Trả lời nhanh
Bạn bật DNSSEC cho tên miền như thế nào?
Bật DNSSEC theo hai phần: ký vùng tại nhà cung cấp DNS của bạn, nơi tạo ra một bản ghi DS, rồi công bố bản ghi DS đó tại nhà đăng ký. DNS miễn phí của Wardmint bao gồm DNSSEC được quản lý không có phí bổ sung, ở bất cứ nơi nào registry của đuôi đó chấp nhận bản ghi DS. DNSSEC phát hiện câu trả lời bị giả mạo nhưng không bảo vệ một tài khoản đã bị chiếm.
Bốn bản ghi DNSSEC và ai công bố chúng
| Bản ghi | Nó chứa gì | Nó nằm ở đâu | Ai công bố nó |
|---|---|---|---|
| DNSKEY | Khóa công khai xác thực chữ ký của bạn | Trong vùng của bạn | Nhà cung cấp DNS của bạn |
| RRSIG | Một chữ ký trên mỗi tập bản ghi | Trong vùng của bạn, cạnh các bản ghi | Nhà cung cấp DNS của bạn |
| DS | Dấu vân tay của khóa ký khóa (KSK) của bạn | Trong vùng cha, như .com | Registry, từ dữ liệu do nhà đăng ký gửi |
| CDS và CDNSKEY | Mong muốn của bạn về việc thêm hoặc thay đổi bản ghi DS | Trong vùng của bạn | Nhà cung cấp DNS của bạn, nơi registry đọc chúng (RFC 7344) |
DNSSEC làm gì cho một dự án tiền mã hóa?
DNSSEC thêm một chữ ký số vào câu trả lời DNS để resolver có thể từ chối dữ liệu bị ai đó giả mạo. Đó là một tập giao thức, được định nghĩa trong RFC 4033, RFC 4034 và RFC 4035 và được cập nhật bởi RFC 6840, và IETF gọi nó là thực hành tốt nhất hiện nay để xác thực nguồn gốc dữ liệu DNS trong RFC 9364.
Với một dự án, điều này khóa một con đường tấn công. Kẻ tấn công can thiệp vào câu trả lời giữa resolver của người dùng và name server của bạn không thể tạo chữ ký hợp lệ, nên resolver xác thực trả về lỗi thay vì địa chỉ của kẻ tấn công. Người dùng không bị đưa đến đâu cả thay vì đến một drainer.
Giới hạn cũng quan trọng không kém lợi ích. DNSSEC không ngăn một người đăng nhập vào nhà đăng ký của bạn, vì người đó có thể đổi name server hoặc thay bản ghi DS. Các vụ chiếm Curve Finance năm 2022 và 2025 và Galxe năm 2023 được báo cáo là ở cấp nhà đăng ký hoặc tài khoản, đó là lý do cách bảo vệ tên miền của bạn trước chiếm quyền DNS bắt đầu từ tài khoản và coi DNSSEC là một lớp.
Chuỗi tin cậy hoạt động thế nào?
Chuỗi tin cậy nối vùng của bạn với gốc qua các bản ghi DS, từng cấp cha một. Vùng gốc bảo chứng cho .com, .com bảo chứng cho tên miền của bạn qua bản ghi DS, và vùng của bạn bảo chứng cho các bản ghi của chính nó bằng chữ ký RRSIG.
Vùng của bạn có hai loại khóa. Khóa ký vùng ký các tập bản ghi; khóa ký khóa ký tập khóa và là khóa mà bản ghi DS trỏ tới. Một bản ghi DS chứa một key tag, một số thuật toán, một loại digest và một digest của khóa ký khóa. Nếu bản ghi DS tại registry không khớp với một khóa trong vùng của bạn, các resolver xác thực coi tên miền là hỏng và trả về SERVFAIL.
Đây là lỗi DNSSEC phổ biến nhất, và nó gây hại cho tính khả dụng, không phải bảo mật: trang bị tối đối với người dùng sau các resolver xác thực. Thứ tự quan trọng, đó là lý do các bước bên dưới công bố vùng đã ký trước và bản ghi DS sau.
Bạn dùng thiết lập DNS nào?
Đường đi của bạn tùy thuộc vào ai phục vụ vùng: DNS của Wardmint, hay một nhà cung cấp bên ngoài. DNS lưu trữ miễn phí của Wardmint bao gồm DNS miễn phí với bản ghi A, AAAA, CNAME, ALIAS, MX, TXT, NS, SRV và CAA, DNSSEC được quản lý, và máy chủ tên riêng của bạn nếu bạn muốn (2 đến 13).
Nếu vùng nằm trên DNS của Wardmint, DNSSEC được quản lý: các khóa được tạo và xoay vòng cho bạn, và bạn bật nó cho tên miền trong khu vực khách hàng. Nếu vùng nằm tại một nhà cung cấp DNS bên ngoài, nhà cung cấp đó ký nó và hiển thị cho bạn bản ghi DS hoặc dữ liệu khóa; bạn đưa dữ liệu DS đó cho người giữ việc đăng ký. Với tên miền đăng ký tại Wardmint, hãy gửi qua khu vực khách hàng hoặc yêu cầu hỗ trợ: trả lời email trong vòng 12 giờ, 7 ngày một tuần, kể cả hỗ trợ về DNSSEC, bản ghi CAA và báo cáo lạm dụng.
Theo khảo sát của Wardmint ngày 12 tháng 11 năm 2026, cả 29 đuôi trong bảng giá của họ đều có giá Ẩn WHOIS là $0, và DNSSEC được quản lý đi kèm lưu trữ DNS cũng không tốn thêm phí; một .com giữ 12,49 US$/năm dù có ký hay không. Hãy kiểm tra đuôi có hỗ trợ DNSSEC tại registry của nó trước khi bắt đầu; tài liệu của nhà đăng ký hoặc registry có nêu điều này.
Bật DNSSEC theo sáu bước
Xác định ai phục vụ vùng
Chạy dig NS example.com +short và ghi lại nhà cung cấp nào trả lời. Việc ký diễn ra ở đó.
Kiểm tra bản ghi DS đã có
Chạy dig DS example.com +short. Nếu có một bản ghi từ thiết lập trước, hãy xóa nó trước khi bạn đổi nhà cung cấp.
Bật việc ký
Bật DNSSEC được quản lý tại nhà cung cấp DNS hoặc trong khu vực khách hàng. Nhà cung cấp tạo khóa và ký vùng.
Sao chép bản ghi DS
Sao chép key tag, thuật toán, loại digest và digest mà nhà cung cấp hiển thị.
Công bố bản ghi DS tại nhà đăng ký
Nhập dữ liệu DS của tên miền tại nhà đăng ký. Với quản lý DS tự động qua CDS hoặc CDNSKEY, registry tự đọc nó từ vùng.
Xác thực chuỗi
Chạy dig example.com A +dnssec và tìm cờ ad trong câu trả lời từ một resolver xác thực, rồi kiểm tra bằng một công cụ kiểm tra DNSSEC công khai.
dig NS example.com +short
dig DS example.com +short
dig DNSKEY example.com +short
dig example.com A +dnssec +multiĐiều gì có thể hỏng khi bạn bật DNSSEC?
Các lỗi là sai khớp, và mỗi lỗi có một cách sửa ngắn. Một bản ghi DS được công bố trước khi vùng được ký sẽ khiến các resolver xác thực trả về SERVFAIL. Hãy xóa bản ghi DS tại nhà đăng ký, đợi nó rời khỏi vùng cha, ký vùng, rồi công bố lại bản ghi DS.
Đổi nhà cung cấp DNS là cái bẫy khác. Nếu nhà cung cấp mới không giữ các khóa cũ, bản ghi DS cũ không còn khớp. Hãy xóa bản ghi DS trước, đợi thời gian sống (TTL) của nó hết hạn, chuyển vùng, bật ký tại nhà cung cấp mới và thêm bản ghi DS mới.
Hãy giữ bản ghi DS trong danh sách kiểm tra thay đổi của bạn, cạnh các bản ghi CAA trong cách thiết lập bản ghi CAA, và đặt thông tin đăng nhập nhà đăng ký sau các biện pháp kiểm soát trong cách bảo vệ tài khoản nhà đăng ký khỏi bị chiếm. Kẻ tấn công có thể thay bản ghi DS thì có thể gỡ việc ký của bạn, nên bản ghi DS chỉ an toàn bằng tài khoản dùng để sửa nó.
DNSSEC có giống khóa registry không?
Không. DNSSEC xác thực câu trả lời; khóa registry ngăn các thay đổi trái phép tại registry. Chúng bảo vệ các điểm khác nhau. DNSSEC bảo vệ dữ liệu trên đường truyền. Khóa registry, do Verisign cung cấp cho .com và .net qua các nhà đăng ký tham gia, yêu cầu xác minh thủ công ngoài băng trước khi thay đổi name server, chuyển nhượng hoặc quyền sở hữu.
Wardmint không cung cấp khóa registry. Chúng tôi cung cấp khóa chuyển nhượng cho từng tên miền, DNSSEC và bản ghi CAA được quản lý, và Bảo vệ tên miền với mức +29 US$ mỗi năm, nơi tên miền nằm dưới tên DomaineGoat LLC và một người đọc mọi khiếu nại trước khi có bất kỳ hành động nào. So sánh nằm trong khóa registry so với khóa nhà đăng ký.
Câu hỏi về DNSSEC
DNSSEC có mã hóa lưu lượng của tôi không?
Không. DNSSEC ký các câu trả lời DNS để chúng có thể được xác minh, nhưng nó không che giấu chúng. HTTPS bảo vệ nội dung của kết nối.
Tôi có thể bật DNSSEC trên mọi đuôi không?
Không nhất thiết. Registry của mỗi đuôi quyết định có chấp nhận bản ghi DS hay không. Hãy kiểm tra tài liệu của registry hoặc nhà đăng ký trước khi bắt đầu.
DNSSEC có làm trang của tôi chậm đi không?
Câu trả lời đã ký lớn hơn, và một resolver xác thực làm thêm việc, nhưng ảnh hưởng đến tốc độ tải trang là nhỏ với hầu hết các trang. Lỗi do bản ghi DS không khớp quan trọng hơn tốc độ.
Nếu sau này tôi đổi nhà cung cấp DNS thì sao?
Xóa bản ghi DS trước, đợi thời gian sống của nó hết hạn, chuyển vùng, rồi bật ký tại nhà cung cấp mới và công bố bản ghi DS của họ.
Wardmint có tính phí DNSSEC không?
Không. DNSSEC được quản lý là một phần của lưu trữ DNS miễn phí của Wardmint, nên một .com giữ 12,49 US$/năm dù đã ký hay chưa ký.
Tóm tắt
- DNSSEC ký các câu trả lời DNS để resolver có thể từ chối những câu bị giả mạo.
- Bạn bật nó theo hai phần: ký vùng, rồi công bố bản ghi DS tại nhà đăng ký.
- Hãy công bố bản ghi DS sau khi vùng đã được ký; thứ tự sai khiến tên miền không qua được xác thực.
- Xóa bản ghi DS trước khi bạn chuyển nhà cung cấp DNS.
- DNS miễn phí của Wardmint bao gồm DNSSEC được quản lý không có phí thêm.
- DNSSEC không bảo vệ một tài khoản mà kẻ tấn công đã chiếm.
- Wardmint không cung cấp khóa registry; nó cung cấp khóa chuyển nhượng và Bảo vệ tên miền.
Nguồn (3)
- RFC 9364: DNS Security Extensions (DNSSEC), BCP 237 — IETF / RFC Editor (đọc ngày 2026-11-12)
- Khóa Registry — Verisign (đọc ngày 2026-11-12)
- Thông báo sự cố tên miền Curve Finance — Curve Finance (đọc ngày 2026-11-12)