DNSSEC: co to jest, po co go włączać i jak wpisać rekord DS u rejestratora

Bez DNSSEC odpowiedź DNS („strona jest pod tym adresem IP”, „poczta trafia na ten serwer”) nie ma żadnego podpisu, więc ktoś po drodze może ją podmienić. Z DNSSEC każda odpowiedź ma podpis kryptograficzny, a rejestr domeny (np. NASK dla .pl) przechowuje skrót klucza — rekord DS. Resolwer sprawdzający DNSSEC (Google 8.8.8.8, Cloudflare 1.1.1.1, Quad9 i wielu dostawców internetu) idzie po łańcuchu zaufania od rejestru do Twojej strefy i odrzuca odpowiedź, która się nie zgadza.

DNSSEC jest też jednym z kryteriów strony gotowej na agentów AI: rekordy DNS-AID, po których agenci znajdują serwer MCP domeny, skanery uznają tylko z flagą AD, czyli z ważnym podpisem.

W Aderlo Cloud DNSSEC dla domen na serwerach nazw ns3.aderlo.cloud i ns4.aderlo.cloud włącza na razie zespół — napisz do pomocy technicznej z panelu. W panelu, w Domeny → DNSSEC i AI, widzisz stan każdego kroku i wartości do skopiowania.

1. 1

   Podpisujemy strefę

   kluczem ECDSA P-256 (algorytm 13) i sprawdzamy, że oba serwery nazw podają te same, ważne podpisy.

2. 2

   Czekamy godzinę

   żeby pamięci podręczne resolwerów miały już podpisane rekordy, zanim w rejestrze pojawi się DS.

3. 3

   Rekord DS

   dla domeny zarejestrowanej u nas wpisujemy go sami przez API rejestratora (w .pl pojawia się zwykle po kilku minutach); dla domeny z innego rejestratora wpisujesz go Ty — niżej.

4. 4

   Sprawdzamy łańcuch

   na trzech publicznych resolwerach. Gdy wszystkie potwierdzają podpis, panel pokazuje „Aktywny”.

Podpisy odświeżamy automatycznie co tydzień i po każdej zmianie rekordu, a ich ważność na obu serwerach nazw sprawdzamy co godzinę.

Jeśli domena jest zarejestrowana gdzie indziej, a korzysta z serwerów nazw Aderlo Cloud, po podpisaniu strefy panel pokaże cztery wartości. Wpisz je w ustawieniach DNSSEC (czasem „rekordy DS”) u swojego rejestratora.

Część rejestratorów prosi zamiast DS o klucz publiczny (DNSKEY: flagi 257, protokół 3, algorytm 13 i klucz). Panel pokazuje też ten rekord.

Nie zmieniaj serwerów nazw, gdy rekord DS jest w rejestrze. Nowe serwery nie mają Twoich kluczy, więc resolwery sprawdzające DNSSEC uznają domenę za podrobioną: strona i poczta przestają działać dla dużej części internautów na nawet dobę. Kolejność: usuń DS → odczekaj 24 godziny → zmień serwery nazw.

• •Przeniesienie domeny do innego rejestratora albo hostingu: najpierw wyłącz DNSSEC. Przenosin domeny między kontami w Aderlo Cloud system sam nie wykona, dopóki DS jest aktywny — zaczeka i dokończy je, gdy będzie bezpiecznie.
• •Rekordy DNS zmieniaj tylko w panelu albo w DirectAdminie — każda zmiana jest wtedy od razu podpisywana na nowo na obu serwerach nazw.
• •Wyłączenie trwa około dwóch dni: najpierw DS znika z rejestru, a podpis zostaje, aż wszystkie pamięci podręczne zapomną stary DS.

• •DNSViz — rysuje cały łańcuch od strefy głównej do domeny; wszystko powinno być oznaczone jako „secure”.
• •Verisign DNSSEC Analyzer — lista kontroli; wszystkie wiersze powinny być zielone.
• •W terminalu: dig +dnssec twojadomena.pl @1.1.1.1 — w odpowiedzi ma być flaga ad.