DNSSEC підписує DNS-записи домену, тож браузери, поштові сервери та ШІ-агенти можуть перевірити, що адреса походить від власника і не була підроблена. Увімкнення — це два кроки: підпис зони на серверах імен (в Aderlo Cloud це робимо ми) і один запис DS у реєстрі — резолвери можуть зберігати його в кеші до 24 годин, тому під час змін діє правило: спершу видаліть DS, зачекайте добу і лише тоді змінюйте сервери імен.
Що робить DNSSEC
Без DNSSEC відповідь DNS («сайт за цією IP-адресою», «пошта йде на цей сервер») не має підпису, і будь-хто на шляху може її підмінити. З DNSSEC кожна відповідь підписана, а реєстр домену зберігає хеш ключа — запис DS. Резолвер із перевіркою DNSSEC (Google 8.8.8.8, Cloudflare 1.1.1.1, Quad9 і багато провайдерів) проходить ланцюжком довіри від реєстру до вашої зони й відкидає відповідь, яка не збігається.
DNSSEC — також один із критеріїв сайту, готового для ШІ-агентів: записи DNS-AID, за якими агенти знаходять MCP-сервер домену, сканери визнають лише з прапорцем AD, тобто з дійсним підписом.
Як увімкнути DNSSEC в Aderlo Cloud
Для доменів на серверах імен ns3.aderlo.cloud і ns4.aderlo.cloud DNSSEC поки що вмикає команда Aderlo Cloud — напишіть у підтримку з панелі. У панелі, в розділі Домени → DNSSEC і ШІ, видно кожен крок і значення для копіювання.
Підписуємо зону
ключем ECDSA P-256 (алгоритм 13) і перевіряємо, що обидва сервери імен віддають однакові дійсні підписи.
Чекаємо годину
щоб кеші резолверів уже мали підписані записи, перш ніж у реєстрі з’явиться DS.
Запис DS
для домену, зареєстрованого в нас, додаємо його самі через API реєстратора; для домену в іншого реєстратора його додаєте ви — див. нижче.
Перевіряємо ланцюжок
на трьох публічних резолверах. Коли всі підтверджують підпис, панель показує «Активно».
Підписи оновлюються автоматично щотижня і після кожної зміни запису, а їхню дійсність на обох серверах імен перевіряємо щогодини.
Запис DS в іншого реєстратора
Якщо домен зареєстрований деінде, але використовує сервери імен Aderlo Cloud, після підпису зони панель покаже чотири значення. Введіть їх у налаштуваннях DNSSEC (іноді «записи DS») свого реєстратора.
| Поле | Значення |
|---|---|
| Key tag | число з панелі, напр. 38880 |
| Алгоритм | 13 (ECDSA P-256 із SHA-256) |
| Тип дайджесту (digest type) | 2 (SHA-256) |
| Дайджест (digest) | 64 шістнадцяткові символи з панелі, без пробілів |
Деякі реєстратори замість DS просять відкритий ключ (DNSKEY: прапорці 257, протокол 3, алгоритм 13 і ключ). Панель показує і цей запис.
Чого не робити, коли DNSSEC активний
Не змінюйте сервери імен, поки запис DS є в реєстрі. Нові сервери не мають ваших ключів, тож резолвери з перевіркою вважатимуть домен підробленим: сайт і пошта перестануть працювати для великої частини користувачів до доби. Порядок: видаліть DS → зачекайте 24 години → змініть сервери імен.
- Перенесення домену до іншого реєстратора чи хостингу: спершу вимкніть DNSSEC. Перенесення домену між акаунтами в Aderlo Cloud система не виконає, поки DS активний, — вона зачекає й завершить його, коли це буде безпечно.
- Змінюйте DNS-записи лише в панелі або в DirectAdmin — тоді кожна зміна одразу знову підписується на обох серверах імен.
- Вимкнення триває близько двох днів: спершу DS зникає з реєстру, а підпис залишається, доки всі кеші не забудуть старий DS.
Як перевірити, що все працює
- DNSViz — малює весь ланцюжок від кореня до домену; усе має бути позначене як «secure».
- Verisign DNSSEC Analyzer — список перевірок; усі рядки мають бути зеленими.
- У терміналі:
dig +dnssec vashdomen.com.ua @1.1.1.1— у відповіді має бути прапорецьad.
Часті запитання
- Чи сповільнює DNSSEC сайт?
- Не помітно. Підписи ECDSA невеликі, і резолвери кешують їх так само, як будь-які інші записи.
- Чи замінює DNSSEC SSL-сертифікат?
- Ні. Сертифікат шифрує з’єднання із сайтом, а DNSSEC захищає відповідь DNS, яка каже, з яким сервером з’єднуватися. Вони працюють разом.