Vad är DNSSEC?
DNSSEC är en digital signatur på DNS-uppgifterna för din domän. DNS talar om för datorer var din webbplats och din e-post finns. Utan DNSSEC skulle någon i teorin kunna ge ett falskt svar och på så sätt skicka besökare eller e-post till en annan server utan att det märks. Med DNSSEC kontrollerar besökarens dator att svaret verkligen kommer från dina nameservrar.
Hur fungerar det, i vanligt språk?
- Dina nameservrar sätter en signatur under varje svar. Det görs med en hemlig nyckel. Den tillhörande publika nyckeln finns i din DNS (DNSKEY-posten).
- Hos registret för din toppdomän, till exempel SIDN för .nl, finns ett fingeravtryck av den nyckeln: DS-posten. På så sätt vet alla vilken nyckel som hör till din domän.
- Registret är i sin tur också signerat, ända upp till internets toppnivå. Så bildas en förtroendekedja.
- Många internetleverantörer och publika DNS-tjänster (som Googles och Cloudflares) kontrollerar den kedjan vid varje svar. Stämmer signaturen fortsätter allt som vanligt. Besökaren märker ingenting.
Vad kan gå fel?
Om fingeravtrycket hos registret inte längre stämmer med nyckeln hos dina nameservrar avvisar kontrollerande leverantörer varje svar. Din webbplats och e-post blir då otillgängliga för en stor del av internet, medan det fortfarande fungerar för andra. Det gör problemet svårt att upptäcka.
Det händer nästan alltid efter en flytt eller ett byte av nameservrar: det gamla fingeravtrycket finns kvar hos registret, men de nya nameservrarna använder en annan nyckel. Läs därför innan du flyttar DNSSEC och flytt: stäng av först, eller ta med nyckeln.
DNSSEC hos WebOké
- Använder du WebOkés nameservrar signerar vi din DNS automatiskt. Du aktiverar DNSSEC med ett klick, se Aktivera DNSSEC.
- Om nycklarna stämmer ser du i Mitt WebOké på domänsidan. Ser du en röd prick vid DNSSEC under Domän / E-posthälsa, åtgärdar du det med knappen Uppdatera nyckel hos registret.
- DNSSEC behövs också för DANE, som gör din e-post extra säker, och för ett resultat på 100% på internet.nl.
Utförlig förklaring med skärmbilder: DNSSEC och DANE i WebOkés manual.
Kanske kul att läsa: Domännamnets historia