Wat is DNSSEC?
DNSSEC is een digitale handtekening op de DNS-gegevens van je domein. De DNS vertelt computers waar je website en je e-mail staan. Zonder DNSSEC kan iemand in theorie een vals antwoord geven, en zo bezoekers of mail stiekem naar een andere server sturen. Met DNSSEC controleert de computer van de bezoeker of het antwoord echt van jouw nameservers komt.
Hoe werkt het, in gewone taal?
- Je nameservers zetten een handtekening onder elk antwoord. Daarvoor hebben ze een geheime sleutel. De bijbehorende openbare sleutel staat in je DNS (het DNSKEY-record).
- Bij de registry van je extensie, zoals SIDN voor .nl, staat een vingerafdruk van die sleutel: het DS-record. Zo weet iedereen welke sleutel bij jouw domein hoort.
- De registry is zelf ook ondertekend, tot aan de top van het internet. Zo ontstaat een keten van vertrouwen.
- Veel internetproviders en publieke DNS-diensten (zoals die van Google en Cloudflare) controleren die keten bij elk antwoord. Klopt de handtekening, dan gaat alles gewoon door. De bezoeker merkt er niets van.
Wil je er meer over weten? In de les DNSSEC in gewone taal van de gratis DNS-cursus lees je hoe de keten werkt en hoe je die zelf controleert.
Wat kan er misgaan?
Als de vingerafdruk bij de registry niet meer past bij de sleutel van je nameservers, keuren controlerende providers elk antwoord af. Je website en e-mail zijn dan voor een groot deel van het internet onbereikbaar, terwijl het voor anderen nog werkt. Dat maakt het lastig om te zien.
Dat gebeurt bijna altijd na een verhuizing of een wissel van nameservers: de oude vingerafdruk blijft bij de registry staan, maar de nieuwe nameservers gebruiken een andere sleutel. Lees daarom vóór je verhuist DNSSEC en verhuizen: eerst uit, of de sleutel meenemen.
DNSSEC bij WebOké
- Gebruik je de nameservers van WebOké, dan ondertekenen wij je DNS automatisch. Je zet DNSSEC aan met één klik, zie DNSSEC activeren.
- Of de sleutels kloppen, zie je in Mijn WebOké op de domeinpagina. Zie je bij Domein / Email gezondheid een rood puntje bij DNSSEC, dan herstel je het met de knop Sleutel bij registry bijwerken.
- DNSSEC is ook nodig voor DANE, waarmee je mail extra veilig wordt, en voor een score van 100% op internet.nl.
Uitgebreide uitleg met schermafbeeldingen: DNSSEC en DANE in de WebOké-handleiding.
Misschien leuk om te lezen: De geschiedenis van de Domeinnaam