vérificateur DNSSEC

DNSSEC signe les réponses fournies par votre domaine, afin qu'un client puisse savoir qu'elles n'ont pas été falsifiées en cours de route. Une configuration à moitié terminée est pire que rien : une signature brisée ne rend pas le domaine moins sécurisé, elle le fait disparaître. Vérifiez un domaine que vous contrôlez et voyez si DNSSEC est activé et s'il est validé.

Qu'est-ce que DNSSEC, en un paragraphe

Les réponses DNS ordinaires ne sont pas signées : un résolveur croit à tout ce qui lui parvient en premier. DNSSEC ajoutedes signatures aux réponses et une chaîne de confiance qui mène de la racine, via le domaine de premier niveau, jusqu'à votre zone. Votre zone publie ses clés publiques ; le parent publie une empreinte digitale de celui-ci (l'enregistrement DS). Un résolveur de validation parcourt cette chaîne et refuse une réponse qui ne correspond pas.

Cinq raisons de vérifier votre propre DNSSEC

Voir si DNSSEC est activé

Il est désactivé par défaut chez la plupart des fournisseurs et doit êtreactivé à deux endroits : le fournisseur DNS, qui signe la zone, et le registraire, qui publie l'enregistrement DS chez le parent. En faire un seul laisse le domaine signé sur papier et non protégé en pratique. Un contrôle extérieur est le seul moyen de voir le résultat des deux.

Une chaîne brisée met le domaine hors ligne

C'est ce qui différencie DNSSEC de tous les autres enregistrements de cette liste. Si les signatures ne correspondent pas à l'enregistrement DS - après une migration de fournisseur, un changement de clé ou un changement de bureau d'enregistrement - les résolveurs de validation répondent avec une erreur, et non avec une mauvaise adresse. Le domaine cesse de se résoudre pour tous ceux qui se trouvent derrière un tel résolveur, qui inclut une grande partie d'Internet, et rien sur le serveur ne va pas.

Activé n'est pas la même chosecomme validant

Les clés peuvent être publiées et les signatures peuvent exister et la chaîne peut toujours être rompue quelque part. Ce qui compte, c'est si un résolveur de validation accepte le résultat, et c'est ce que cette page demande.

Zone walking, ou comment le NSEC répertorie vos noms

Pour prouver qu'un nom n'existe pas, DNSSEC doit signer les espaces entre les noms qui existent. Avec un simple NSEC, cette preuve nomme le prochain enregistrement dans la zone, afin que tout le monde puisse en poser quelques-unes.questions et lisez toute la liste des noms. NSEC3 les hache pour rendre cela plus difficile. Une zone qui répertorie ses noms pour quiconque le demande donne gratuitement sa structure interne.

Preuve que le domaine est protégé

Les assureurs et les entreprises clientes posent des questions sur DNSSEC par leur nom. Un rapport daté montrant que la chaîne a été validée et quand elle a changé est une meilleure réponse qu'une capture d'écran d'un panneau DNS, et c'est une preuve que vous pouvezconserver.

Sachez le jour où votre DNSSEC change

DNSSEC est le seul ensemble d'enregistrements où un changement de routine peut tout casser : une migration de fournisseur, un transfert de bureau d'enregistrement, un roulement de clé que personne n'a prévu.

Les analyses programmées transforment cela en une différence dont on vous parle : cette zone a été signée la semaine dernière et ne l'est pas maintenant, cette chaîne a cessé de se valider, cette note a chuté. Les alertes arrivent dans l'application, par e-mail ou via Slack, Teams, Jira ou unwebhook.

Étape 01 · Nommez le domaine

Un domaine que vous contrôlez, ajouté à votre compte AYAsec. La propriété est vérifiée avant l'envoi de quoi que ce soit : AYAsec ne planifiera pas d'analyses sur l'infrastructure dont vous n'avez pas démontré le contrôle et pour prouver qu'il faut un enregistrement DNS. La vérification rapide ci-dessus ignore ceci : pas de compte, pas de vérification, juste une limitation du débit IP et une règle selon laquelle la cible doit être unsonorisation publique.

Étape 02 · Laisser le contrôle s'exécuter

Les données DNSSEC sont publiques, elles sont donc lues plutôt que sondées. Il demande à un résolveur de validation les clés et la réponse et examine ce qu'il dit.

Étape 03 · Lire le résultat

Les résultats arrivent classés par gravité et notés de A+ à F. Une zone qui ne valide pas et une zone simplement non signée ne figurent pas dans la même liste indifférenciée.

De quoi cela fait partie

DNSSEC est l'un des nombreuxles éléments qu'AYAsec vérifie dans le cadre de son analyse DNS, aux côtés de SPF, DKIM, DMARC, MTA-STS et TLS-RPT, ainsi que la configuration du serveur de noms et l'état de santé des enregistrements. Il s'agit d'une analyse, et cette page ne représente qu'une partie de ce qu'elle examine.

DNS porte 20 % de la note composite. Les autres sont HTTP à 30 %, TLS etports à 20 % chacun et crédibilité du domaine à 10 %. Tous ces éléments constituent ce que gestion de la surface d'attaque signifie dans la pratique.

Questions avant de vérifier

Que puis-je vérifier ?

Infrastructure que vous possédez ou que vous êtes chargé de tester. La vérification rapide ci-dessus ne vérifie pas cela pour vous - elle limite uniquement le débit par IP et refuse de cibler autre chose qu'une adresse publique. Ajoutez plutôt le domaine à un compte AYAsec et le contrôle est vérifié avant toute exécution planifiée : une limite légale autant que pratique, puisqu'une analyse non vérifiée ne vous est d'aucune utilité comme preuve non plus.

Les données DNSSEC sont publiques. Pourquoi est-ce nécessairevérification ?

Les données sont publiques et la vérification est en lecture seule, la vérification elle-même est donc inoffensive. La vérification concerne ce qui se passe ensuite : un domaine de votre compte AYAsec est surveillé, noté et conservé dans votre historique, et rien de tout cela ne devrait être possible pour un domaine qui n'est pas le vôtre.

Est-ce que DNSSEC chiffre quelque chose ?

Non. Cela prouve qu’une réponse est authentique ; cela ne le cache pas. Chiffrer le trafic entre un client et un résolveur est unechose différente.

DNSSEC vaut-il le risque de casser le domaine ?

Pour la plupart des domaines, oui, à condition qu'il soit activé puis surveillé. Le risque est réel mais limité : il réside dans les moments où les clés ou les fournisseurs changent. Un contrôle programmé est ce qui transforme « nous espérons que la chaîne va bien » en un avis le jour où ce n'est pas le cas.

Mon fournisseur signe la zone pour moi. Est-ce que j'ai fini ?

Pas jusqu'à ce que le registraire publie l'enregistrement DS correspondant. Une zone signée sansDS chez le parent n'est validé par personne.

Conservez-vous les résultats ?

Pas la vérification rapide ci-dessus - elle reste en mémoire pendant environ quinze minutes afin que vous puissiez la lire une fois, puis elle disparaît. Il s'agit d'un choix délibéré en matière de confidentialité, et non d'une limitation : personne d'autre que vous ne voit cette analyse et vous pouvez télécharger le résultat complet avant son expiration. Ajoutez plutôt le domaine à un compte AYAsec et chaque analyse est conservée - une série qui vous indique quelle modification l'a interrompu. La rétention dépend de votre plan.

Conservez l'historique, pas seulement lerésultat

Exécutez la vérification DNS complète sur vos propres domaines, selon un calendrier, avec chaque modification signalée à quiconque a besoin de la voir.

Commencer à numériser gratuitement Comparer les forfaits

Les autres dames

View all free security scanners

Vérificateur de sécurité DNS

SPF, DKIM, DMARC, MTA-STS et les enregistrements eux-mêmes

DMARC checker : qu'arrive-t-il aux e-mails dont la vérification échoue ?

MTA-STSchecker

la connexion qui transporte votre courrier est-elle protégée ?

Données structurées à intégrer

{
  "@context": "https://schema.org",
  "@type": "SoftwareApplication",
  "name": "AYAsec DNSSEC Checker",
  "applicationCategory": "SecurityApplication",
  "operatingSystem": "Web browser",
  "url": "https://ayasec.ai/dnssec-checker/",
  "offers": { "@type": "Offer", "price": "0", "priceCurrency": "EUR" }
}

N'ajoutez pas de balisage FAQPage ou HowTo - Google a retiré les deux types de résultats.