DNSSEC 检查器

DNSSEC 对您的域给出的答案进行签名，以便客户端可以知道它们不是在途中伪造的。半完成的设置比没有完成更糟糕：损坏的签名不会降低域的安全性，反而会使域消失。检查您控制的域，看看 DNSSEC 是否已打开以及是否已验证。

DNSSEC 是什么（在一段话中）

普通的 DNS 答案没有签名：解析器相信首先到达它的任何内容。 DNSSEC 添加答案的签名以及从根开始，通过顶级域，一直到您的区域的信任链。您的区域发布其公钥；家长发布他们的指纹（DS 记录）。验证解析器遍历该链并拒绝不匹配的答案。

检查您自己的 DNSSEC 的五个理由

查看 DNSSEC 是否已开启

大多数提供商默认情况下关闭它，并且必须将其关闭在两个地方开启 - DNS 提供商（对区域进行签名）和注册商（在父级上发布 DS 记录）。仅执行其中一项操作会使域名在纸上签名并在实践中不受保护。从外部进行检查是查看两者结果的唯一方法。

断链导致域名离线

这是使 DNSSEC 与此列表中的所有其他记录不同的部分。如果签名与 DS 记录不匹配 - 在提供商迁移、密钥更新或注册商更改之后 - 验证解析器会返回错误，而不是错误的地址。 该域名将停止为此类解析器后面的每个人进行解析，其中包括大部分互联网，并且服务器上没有任何问题。

启用不一样作为验证

密钥可以发布，签名可以存在，并且链条仍然可以在某个地方被破坏。重要的是验证解析器是否接受结果，这就是此页面所要求的。

区域行走，或者 NSEC 如何列出您的名字

为了证明某个名称不存在，DNSSEC 必须对存在的名称之间的间隙进行签名。通过简单的 NSEC，证明可以命名该区域中的下一条记录，因此任何人都可以询问一些问题并阅读整个名单。 NSEC3 对它们进行哈希处理，使之变得更加困难。一个为任何询问者列出其名称的区域就是免费赠送其内部结构。

域名受到保护的证据

保险公司和企业客户通过名称询问 DNSSEC。一份过时的报告显示了该链已验证以及何时发生更改，这是比 DNS 面板的屏幕截图更好的答案，而且它是证据表明您可以保留。

了解您的 DNSSEC 更改的日期

DNSSEC 是一个记录集，例行更改可能会破坏一切：提供商迁移、注册商转移、无人安排的密钥轮转。

预定的扫描将其转变为您被告知的差异：该区域是上周签署的，而不是现在，该链停止验证，该等级下降。警报通过电子邮件或 Slack、Teams、Jira 或其他方式到达应用程序内网络钩子。

步骤 01 · 命名域名

您控制的域已添加到您的 AYAsec 帐户。在分派任何内容之前都会检查所有权 - AYAsec 不会安排对您未证明控制的基础设施进行扫描，并且证明需要一条 DNS 记录。 The quick check above skips this: no account, no verification, just IP rate-limiting and a rule that the target has to be a公共地址。

步骤 02 · 让检查运行

DNSSEC 数据是公开的，因此它是读取而不是探测。它向验证解析器询问密钥和答案，并查看其内容。

步骤03·读取结果

结果按严重程度排序，评分为 A+ 到 F。未验证的区域和仅未签名的区域不位于同一个无差别列表中。

这是什么部分

DNSSEC 是其中之一AYAsec 在其 DNS 扫描过程中检查的内容，以及 SPF、DKIM、DMARC、MTA-STS 和 TLS-RPT，以及域名服务器配置和记录运行状况。 这是一次扫描，此页仅介绍其所查看内容的一部分。

DNS 承担综合等级的 20%。其他为 30% 的 HTTP、TLS 和端口每个 20%，域可信度为 10%。所有这些加在一起就是攻击面管理在实践中的含义。

检查前的问题

我可以检查什么？

您拥有或签约测试的基础设施。上面的快速检查并不能为您验证这一点 - 它仅按 IP 进行速率限制，并且拒绝以公共地址以外的任何目标为目标。相反，将域添加到 AYAsec 帐户，并在任何计划运行之前验证控制权：法律边界与实际边界一样重要，因为未经验证的扫描对您来说也没有任何证据用处。

DNSSEC 数据是公开的。为什么需要这个验证？

数据是公开的，检查是只读的，因此检查本身是无害的。验证是关于接下来发生的事情：您的 AYAsec 帐户中的域受到监控、评分并保存在您的历史记录中，对于不属于您的域来说，这一切都不应该发生。

DNSSEC 是否加密任何内容？

不，它证明答案是真实的；它并没有隐藏它。加密客户端和解析器之间的流量是不同的事情。

DNSSEC 值得冒破坏域名的风险吗？

对于大多数域来说，是的，只要打开并观看即可。风险是真实存在的，但范围很窄：它存在于密钥或提供商发生变化的时刻。定期检查会将“我们希望链条完好无损”转变为在实际状况不佳时发出的通知。

我的提供商为我签署了该区域。我完成了吗？

直到注册商发布匹配的 DS 记录。没有签名的区域家长的 DS 未经任何人验证。

你保留结果吗？

不是上面的快速检查 - 它会在内存中保存大约十五分钟，因此您可以阅读一次，然后它就消失了。这是一个经过深思熟虑的隐私选择，而不是限制：除了您之外没有人看到该扫描，并且您可以在其过期之前下载完整的结果。相反，将域添加到 AYAsec 帐户，并且每次扫描都会被保留 - 一系列的信息会告诉您哪个编辑破坏了它。保留取决于您的计划。

保留历史，而不仅仅是历史结果

按计划对您自己的域运行完整的 DNS 检查，并将每个更改标记给需要查看它的任何人。

开始免费扫描比较计划

其他跳棋

View all free security scanners

要嵌入的结构化数据

{
  "@context": "https://schema.org",
  "@type": "SoftwareApplication",
  "name": "AYAsec DNSSEC Checker",
  "applicationCategory": "SecurityApplication",
  "operatingSystem": "Web browser",
  "url": "https://ayasec.ai/dnssec-checker/",
  "offers": { "@type": "Offer", "price": "0", "priceCurrency": "EUR" }
}

请勿添加 FAQPage 或 HowTo 标记 - Google 撤回了这两种结果类型。