Перевірка DNSSEC

DNSSEC підписує відповіді, які надає ваш домен, щоб клієнт міг визначити, що вони не були підроблені під час. Наполовину завершене налаштування гірше, ніж відсутність: зламаний підпис не робить домен менш безпечним, він зникає. Перевірте домен, яким ви керуєте, і подивіться, чи ввімкнено DNSSEC і чи перевіряє він.

Що таке DNSSEC, одним абзацом

Звичайні відповіді DNS не підписуються: резолвер вірить тому, що досягає його першим. DNSSEC додаєпідписи до відповідей і ланцюжок довіри, що веде від кореня через домен верхнього рівня до вашої зони. Ваша зона публікує свої відкриті ключі; батько публікує їхній відбиток (запис DS). Резолвер перевірки проходить цей ланцюжок і відхиляє відповідь, яка не збігається.

П'ять причин перевірити свій власний DNSSEC

Перевірте, чи взагалі увімкнено DNSSEC

Він вимкнений за замовчуванням у більшості постачальників, і це має бутивмикається в двох місцях - DNS-провайдер, який підписує зону, і реєстратор, який публікує запис DS на батьківському пристрої. Виконання лише одного з них залишає домен підписаним на папері та незахищеним на практиці. Перевірка ззовні - єдиний спосіб побачити результат обох.

Обірваний ланцюжок виводить домен з мережі

Це та частина, яка відрізняє DNSSEC від усіх інших записів у цьому списку. Якщо підписи не збігаються із записом DS (після міграції постачальника, зміни ключа або зміни реєстратора), резолвери перевірки відповідають із помилкою, а не з неправильною адресою. Домен припиняє розпізнавання для всіх, хто стоїть за таким розпізнавачем, що включає велику частку Інтернету, і на сервері нічого не відбувається.

Увімкнено не те самеяк перевірка

Ключі можуть бути опубліковані, і підписи можуть існувати, і ланцюжок все ще може бути десь розірваний. Враховується те, чи прийме перевіряючий резольвер результат, і саме про це запитує ця сторінка.

Зона ходьби, або як NSEC перераховує ваші імена

Щоб довести, що ім’я не існує, DNSSEC має підписати прогалини між іменами, які існують. За допомогою простого NSEC це підтвердження називає наступний запис у зоні, тому кожен може запитати кільказапитання та прочитайте весь список імен. NSEC3 хешує їх, щоб зробити це складніше. Зона, яка перераховує свої назви для кожного, хто запитає, безкоштовно віддає свою внутрішню структуру.

Доказ того, що домен захищений

Страховики та корпоративні клієнти запитують про DNSSEC по імені. Датований звіт, який показує, що ланцюжок перевірено та коли він змінився, є кращою відповіддю, ніж знімок екрана панелі DNS, і це доказ, який ви можетезберегти.

Дізнайтеся, коли зміниться ваш DNSSEC

DNSSEC - це єдиний набір записів, у якому рутинна зміна може зламати все: міграцію постачальника, перенесення реєстратора, ніким не заплановану зміну ключа.

Заплановані сканування перетворюють це на різницю, про яку вам повідомляють: цю зону було підписано минулого тижня, а зараз її немає, цей ланцюжок припинено перевірку, ця оцінка впала. Сповіщення надходять у додаток, електронною поштою або через Slack, Teams, Jira чи aвебхук.

Крок 01 · Назвіть домен

Домен, яким ви керуєте, доданий до вашого облікового запису AYAsec. Право власності перевіряється перед надсиланням – AYAsec не плануватиме сканування інфраструктури, над якою ви не продемонстрували контроль, і [для підтвердження цього потрібен один запис DNS] (https://docs.ayasec.ai/guides/verify-domain/cloudflare/). Швидка перевірка вище пропускає це: немає облікового запису, немає перевірки, лише обмеження швидкості IP-адреси та правило, що ціль має бутипублічне звернення.

Крок 02 · Запустіть перевірку

Дані DNSSEC є загальнодоступними, тому це читання, а не зондування. Він запитує ключі та відповідь у перевіряючого розв’язувача та дивиться на те, що він говорить.

Крок 03 · Прочитайте результат

Висновки надходять упорядкованими за ступенем тяжкості та оцінюються від A+ до F. Зона, яка не підтверджується, і зона, яка просто не підписана, не входять до одного недиференційованого списку.

Що це є частиною

DNSSEC є одним із кількохречі, які AYAsec перевіряє в рамках сканування DNS, а також SPF, DKIM, DMARC, MTA-STS і TLS-RPT, а також конфігурацію сервера імен і стан запису. Це одне сканування, і ця сторінка є приблизно частиною того, що вона переглядає.

DNS займає 20% загальної оцінки. Інші: HTTP на 30%, TLS іпорти по 20% кожен, а довіра до домену – 10%. Усе це разом - це те, що керування поверхнею атаки означає на практиці.

Запитання перед перевіркою

Що я можу перевірити?

Інфраструктура, якою ви володієте або ви замовили тестування. Швидка перевірка вище не підтверджує це для вас - вона лише обмежує швидкість IP-адресою та відмовляється націлюватися на будь-що, окрім публічної адреси. Натомість додайте домен до облікового запису AYAsec, і контроль буде перевірено до того, як буде запущено будь-який запланований запуск: це юридичне обмеження, як і практичне, оскільки неперевірене сканування також не є для вас доказом.

Дані DNSSEC є загальнодоступними. Навіщо це потрібноперевірка?

Дані є загальнодоступними, а перевірка доступна лише для читання, тому сама перевірка нешкідлива. Перевірка стосується того, що відбувається далі: домен у вашому обліковому записі AYAsec відстежується, оцінюється та зберігається у вашій історії, і нічого з цього не повинно бути можливим для домену, який не є вашим.

Чи шифрує щось DNSSEC?

Ні. Це доводить, що відповідь справжня; це не приховує. Шифрування трафіку між клієнтом і резолвером є aінша річ.

Чи вартий DNSSEC ризик злому домену?

Для більшості доменів – так, якщо його ввімкнути, а потім переглядати. Ризик реальний, але вузький: він виникає в моменти, коли змінюються ключі або провайдери. Планова перевірка – це те, що перетворює «ми сподіваємося, що з ланцюгом все гаразд» на сповіщення про той день, коли це не так.

Мій провайдер підписує зону за мене. Я закінчив?

Доки реєстратор не опублікує відповідний запис DS. Знакова зона без aDS на батьківській стороні ніхто не перевіряє.

Ви зберігаєте результати?

Не швидка перевірка вище - він живе в пам'яті приблизно п'ятнадцять хвилин, тому ви можете прочитати його один раз, а потім він зникає. Це свідомий вибір конфіденційності, а не обмеження: ніхто, крім вас, ніколи не бачить це сканування, і ви можете завантажити повний результат до закінчення терміну його дії. Натомість додайте домен до облікового запису AYAsec, і кожне сканування збережеться – серія, яка повідомляє вам, яка зміна порушила його. Утримання залежить від вашого плану.

Зберігайте історію, а не тількирезультат

Запустіть повну перевірку DNS для ваших власних доменів за розкладом, позначаючи кожну зміну тим, хто її бажає побачити.

Почніть безкоштовне сканування Порівняти плани

Інші шашки

View all free security scanners

[Засіб перевірки безпеки DNS] (/dns-security-checker/) - SPF, DKIM, DMARC, MTA-STS і самі записи

DMARC Checker

що відбувається з поштою, яка не проходить перевірку?

МТА-СТСchecker – чи захищено з’єднання, через яке передається ваша пошта?

Структуровані дані для вбудовування

{
  "@context": "https://schema.org",
  "@type": "SoftwareApplication",
  "name": "AYAsec DNSSEC Checker",
  "applicationCategory": "SecurityApplication",
  "operatingSystem": "Web browser",
  "url": "https://ayasec.ai/dnssec-checker/",
  "offers": { "@type": "Offer", "price": "0", "priceCurrency": "EUR" }
}

Не додавайте розмітку FAQPage або HowTo – Google вилучив обидва типи результатів.