DNSSEC (Domain Name System Security Extensions) ajoute des signatures numériques aux enregistrements DNS de votre domaine. Les résolveurs peuvent ainsi détecter et rejeter les réponses falsifiées, garantissant que les utilisateurs accèdent toujours au service authentique.
Fonctionnement
DNSSEC ne modifie pas le processus de requête DNS. Il utilise des signatures numériques et une chaîne de confiance pour vérifier l'authenticité des résultats de résolution.
Le processus comprend deux phases :
Phase de configuration (action de l'administrateur)
Activez DNSSEC auprès de votre fournisseur DNS faisant autorité, tel qu'Alibaba Cloud DNS. Le système génère des clés, signe tous les enregistrements et produit un enregistrement DS, qui constitue une empreinte cryptographique de la clé publique.
Soumettez l'enregistrement DS à votre bureau d'enregistrement de domaine. Celui-ci le synchronise ensuite avec le registre officiel du domaine de premier niveau (TLD), par exemple
.com.
Cette étape équivaut à enregistrer votre clé publique auprès d'une autorité de niveau supérieur.
Phase de validation (automatique)
Lorsqu'un utilisateur visite le domaine, un résolveur compatible DNSSEC :
Récupère l'enregistrement DS enregistré (l'empreinte officielle) depuis le TLD
.com.Récupère la clé publique actuelle (DNSKEY) auprès du fournisseur DNS du domaine.
Calcule une empreinte à partir de la clé publique et la compare à l'enregistrement DS. Si elles correspondent, le résolveur fait confiance à la réponse. Sinon, il la rejette.
Le résolveur ne renvoie que des données DNS validées, ce qui prévient l'empoisonnement du cache DNS et les attaques de type « homme du milieu ».
Procédure
Étape 1 : Obtenir l'enregistrement DS
-
Si votre service DNS est hébergé chez Alibaba Cloud : Sur la page Public Zone, localisez le domaine cible et cliquez sur DNSSEC Settings à droite. Une fois DNSSEC activé, récupérez l'enregistrement DS depuis la page de configuration.
L'option DNSSEC Settings se trouve dans le menu ⋮ (More) de la colonne Actions.
La page de configuration affiche quatre champs pour l'enregistrement DS : Key Tag, Algorithm, Digest Type et Digest. Soumettez ces informations à votre bureau d'enregistrement pour que DNSSEC prenne effet. Développez More DS Record Information pour afficher la Public Key et les Flags.
Si votre service DNS n'est pas hébergé chez Alibaba Cloud : Obtenez l'enregistrement DS auprès de votre fournisseur DNS.
Étape 2 : Ajouter l'enregistrement DS
Accédez à la page Domain List, localisez le domaine cible et cliquez sur Actions dans la colonne Manage. Sur la page DNSSEC Configurations, cliquez sur Add DS Record.
Saisissez les données DS fournies par votre prestataire DNS et cliquez sur Submit.
Chaque domaine prend en charge un maximum de huit enregistrements DS.
Étape 3 : Vérifier la configuration
Outil de vérification recommandé : DNSViz
Saisissez votre domaine et lancez l'analyse. Si les enregistrements DS apparaissent à chaque niveau sans aucune case d'erreur rouge, DNSSEC fonctionne correctement.
Gérer les enregistrements DNSSEC
Synchroniser les enregistrements DS
Si vous avez transféré un domaine vers Alibaba Cloud et que DNSSEC était déjà configuré chez l'ancien registraire, accédez à la page DNSSEC Configurations et cliquez sur Synchronize DS Record. Cette action synchronise vos enregistrements DNSSEC existants avec Alibaba Cloud sans saisie manuelle.
Désactiver DNSSEC
Sur la page DNSSEC Configurations du domaine, supprimez les enregistrements DS.
Dans la console de votre fournisseur DNS, désactivez DNSSEC.
Recommandations pour la production
Si votre abonnement DNS payant arrive à échéance et que vous ne prévoyez pas de le renouveler, supprimez d'abord les enregistrements DS chez votre registraire et désactivez DNSSEC dans la console Alibaba Cloud DNS. À défaut, la résolution de domaine échouera.
Avant d'utiliser la fonction Domain Transfer Between Accounts pour déplacer un domaine entre comptes Alibaba Cloud, supprimez les enregistrements DS chez votre registraire et désactivez DNSSEC dans la console Alibaba Cloud DNS. À défaut, la résolution de domaine échouera.
Avant d'utiliser la fonction Cross-account DNS Resolution Transfer pour déplacer l'hébergement DNS entre comptes Alibaba Cloud, supprimez les enregistrements DS chez votre registraire et désactivez DNSSEC dans la console Alibaba Cloud DNS. À défaut, la résolution de domaine échouera.
FAQ
Pourquoi dois-je désactiver DNSSEC lors du transfert d'un domaine ?
Désactivez DNSSEC avant de transférer un domaine. DNSSEC s'appuie sur l'enregistrement DS chez le registraire pour valider les réponses DNS. Si vous effectuez le transfert sans supprimer l'enregistrement DS, la chaîne de confiance est rompue et les résolveurs récursifs rejettent les réponses, provoquant une interruption de service. Réactivez DNSSEC une fois le transfert terminé.
Pourquoi l'entrée DNSSEC Settings de mon domaine est-elle absente de la console ?
Le TLD de votre domaine ne prend pas en charge DNSSEC. TLD pris en charge : .com, .net, .cc, .tv, .name, .biz, .club, .cn et .top. Si l'option DNSSEC Settings n'apparaît pas dans la console Domain Names, votre TLD n'est pas encore pris en charge.