Проверка и валидация DNSSEC
Проверьте, подписан ли домен DNSSEC и проходит ли валидацию от корня: запись DS в родительской зоне, ключи DNSKEY зоны, срок действия подписей и вердикт резолвера.
Как это работает
Как проходит валидация DNSSEC
Цепочка доверия
Корень подписывает TLD, TLD публикует запись DS для вашего домена, а DNSKEY вашей зоны должен ей соответствовать. Каждое звено должно быть корректным.
Подписи истекают
У подписей RRSIG есть срок действия. Если подписывающая сторона перестанет их обновлять, после истечения зона перестанет проходить проверку.
Ошибка хуже отсутствия подписи
Неподписанный домен всё равно разрешается. Сломанная цепочка заставляет валидирующие резолверы возвращать SERVFAIL, и домен пропадает для большинства пользователей.
FAQ
Частые вопросы
После смены DNS-провайдера домен не проходит проверку. Почему?
Старая запись DS осталась у регистратора, а новый провайдер подписывает зону другими ключами. Удалите старую DS (или замените её новой) у регистратора.
Как включить DNSSEC?
Включите подписание у DNS-провайдера, затем скопируйте выданную им запись DS к регистратору.
Какой алгоритм выбрать?
ECDSA P-256 (алгоритм 13) — распространённый современный выбор: компактные подписи и повсеместная поддержка.
Другие бесплатные инструменты
Все инструментыАвторитетный DNS с GeoDNS