Jak włączyć DNSSEC krok po kroku – poradnik techniczny

W poprzednim wpisie wyjaśnialiśmy, że DNSSEC jest kluczowym elementem bezpieczeństwa domeny – chroni przed fałszowaniem odpowiedzi DNS i atakami typu spoofing czy cache poisoning. W tym wpisie pokażemy, jak włączyć DNSSEC krok po kroku, zarówno po stronie rejestratora, jak i serwera DNS.

Krok 1: Sprawdź, czy Twoja domena i rejestrator wspierają DNSSEC

1. Upewnij się, że Twoja domena znajduje się w strefie wspierającej DNSSEC (np. .pl, .com, .net).
2. Sprawdź w panelu Abonenta, czy jest dostępna opcja „Włącz DNSSEC” lub „Dodaj klucz DS”.
3. Jeśli nie, napisz bezpośrednio do biura obsługi klienta, by uzyskać bezpośrednią odpowiedź.
4. A jeśli domena korzysta z zewnętrznego DNS, sprawdź, czy Twój dostawca DNS obsługuje podpisywanie strefy.

Uwaga: jako RejestracjaDomen.pl umożliwiamy naszym klientom korzystanie z DNSSEC – wystarczy napisać do nas wiadomość w tej sprawie z adresu email autoryzowanego dla domeny!

Krok 2: Przygotuj klucze DNSSEC

DNSSEC korzysta z dwóch typów kluczy kryptograficznych:

• ZSK (Zone Signing Key) – podpisuje rekordy w strefie DNS.
• KSK (Key Signing Key) – podpisuje klucz ZSK, zapewnia integralność całego systemu.

Typowa procedura w panelu hostingowym (np. cPanel), gdzie podpięta jest domena:

• Generowanie kluczy: panel sam wygeneruje ZSK i KSK lub pozwoli wgrać własne (w formacie .key i .private).
• Zapisz wartości kluczy: KSK będzie potrzebny do dodania rekordów DS u rejestratora.

Krok 3: Podpisz strefę DNS

1. W panelu DNS włącz podpisywanie strefy (Sign Zone).
2. System automatycznie doda podpisane rekordy typu RRSIG do strefy.
3. Sprawdź, czy wszystkie rekordy (A, AAAA, MX, CNAME) mają swoje podpisy.

Uwaga: każda zmiana w strefie (dodanie rekordów, zmiana IP) wymaga ponownego podpisania strefy.

Krok 4: Dodaj rekord DS u rejestratora

1. Skopiuj wartości DS (Digest, Key Tag, Algorytm) z panelu DNS.
2. W panelu rejestratora wklej rekordy DS w odpowiednie pole DNSSEC.
3. Zapisz zmiany.

Alternatywnie: wyślij te wartości bezpośrednio do obsługi Twojej domeny, np. do nas, by dodali rekordy DS w Twoim imieniu.

Rekord DS pozwala rejestratorowi i górnym serwerom DNS zweryfikować podpisy Twojej strefy.

Krok 5: Weryfikacja działania DNSSEC

Po włączeniu DNSSEC warto sprawdzić poprawność konfiguracji. Można to zrobić poprzez narzędzie online, np. Verisign DNSSEC Analyzer.

Krok 6: Częste problemy i wskazówki

• Niekompletne rekordy DS → domena może stać się niedostępna
• Błędy w podpisaniu strefy → brak walidacji DNSSEC
• Zmiany w strefie DNS → zawsze ponownie podpisuj strefę (czyli: usuń rekordy DS, wprowadź zmiany w strefie DNS, zaczekaj na propagację zmiany w sieci, ponownie wygeneruj DNSSEC na serwerze hostingowym, a na koniec dodaj rekordy DS od nowa)
• Najbezpieczniejsza konfiguracja: włącz automatyczne odnawianie kluczy i podpisów, jeśli panel to umożliwia

Podsumowanie

Włączenie DNSSEC to proces kilkustopniowy, który wymaga:

• wsparcia domeny i rejestratora,
• wygenerowania kluczy ZSK i KSK,
• podpisania strefy DNS,
• dodania rekordu DS u rejestratora,
• weryfikacji działania.

Dzięki DNSSEC Twoja domena jest znacznie bardziej odporna na ataki typu spoofing i cache poisoning – to jeden z najważniejszych kroków w zabezpieczeniu domeny.