Co je DNSSEC?
DNSSEC je digitální podpis na DNS záznamech Vaší domény. DNS sděluje počítačům, kde se nachází Váš web a Váš e-mail. Bez DNSSEC by v teorii mohl někdo poskytnout falešnou odpověď, a tak tajně přesměrovat návštěvníky nebo poštu na jiný server. S DNSSEC počítač návštěvníka ověří, zda odpověď skutečně pochází z Vašich nameserverů.
Jak to funguje, jednoduše řečeno?
- Vaše nameservery podepíší každou odpověď. K tomu používají tajný klíč. Příslušný veřejný klíč je uložen ve Vaší DNS (záznam DNSKEY).
- U registru Vaší koncovky, jako je SIDN pro .nl, je uložen otisk tohoto klíče: záznam DS. Díky tomu každý ví, který klíč patří k Vaší doméně.
- Samotný registr je rovněž podepsán, až po samotný vrchol internetu. Tak vzniká řetězec důvěry.
- Mnoho poskytovatelů internetu a veřejných DNS služeb (jako jsou ty od Google a Cloudflare) tento řetězec ověřují u každé odpovědi. Pokud podpis souhlasí, vše proběhne bez problémů. Návštěvník si ničeho nevšimne.
Co se může pokazit?
Pokud otisk u registru již neodpovídá klíči Vašich nameserverů, poskytovatelé provádějící ověření odmítnou každou odpověď. Váš web a e-mail pak nejsou dostupné pro velkou část internetu, zatímco pro ostatní stále fungují. To situaci značně komplikuje.
K tomu dochází téměř vždy po přesunu nebo změně nameserverů: starý otisk zůstává uložen u registru, ale nové nameservery používají jiný klíč. Proto si před přesunem přečtěte DNSSEC a přesun: nejprve vypnout, nebo klíč přenést.
DNSSEC u WebOké
- Pokud používáte nameservery WebOké, Vaši DNS podepisujeme automaticky. DNSSEC zapnete jedním kliknutím, viz Aktivace DNSSEC.
- Zda klíče souhlasí, zjistíte v Můj WebOké na stránce domény. Pokud u Zdraví domény / e-mailu vidíte u DNSSEC červenou tečku, opravíte to pomocí tlačítka Aktualizovat klíč u registru.
- DNSSEC je rovněž nutný pro DANE, díky kterému je Vaše pošta ještě bezpečnější, a pro skóre 100 % na internet.nl.
Podrobné vysvětlení se snímky obrazovky: DNSSEC a DANE v návodu WebOké.
Možná Vás bude zajímat: Historie doménového jména