Коротка відповідь
Як увімкнути DNSSEC для вашого домену?
Увімкніть DNSSEC у дві частини: підпишіть зону у вашого провайдера DNS, що створить запис DS, потім опублікуйте цей запис DS у реєстраторі. Безкоштовний DNS від Wardmint включає керований DNSSEC без доплати, там, де реєстр розширення приймає записи DS. DNSSEC виявляє підроблені відповіді, але не захищає захоплений обліковий запис.
Чотири записи DNSSEC і хто їх публікує
| Запис | Що вони містять | Де вони живуть | Хто їх публікує |
|---|---|---|---|
| DNSKEY | Публічний ключ, яким перевіряються ваші підписи | У вашій зоні | Ваш провайдер DNS |
| RRSIG | Підпис над кожним набором записів | У вашій зоні, поруч із записами | Ваш провайдер DNS |
| DS | Відбиток вашого ключа підписання ключів | У батьківській зоні, наприклад .com | Реєстр, з даних, які надсилає реєстратор |
| CDS і CDNSKEY | Ваш запит на додавання або зміну запису DS | У вашій зоні | Ваш провайдер DNS, звідки реєстр їх зчитує (RFC 7344) |
Що DNSSEC дає крипто-проєкту?
DNSSEC додає цифровий підпис до відповідей DNS, щоб резолвер міг відхилити дані, які хтось підробив. Це набір протоколів, визначених у RFC 4033, RFC 4034 і RFC 4035 та оновлених RFC 6840, а IETF називає його найкращою чинною практикою автентифікації походження даних DNS у RFC 9364.
Для проєкту це закриває один шлях атаки. Зловмисник, який підмінює відповіді між резолвером користувача і вашими серверами імен, не може створити дійсні підписи, тож резолвер, що перевіряє, повертає помилку замість адреси зловмисника. Користувача ніде не направляють замість дрейнера.
Обмеження важить так само, як і перевага. DNSSEC не зупиняє людину, яка входить до вашого реєстратора, бо вона може змінити ваші сервери імен або замінити запис DS. Захоплення Curve Finance у 2022 і 2025 роках та Galxe у 2023 були описані як захоплення на боці реєстратора або облікового запису, тому як захистити домен від захоплення DNS починає з облікового запису і розглядає DNSSEC як один рівень.
Як працює ланцюг довіри?
Ланцюг довіри з'єднує вашу зону з коренем через записи DS, по одному батьківському рівню за раз. Коренева зона засвідчує .com, .com засвідчує ваш домен через запис DS, а ваша зона засвідчує власні записи підписами RRSIG.
У вашій зоні є два типи ключів. Ключ підписання зони підписує набори записів; ключ підписання ключів підписує набір ключів і є тим, на який вказує запис DS. Запис DS містить ключовий тег, номер алгоритму, тип дайджесту і дайджест ключа підписання ключів. Якщо запис DS у реєстрі не відповідає жодному ключу у вашій зоні, резолвери, що перевіряють, вважають домен зламаним і повертають SERVFAIL.
Це найпоширеніша помилка DNSSEC, і вона шкодить доступності, а не безпеці: сайт стає недоступним для користувачів за резолверами, що перевіряють. Порядок важливий, тому кроки нижче спочатку публікують підписану зону, а потім запис DS.
Яка у вас конфігурація DNS?
Ваш шлях залежить від того, хто обслуговує зону: DNS Wardmint чи зовнішній провайдер. Безкоштовний хостинг DNS від Wardmint включає безкоштовний DNS-хостинг із записами A, AAAA, CNAME, ALIAS, MX, TXT, NS, SRV і CAA, керований DNSSEC, а за бажанням власні сервери імен (від 2 до 13).
Якщо зона на DNS Wardmint, DNSSEC керований: ключі створюються і ротуються за вас, а вмикаєте ви його для домену в кабінеті клієнта. Якщо зона у зовнішнього провайдера DNS, цей провайдер підписує її і показує вам запис DS або дані ключа; ці дані DS ви передаєте тому, хто тримає реєстрацію. Для домену, зареєстрованого у Wardmint, надішліть їх через кабінет клієнта або запитайте підтримку: відповіді на листи протягом 12 годин, 7 днів на тиждень, зокрема з DNSSEC, записами CAA та скаргами про зловживання.
За опитуванням Wardmint від 12 листопада 2026, усі 29 розширень у його прайс-листі мають ціну приватності WHOIS $0, а керований DNSSEC, що входить до хостингу DNS, теж не додає плати; .com лишається на рівні 12,49 USD/рік незалежно від того, підписаний він чи ні. Перевірте, що розширення підтримує DNSSEC у своєму реєстрі, перш ніж почати; документація реєстратора або реєстру це зазначає.
Як увімкнути DNSSEC у шість кроків
Визначте, хто обслуговує зону
Виконайте dig NS example.com +short і запишіть, який провайдер відповідає. Підписання відбувається саме там.
Перевірте наявність запису DS
Виконайте dig DS example.com +short. Якщо він існує з попереднього налаштування, видаліть його перед зміною провайдера.
Увімкніть підписання
Увімкніть керований DNSSEC у вашого провайдера DNS або в кабінеті клієнта. Провайдер створює ключі і підписує зону.
Скопіюйте запис DS
Скопіюйте ключовий тег, алгоритм, тип дайджесту і дайджест, які показує провайдер.
Опублікуйте запис DS у реєстраторі
Введіть дані DS для домену у реєстраторі. За автоматичного керування DS через CDS або CDNSKEY реєстр зчитує їх із зони.
Перевірте ланцюг
Виконайте dig example.com A +dnssec і шукайте прапорець ad у відповіді від резолвера, що перевіряє, потім протестуйте публічним перевірником DNSSEC.
dig NS example.com +short
dig DS example.com +short
dig DNSKEY example.com +short
dig example.com A +dnssec +multiЩо може піти не так, коли ви вмикаєте DNSSEC?
Збої — це невідповідності, і кожен має коротке виправлення. Запис DS, опублікований до того, як зону підписано, змушує резолвери, що перевіряють, повертати SERVFAIL. Видаліть запис DS у реєстраторі, дочекайтеся, поки він зникне з батьківської зони, підпишіть зону, потім знову опублікуйте запис DS.
Зміна провайдера DNS — це інша пастка. Якщо новий провайдер не має старих ключів, старий запис DS більше не відповідає. Спершу видаліть запис DS, дочекайтеся, поки закінчиться його час життя (TTL), перенесіть зону, увімкніть підписання у новому провайдері і додайте новий запис DS.
Тримайте запис DS у своєму контрольному списку змін поруч із записами CAA у як налаштувати записи CAA, а обліковий запис реєстратора — за засобами контролю з як захистити обліковий запис реєстратора від захоплення. Зловмисник, який може замінити запис DS, може скасувати ваше підписання, тому запис DS лише настільки безпечний, наскільки безпечний обліковий запис, що його редагує.
Чи DNSSEC — це те саме, що реєстрове блокування?
Ні. DNSSEC автентифікує відповіді; реєстрове блокування зупиняє несанкціоновані зміни в реєстрі. Вони захищають різні точки. DNSSEC захищає дані під час передачі. Реєстрове блокування, яке пропонує Verisign для .com і .net через участь реєстраторів, вимагає ручної перевірки поза каналом перед зміною серверів імен, переказів або власності.
Wardmint не пропонує реєстрового блокування. Він пропонує блокування переказу для кожного домену, керований DNSSEC і записи CAA, а також Захист домену за +29 USD/рік, де домен записано на ім'я DomaineGoat LLC, а людина читає кожну скаргу перед будь-якою дією. Порівняння — у реєстрове блокування проти блокування реєстратора.
Питання про DNSSEC
Чи шифрує DNSSEC мій трафік?
Ні. DNSSEC підписує відповіді DNS, щоб їх можна було перевірити, але не приховує їх. HTTPS захищає вміст з'єднання.
Чи можна увімкнути DNSSEC для кожного розширення?
Не обов'язково. Реєстр кожного розширення вирішує, чи приймає він записи DS. Перевірте документацію реєстру або реєстратора, перш ніж почати.
Чи сповільнить DNSSEC мій сайт?
Підписані відповіді більші, а резолвер, що перевіряє, виконує додаткову роботу, але вплив на завантаження сторінок для більшості сайтів невеликий. Збої через невідповідні записи DS важать більше, ніж швидкість.
Що робити, якщо я пізніше зміню провайдера DNS?
Спершу видаліть запис DS, дочекайтеся, поки мине його час життя, перенесіть зону, потім увімкніть підписання у новому провайдері і опублікуйте його запис DS.
Чи бере Wardmint плату за DNSSEC?
Ні. Керований DNSSEC входить до безкоштовного хостингу DNS Wardmint, тож .com лишається на рівні 12,49 USD/рік, підписаний він чи ні.
Підсумок
- DNSSEC підписує відповіді DNS, щоб резолвери могли відхилити підроблені.
- Вмикається він у дві частини: підпишіть зону, потім опублікуйте запис DS у реєстраторі.
- Публікуйте запис DS після того, як зону підписано; хибний порядок змушує домен не проходити перевірку.
- Видаліть запис DS, перш ніж переходити до іншого провайдера DNS.
- Безкоштовний DNS від Wardmint включає керований DNSSEC без додаткової плати.
- DNSSEC не захищає обліковий запис, який захопив зловмисник.
- Wardmint не пропонує реєстрового блокування; він пропонує блокування переказу і Захист домену.
Джерела (3)
- RFC 9364: DNS Security Extensions (DNSSEC), BCP 237 — IETF / RFC Editor (зчитано 2026-11-12)
- Реєстрове блокування (Registry Lock) — Verisign (зчитано 2026-11-12)
- Повідомлення про інцидент з доменом Curve Finance — Curve Finance (зчитано 2026-11-12)