DNSSEC チェッカー
DNSSEC はドメインが提供する回答に署名するため、クライアントは途中で回答が偽造されていないことがわかります。中途半端なセットアップは、何もしないよりも悪いです。署名が壊れても、ドメインの安全性が低下するのではなく、消滅してしまいます。 管理しているドメインをチェックして、DNSSEC がオンになっているかどうか、およびそれが検証されているかどうかを確認してください。
Watched, not just checked
This is one scan of one layer, run once. In AYAsec the same check runs on a schedule across every asset you own, and you are told the day a grade drops.
DNSSEC とは何かを 1 つの段落で説明します
通常の DNS 応答は署名されていません。リゾルバーは最初に到達したものを信じます。 DNSSEC が追加回答への署名と、ルートからトップレベル ドメインを通ってゾーンに至るまでの信頼のチェーンです。ゾーンはその公開鍵を公開します。親はそれらのフィンガープリント (DS レコード) を公開します。検証リゾルバーはそのチェーンをたどって、一致しない答えを拒否します。
独自の DNSSEC を確認する 5 つの理由
01
DNSSEC がオンになっているかどうかを確認します
ほとんどのプロバイダーではデフォルトでオフになっており、オフにする必要があります。ゾーンに署名する DNS プロバイダーと、親で DS レコードを公開するレジストラの 2 か所でスイッチがオンになります。これらのうち 1 つだけを実行すると、ドメインは紙上で署名され、実際には保護されないままになります。両方の結果を確認するには、外部からのチェックが唯一の方法です。
02
チェーンが壊れるとドメインがオフラインになります
これが、DNSSEC がこのリストの他のレコードと異なる部分です。プロバイダーの移行、キーのロールオーバー、またはレジストラーの変更後、署名が DS レコードと一致しない場合、検証リゾルバーは間違ったアドレスではなくエラーを返します。 インターネットの大部分を占めるこのようなリゾルバーを使用しているすべてのユーザーに対してドメインの解決が停止します。サーバー上には何も問題はありません。
03
有効化は同じではありません検証中
キーは公開でき、署名は存在できますが、チェーンはどこかで切断される可能性があります。重要なのは、検証リゾルバーが結果を受け入れるかどうかであり、それがこのページで尋ねられることです。
04
ゾーンウォーキング、またはNSECがあなたの名前をリストする方法
名前が存在しないことを証明するには、DNSSEC は存在する名前間のギャップに署名する必要があります。単純な NSEC を使用すると、証明によりゾーン内の次のレコードに名前が付けられるため、誰でもいくつかの質問をすることができます。質問し、名前のリスト全体を読みます。 NSEC3 はそれらをハッシュして、それを困難にします。希望者に名前をリストするゾーンは、その内部構造を無料で公開しています。
05
ドメインが保護されていることの証拠
保険会社や企業顧客は、DNSSEC について名前を挙げて尋ねます。チェーンが検証され、いつ変更されたかを示す日付付きのレポートは、DNS パネルのスクリーンショットよりも優れた答えであり、次のことができる証拠です。保持。
DNSSEC が変更される日を知る
DNSSEC は、プロバイダーの移行、レジストラーの移転、誰もスケジュールしていなかったキーのロールオーバーなど、日常的な変更によってすべてが破壊される可能性がある 1 つのレコード セットです。
スケジュールされたスキャンは、それを通知される違いに変えます。このゾーンは先週署名され、現在は署名されていません。このチェーンは検証を停止し、このグレードは低下しました。アラートはアプリ内、電子メール、Slack、Teams、Jira などを通じて届きます。ウェブフック。
ステップ 01 · ドメインに名前を付けます
AYAsec アカウントに追加された、あなたが管理するドメイン。所有権は何かが送信される前にチェックされます。AYAsec は、制御を実証していないインフラストラクチャに対してスキャンをスケジュールしません。DNS レコードが 1 つ必要であることが証明されます。上記の簡単なチェックでは、これが省略されています。アカウントなし、検証なし、IP レート制限とターゲットが次のルールでなければならないだけです。公開演説。
ステップ 02 · チェックを実行します
DNSSEC データは公開されているため、これはプローブではなく読み取りを行います。検証リゾルバーにキーと答えを要求し、その内容を調べます。
ステップ 03 · 結果を読む
結果は重大度順に到着し、A+ ～ F のスコアが付けられます。検証されていないゾーンと署名されていないだけのゾーンは、同じ未区別のリストには含まれていません。
確認する前の質問
何を確認すればよいですか?
あなたが所有している、またはテストを契約しているインフラストラクチャ。上記の簡単なチェックでは、そのことは確認されません。IP によってレート制限が行われるだけで、パブリック アドレス以外はターゲットにされません。代わりにドメインを AYAsec アカウントに追加すると、スケジュールされたものが実行される前に制御が検証されます。これは、検証されていないスキャンは証拠としても役に立たないため、実際的な境界であると同時に法的な境界でもあります。
DNSSEC データは公開されています。なぜこれが必要なのか確認?
データは公開されており、チェックは読み取り専用であるため、チェック自体は無害です。検証とは、次に何が起こるかということです。AYAsec アカウント内のドメインは監視され、評価され、履歴に保存されますが、自分のものではないドメインではそれが不可能であるはずです。
DNSSEC は何かを暗号化しますか?
いいえ、それは答えが本物であることを証明します。それは隠しません。クライアントとリゾルバー間のトラフィックの暗号化は、違うもの。
DNSSEC にはドメインを破壊するリスクを負う価値がありますか?
ほとんどのドメインでは、スイッチがオンになって監視されている限り、はい。リスクは実際にありますが、範囲は狭いため、キーやプロバイダーが変更される瞬間に存在します。定期点検を行うことで、「チェーンに問題がないといいのですが」という言葉が、ある日の故障の通知に変わります。
私のプロバイダーは私に代わってゾーンに署名します。もう終わりですか？
レジストラが一致する DS レコードを公開するまでは公開されません。署名のないゾーン親の DS は誰にも検証されません。
結果は保存していますか?
上記の簡単なチェックではありません。メモリ内に約 15 分間存続するため、一度読み取ると、その後は消えてしまいます。これは意図的なプライバシー上の選択であり、制限ではありません。そのスキャンはあなた以外の誰も見ることができず、有効期限が切れる前に完全な結果をダウンロードできます。代わりにドメインを AYAsec アカウントに追加すると、すべてのスキャンが保存され、どの編集によってスキャンが破損したかがわかります。保持期間はプランによって異なります。
履歴だけでなく、履歴も保存します。結果
スケジュールに従って、独自のドメインに対して完全な DNS チェックを実行し、すべての変更を確認する必要がある人にフラグを付けます。
DNS セキュリティ チェッカー
SPF、DKIM、DMARC、MTA-STS およびレコード自体
DMARC チェッカー
チェックに失敗したメールはどうなりますか?
[MTA-STS]checker](/mta-sts-checker/) - メールを伝送する接続は保護されていますか?
埋め込む構造化データ
{
"@context": "https://schema.org",
"@type": "SoftwareApplication",
"name": "AYAsec DNSSEC Checker",
"applicationCategory": "SecurityApplication",
"operatingSystem": "Web browser",
"url": "https://ayasec.ai/dnssec-checker/",
"offers": { "@type": "Offer", "price": "0", "priceCurrency": "EUR" }
}FAQPage または HowTo マークアップを追加しないでください。Google は両方の結果タイプを取り消しました。