DNSSEC podepisuje DNS záznamy domény, takže prohlížeče, poštovní servery i AI agenti si mohou ověřit, že adresa pochází od vlastníka a nebyla podvržena. Zapnutí má dva kroky: podepsání zóny na jmenných serverech (v Aderlo Cloud to zařídíme my) a jeden záznam DS v registru — resolvery ho mohou mít v mezipaměti až 24 hodin, proto při změnách platí: nejdřív odstraňte DS, počkejte den a teprve pak měňte jmenné servery.
Co DNSSEC dělá
Bez DNSSEC nemá odpověď DNS („web je na této IP adrese“, „pošta jde na tento server“) žádný podpis a kdokoli na cestě ji může podvrhnout. S DNSSEC je každá odpověď podepsaná a registr domény uchovává otisk klíče — záznam DS. Resolver ověřující DNSSEC (Google 8.8.8.8, Cloudflare 1.1.1.1, Quad9 a mnoho poskytovatelů internetu) projde řetězec důvěry od registru k vaší zóně a odpověď, která nesedí, odmítne.
DNSSEC je také jedním z kritérií webu připraveného pro AI agenty: záznamy DNS-AID, podle kterých agenti najdou MCP server domény, skenery uznají jen s příznakem AD, tedy s platným podpisem.
Jak zapnout DNSSEC v Aderlo Cloud
Pro domény na jmenných serverech ns3.aderlo.cloud a ns4.aderlo.cloud zatím DNSSEC zapíná tým Aderlo Cloud — napište podpoře z panelu. V panelu v části Domény → DNSSEC a AI vidíte každý krok a hodnoty ke zkopírování.
Podepíšeme zónu
klíčem ECDSA P-256 (algoritmus 13) a ověříme, že oba jmenné servery vracejí stejné platné podpisy.
Počkáme hodinu
aby mezipaměti resolverů měly podepsané záznamy dřív, než se v registru objeví DS.
Záznam DS
u domény registrované u nás ho zadáme sami přes API registrátora; u domény u jiného registrátora ho zadáte vy — viz níže.
Ověříme řetězec
na třech veřejných resolverech. Když všechny potvrdí podpis, panel ukáže „Aktivní“.
Podpisy obnovujeme automaticky každý týden a po každé změně záznamu a jejich platnost na obou jmenných serverech kontrolujeme každou hodinu.
Záznam DS u jiného registrátora
Pokud je doména registrovaná jinde, ale používá jmenné servery Aderlo Cloud, panel po podepsání zóny ukáže čtyři hodnoty. Zadejte je v nastavení DNSSEC (někdy „záznamy DS“) u svého registrátora.
| Pole | Hodnota |
|---|---|
| Key tag | číslo z panelu, např. 38880 |
| Algoritmus | 13 (ECDSA P-256 se SHA-256) |
| Typ otisku (digest type) | 2 (SHA-256) |
| Otisk (digest) | 64 šestnáctkových znaků z panelu, bez mezer |
Někteří registrátoři místo DS chtějí veřejný klíč (DNSKEY: příznaky 257, protokol 3, algoritmus 13 a klíč). Panel ukazuje i ten.
Co nedělat, když je DNSSEC aktivní
Neměňte jmenné servery, dokud je záznam DS v registru. Nové servery nemají vaše klíče, takže ověřující resolvery považují doménu za podvrženou: web i pošta přestanou fungovat pro velkou část uživatelů až na den. Pořadí: odstraňte DS → počkejte 24 hodin → změňte jmenné servery.
- Převod domény k jinému registrátorovi nebo hostingu: nejdřív vypněte DNSSEC. Přesun domény mezi účty v Aderlo Cloud systém neprovede, dokud je DS aktivní — počká a dokončí ho, až bude bezpečný.
- DNS záznamy měňte jen v panelu nebo v DirectAdminu — každá změna se pak hned znovu podepíše na obou jmenných serverech.
- Vypnutí trvá asi dva dny: nejdřív DS zmizí z registru a podpis zůstane, dokud všechny mezipaměti starý DS nezapomenou.
Jak ověřit, že to funguje
- DNSViz — vykreslí celý řetězec od kořene k doméně; vše má být označeno jako „secure“.
- Verisign DNSSEC Analyzer — seznam kontrol; všechny řádky mají být zelené.
- V terminálu:
dig +dnssec vasedomena.cz @1.1.1.1— odpověď má obsahovat příznakad.
Časté otázky
- Zpomaluje DNSSEC web?
- Znatelně ne. Podpisy ECDSA jsou malé a resolvery je ukládají do mezipaměti jako jakékoli jiné záznamy.
- Nahrazuje DNSSEC SSL certifikát?
- Ne. Certifikát šifruje spojení s webem, DNSSEC chrání odpověď DNS, která říká, ke kterému serveru se připojit. Fungují spolu.