คำตอบสั้น ๆ
คุณเปิด DNSSEC บนโดเมนของคุณอย่างไร?
เปิด DNSSEC ในสองส่วน: ลงนามโซนที่ผู้ให้บริการ DNS ของคุณ ซึ่งจะสร้าง DS record แล้วเผยแพร่ DS record นั้นที่นายทะเบียน DNS ฟรีของ Wardmint รวม DNSSEC แบบจัดการให้โดยไม่มีค่าธรรมเนียมเพิ่มในที่ที่รีจิสทรีของนามสกุลนั้นรับ DS record DNSSEC ตรวจจับคำตอบปลอมได้ แต่ไม่คุ้มครองบัญชีที่ถูกยึด
DNSSEC สี่ระเบียนและใครเป็นผู้เผยแพร่
| ระเบียน | สิ่งที่เก็บไว้ | อยู่ที่ใด | ใครเผยแพร่ |
|---|---|---|---|
| DNSKEY | คีย์สาธารณะที่ตรวจสอบลายเซ็นของคุณ | ในโซนของคุณ | ผู้ให้บริการ DNS ของคุณ |
| RRSIG | ลายเซ็นบนชุดระเบียนแต่ละชุด | ในโซนของคุณ ถัดจากระเบียน | ผู้ให้บริการ DNS ของคุณ |
| DS | ลายนิ้วมือของ key signing key ของคุณ | ในโซนผู้ปกครอง เช่น .com | รีจิสทรี จากข้อมูลที่นายทะเบียนส่ง |
| CDS และ CDNSKEY | ความต้องการของคุณที่จะเพิ่มหรือเปลี่ยน DS record | ในโซนของคุณ | ผู้ให้บริการ DNS ของคุณ ซึ่งรีจิสทรีอ่านได้ (RFC 7344) |
DNSSEC ทำอะไรให้โปรเจกต์คริปโต?
DNSSEC เพิ่มลายเซ็นดิจิทัลให้คำตอบ DNS เพื่อให้ตัวแก้ไขปฏิเสธข้อมูลที่ถูกปลอมได้ เป็นชุดโปรโตคอลที่นิยามใน RFC 4033, RFC 4034 และ RFC 4035 และอัปเดตโดย RFC 6840 IETF เรียกมันว่าแนวปฏิบัติที่ดีที่สุดปัจจุบันสำหรับการยืนยันแหล่งที่มาของข้อมูล DNS ใน RFC 9364
สำหรับโปรเจกต์ นี่ปิดเส้นทางการโจมตีหนึ่งทาง ผู้โจมตีที่แก้ไขคำตอบระหว่างตัวแก้ไขของผู้ใช้กับเนมเซิร์ฟเวอร์ของคุณไม่สามารถสร้างลายเซ็นที่ถูกต้องได้ ตัวแก้ไขที่ตรวจสอบจึงส่งคืนข้อผิดพลาดแทนที่จะเป็นที่อยู่ของผู้โจมตี ผู้ใช้จะไม่ถูกส่งไปยังตัวดูดกระเป๋า
ข้อจำกัดสำคัญไม่แพ้ประโยชน์ DNSSEC ไม่หยุดคนที่ล็อกอินเข้านายทะเบียนของคุณ เพราะคนนั้นเปลี่ยนเนมเซิร์ฟเวอร์หรือแทนที่ DS record ได้ การยึด Curve Finance ในปี 2022 และ 2025 และของ Galxe ในปี 2023 ถูกรายงานว่าเป็นฝั่งนายทะเบียนหรือฝั่งบัญชี นี่คือเหตุผลที่วิธีรักษาความปลอดภัยโดเมนจากการยึด DNS เริ่มจากบัญชี และถือ DNSSEC เป็นชั้นหนึ่ง
ห่วงโซ่ความเชื่อถือทำงานอย่างไร?
ห่วงโซ่ความเชื่อถือเชื่อมโซนของคุณกับรากผ่าน DS record ทีละระดับ โซนรากรับรองให้ .com, .com รับรองโดเมนของคุณผ่าน DS record และโซนของคุณรับรองระเบียนของตัวเองด้วยลายเซ็น RRSIG
โซนของคุณมีคีย์สองชนิด คีย์ลงนามโซน (ZSK) ลงนามชุดระเบียน ส่วนคีย์ลงนามคีย์ (KSK) ลงนามชุดคีย์ และเป็นคีย์ที่ DS record ชี้ไป DS record มี key tag หมายเลขอัลกอริทึม ชนิดไดเจสต์ และไดเจสต์ของ key signing key ถ้า DS record ที่รีจิสทรีไม่ตรงกับคีย์ในโซนของคุณ ตัวแก้ไขที่ตรวจสอบจะถือว่าโดเมนเสียและส่งคืน SERVFAIL
นี่คือความล้มเหลว DNSSEC ที่พบบ่อยที่สุด และกระทบความพร้อมใช้งาน ไม่ใช่ความปลอดภัย: เว็บไซต์ดับสำหรับผู้ใช้ที่อยู่หลังตัวแก้ไขที่ตรวจสอบ ลำดับสำคัญ จึงเป็นเหตุผลที่ขั้นตอนด้านล่างเผยแพร่โซนที่ลงนามก่อน แล้วจึงเผยแพร่ DS record
คุณมีการตั้งค่า DNS แบบไหน?
เส้นทางของคุณขึ้นอยู่กับว่าใครให้บริการโซน: DNS ของ Wardmint หรือผู้ให้บริการภายนอก DNS โฮสติ้งฟรีของ Wardmint รวม DNS ฟรีพร้อมระเบียน A, AAAA, CNAME, ALIAS, MX, TXT, NS, SRV และ CAA, DNSSEC แบบจัดการให้ และเนมเซิร์ฟเวอร์ของคุณเองหากต้องการ (2 ถึง 13)
หากโซนอยู่บน DNS ของ Wardmint DNSSEC เป็นแบบจัดการให้: คีย์ถูกสร้างและหมุนเวียนให้คุณ และคุณเปิดให้โดเมนในพื้นที่ลูกค้า หากโซนอยู่กับผู้ให้บริการ DNS ภายนอก ผู้ให้บริการนั้นลงนามโซนและแสดง DS record หรือข้อมูลคีย์ให้คุณ คุณส่งข้อมูล DS นั้นให้ผู้ที่ถือการจดทะเบียน สำหรับโดเมนที่จดทะเบียนที่ Wardmint ให้ส่งผ่านพื้นที่ลูกค้าหรือขอซัพพอร์ต: ตอบอีเมลภายใน 12 ชั่วโมง 7 วันต่อสัปดาห์ รวมถึงความช่วยเหลือเรื่อง DNSSEC, ระเบียน CAA และรายงานการละเมิด
ตามการสำรวจของ Wardmint เมื่อ 12 พฤศจิกายน 2026 นามสกุลทั้ง 29 ในรายการราคาของเรามีค่าปกปิด WHOIS เป็น $0 และ DNSSEC แบบจัดการที่มาพร้อม DNS โฮสติ้งก็ไม่มีค่าธรรมเนียมเช่นกัน .com คงอยู่ที่ US$12.49/ปี ไม่ว่าจะลงนามหรือไม่ ตรวจสอบว่านามสกุลรองรับ DNSSEC ที่รีจิสทรีก่อนเริ่ม นายทะเบียนหรือเอกสารของรีจิสทรีระบุไว้
วิธีเปิด DNSSEC ในหกขั้นตอน
ยืนยันว่าใครให้บริการโซน
รัน dig NS example.com +short และจดว่าผู้ให้บริการใดตอบ การลงนามเกิดขึ้นที่นั่น
ตรวจ DS record ที่มีอยู่
รัน dig DS example.com +short หากมีรายการจากการตั้งค่าก่อนหน้า ให้ลบออกก่อนเปลี่ยนผู้ให้บริการ
เปิดการลงนาม
เปิด DNSSEC แบบจัดการในผู้ให้บริการ DNS ของคุณหรือพื้นที่ลูกค้า ผู้ให้บริการสร้างคีย์และลงนามโซน
คัดลอก DS record
คัดลอก key tag อัลกอริทึม ชนิดไดเจสต์ และไดเจสต์ที่ผู้ให้บริการแสดง
เผยแพร่ DS record ที่นายทะเบียน
ป้อนข้อมูล DS ของโดเมนที่นายทะเบียน ด้วยการจัดการ DS อัตโนมัติผ่าน CDS หรือ CDNSKEY รีจิสทรีจะอ่านมาจากโซน
ตรวจสอบห่วงโซ่
รัน dig example.com A +dnssec และดูแฟล็ก ad ในคำตอบจากตัวแก้ไขที่ตรวจสอบ จากนั้นทดสอบด้วยเครื่องมือตรวจ DNSSEC สาธารณะ
dig NS example.com +short
dig DS example.com +short
dig DNSKEY example.com +short
dig example.com A +dnssec +multiอะไรอาจผิดพลาดเมื่อคุณเปิด DNSSEC?
ความล้มเหลวคือการไม่ตรงกัน และแต่ละอย่างมีวิธีแก้สั้น ๆ DS record ที่เผยแพร่ก่อนโซนถูกลงนามจะทำให้ตัวแก้ไขที่ตรวจสอบส่งคืน SERVFAIL ให้ลบ DS record ที่นายทะเบียน รอจนมันหายจากโซนผู้ปกครอง ลงนามโซน แล้วเผยแพร่ DS record อีกครั้ง
การย้ายผู้ให้บริการ DNS เป็นกับดักอีกอย่าง หากผู้ให้บริการใหม่ไม่มีคีย์เก่า DS record เก่าจะไม่ตรงอีกต่อไป ให้ลบ DS record ก่อน รอให้ time to live หมด ย้ายโซน เปิดการลงนามที่ผู้ให้บริการใหม่ และเพิ่ม DS record ใหม่
ให้เก็บ DS record ไว้ในรายการตรวจการเปลี่ยนแปลงของคุณ ควบคู่กับระเบียน CAA ในวิธีตั้งค่าระเบียน CAA และวางข้อมูลรับรองนายทะเบียนไว้หลังการควบคุมในวิธีป้องกันบัญชีนายทะเบียนจากการยึดครอง ผู้โจมตีที่แทนที่ DS record ได้จะยกเลิกการลงนามของคุณได้ ดังนั้น DS record ปลอดภัยเพียงเท่าที่บัญชีที่แก้ไขมันปลอดภัย
DNSSEC เหมือนการล็อกระดับรีจิสทรีหรือไม่?
ไม่ DNSSEC รับรองคำตอบ ส่วนการล็อกระดับรีจิสทรีหยุดการเปลี่ยนแปลงที่ไม่ได้รับอนุญาตที่รีจิสทรี ทั้งสองปกป้องจุดต่างกัน DNSSEC คุ้มครองข้อมูลระหว่างทาง การล็อกระดับรีจิสทรีที่ Verisign เสนอสำหรับ .com และ .net ผ่านนายทะเบียนที่เข้าร่วม ต้องมีการยืนยันด้วยตนเองนอกช่องทางก่อนมีการเปลี่ยนเนมเซิร์ฟเวอร์ การโอนย้าย หรือการเปลี่ยนความเป็นเจ้าของ
Wardmint ไม่เสนอการล็อกระดับรีจิสทรี เสนอการล็อกการโอนย้ายสำหรับแต่ละโดเมน DNSSEC แบบจัดการ และระเบียน CAA และการคุ้มครองโดเมนที่ +US$29/ปี ซึ่งโดเมนอยู่ในชื่อของ DomaineGoat LLC และบุคคลอ่านทุกคำร้องเรียนก่อนดำเนินการใด การเปรียบเทียบอยู่ในการล็อกระดับรีจิสทรีเทียบกับการล็อกระดับนายทะเบียน
คำถามเกี่ยวกับ DNSSEC
DNSSEC เข้ารหัสการรับส่งข้อมูลของฉันหรือไม่?
ไม่ DNSSEC ลงนามคำตอบ DNS เพื่อให้ตรวจสอบได้ แต่ไม่ได้ซ่อนมัน HTTPS คุ้มครองเนื้อหาของการเชื่อมต่อ
ฉันเปิด DNSSEC บนทุกนามสกุลได้หรือไม่?
ไม่จำเป็นเสมอไป รีจิสทรีของแต่ละนามสกุลตัดสินว่าจะรับ DS record หรือไม่ ตรวจเอกสารของรีจิสทรีหรือนายทะเบียนก่อนเริ่ม
DNSSEC จะทำให้เว็บไซต์ของฉันช้าลงหรือไม่?
คำตอบที่ลงนามมีขนาดใหญ่ขึ้น และตัวแก้ไขที่ตรวจสอบทำงานเพิ่ม แต่ผลต่อการโหลดหน้าเว็บของเว็บไซต์ส่วนใหญ่มีน้อย ความล้มเหลวจาก DS record ที่ไม่ตรงสำคัญกว่าความเร็ว
ถ้าฉันเปลี่ยนผู้ให้บริการ DNS ภายหลังล่ะ?
ลบ DS record ก่อน รอให้ time to live ผ่านไป ย้ายโซน แล้วเปิดการลงนามที่ผู้ให้บริการใหม่และเผยแพร่ DS record ของผู้ให้บริการนั้น
Wardmint คิดค่า DNSSEC หรือไม่?
ไม่ DNSSEC แบบจัดการเป็นส่วนหนึ่งของ DNS โฮสติ้งฟรีของ Wardmint ดังนั้น .com ยังคงอยู่ที่ US$12.49/ปี ไม่ว่าจะลงนามหรือไม่
สรุป
- DNSSEC ลงนามคำตอบ DNS เพื่อให้ตัวแก้ไขปฏิเสธคำตอบปลอมได้
- คุณเปิดมันได้เป็นสองส่วน: ลงนามโซน แล้วเผยแพร่ DS record ที่นายทะเบียน
- เผยแพร่ DS record หลังจากโซนถูกลงนามแล้ว ลำดับผิดทำให้โดเมนไม่ผ่านการตรวจสอบ
- ลบ DS record ก่อนที่คุณจะย้ายผู้ให้บริการ DNS
- DNS ฟรีของ Wardmint รวม DNSSEC แบบจัดการโดยไม่มีค่าธรรมเนียมเพิ่ม
- DNSSEC ไม่คุ้มครองบัญชีที่ผู้โจมตียึดไปแล้ว
- Wardmint ไม่เสนอการล็อกระดับรีจิสทรี แต่เสนอการล็อกการโอนย้ายและการคุ้มครองโดเมน
แหล่งที่มา (3)
- RFC 9364: DNS Security Extensions (DNSSEC), BCP 237 — IETF / RFC Editor (อ่านเมื่อ 2026-11-12)
- Registry Lock — Verisign (อ่านเมื่อ 2026-11-12)
- ประกาศเหตุการณ์โดเมนของ Curve Finance — Curve Finance (อ่านเมื่อ 2026-11-12)