Activer DNSSEC

Sans DNSSEC, un attaquant placé sur le chemin peut répondre à la place de ton serveur DNS et envoyer tes visiteurs ailleurs. Avec DNSSEC, chaque réponse est signée : les résolveurs qui vérifient (la plupart aujourd'hui) rejettent une réponse falsifiée.

A_COMPLETER : confirmer que la signature DNSSEC est proposée pour les zones hébergées.

Activer, en deux étapes

1. Signature de la zone ici : demande l'activation à l'administrateur. Il te transmet en retour un enregistrement DS (ou la clé DNSKEY), qui ressemble à :

   ton-domaine.fr. DS 12345 13 2 3F1A…C9
   

   Les champs sont : identifiant de clé, algorithme (13 = ECDSA P-256), type d'empreinte (2 = SHA-256), empreinte.
2. Publication chez le registraire : ajoute ce DS dans la section DNSSEC du domaine.
   • Infomaniak : Domaine → DNSSEC → Ajouter une clé.
   • OVHcloud : Nom de domaine → DNSSEC → Modifier, puis renseigner l'enregistrement DS.
   • Gandi : Domaine → DNSSEC → Ajouter une clé externe.

L'ordre compte : zone signée d'abord, DS publié ensuite. Dans l'autre sens, ton domaine devient injoignable.

Vérifier

dig +dnssec ton-domaine.fr SOA

Le drapeau ad dans la réponse d'un résolveur validant signifie « authentifié ». En ligne : https://dnsviz.net ou https://zonemaster.net.

Changer d'hébergeur DNS avec DNSSEC

Supprime le DS chez le registraire avant de changer les serveurs de noms, attends 48 heures, puis bascule. Sinon les anciennes clés ne correspondent plus et le domaine ne répond plus. Voir Changer les serveurs DNS d'un domaine.