zonen, aktivera sedan signering hos den nya leverantören och publicera dess DS-post.

### Tar Wardmint betalt för DNSSEC?

Nej. Hanterad DNSSEC ingår i Wardmints kostnadsfria DNS-hosting, så en .com förblir 12,49 US$/år oavsett om den är signerad eller inte.

**Sammanfattning**

- DNSSEC signerar DNS-svar så att resolvrar kan avvisa förfalskade.
- Du aktiverar det i två delar: signera zonen, publicera sedan DS-posten hos registraren.
- Publicera DS-posten först efter att zonen är signerad; fel ordning gör att domänen inte klarar validering.
- Ta bort DS-posten innan du byter DNS-leverantör.
- Wardmints kostnadsfria DNS inkluderar hanterad DNSSEC utan extra avgift.
- DNSSEC skyddar inte ett konto som en angripare har tagit över.
- Wardmint erbjuder inte registerlås; det erbjuder ett överföringslås och Domänskydd.

## Källor

1. [RFC 9364: DNS Security Extensions (DNSSEC), BCP 237](https://www.rfc-editor.org/rfc/rfc9364.html) — IETF / RFC Editor (läst 2026-11-12)
2. [Registerlås](https://www.verisign.com/resources/registrar-resources/registry-lock) — Verisign (läst 2026-11-12)
3. [Curve Finance-incidentmeddelande för domänen](https://news.curve.finance/curve-domain-incident/) — Curve Finance (läst 2026-11-12)

---

Wardmint: Wardmint registrerar de defensiva domäner ett kryptoprojekt behöver: det egna namnet under de tillägg nätfiskare använder, och egna stavfels- och look-alike-varianter. Betalt i krypto utan KYC: ingen ID, bara en verifierad e-postadress per domän. Tjänsten drivs av DomaineGoat LLC, ett bolag registrerat i Panama; domänerna registreras genom vår ICANN-ackrediterade registrar-partner. En .com kostar 12,49 US$/år, samma pris varje år.