Dans cet article, vous découvrirez :
- Qu’est-ce que DNSSEC
- Comment configurer DNSSEC sur un domaine
- Comment configurer DNSSEC en masse
- Problèmes courants
- Foire aux questions
DNSSEC
DNSSEC est une méthode de sécurisation d’un domaine contre les tentatives d’usurpation DNS. Grâce à des clés de sécurité, il garantit que les informations obtenues depuis le DNS sont complètes, fournies par la bonne source, et qu’aucun tiers ne les a manipulées de manière non autorisée pendant leur transfert.
Vous pouvez configurer DNSSEC pour tous les domaines qui prennent en charge cette méthode :
- tous les domaines CZ et EU que nous enregistrons ;
- tous les domaines SK et gTLD (y compris nTLD) que nous enregistrons, mais qui n’utilisent pas nos serveurs DNS.
Les domaines PL ne prennent actuellement pas en charge DNSSEC.
Configuration de DNSSEC sur un domaine
La configuration de la sécurité DNSSEC prend généralement jusqu’à 6 heures.
Vous pouvez configurer DNSSEC dans les conditions suivantes :
- Les domaines CZ et EU doivent être enregistrés chez nous et peuvent, mais ne sont pas obligés, d’utiliser nos serveurs DNS.
- Les domaines SK et les domaines génériques (COM, NET, WEBSITE, …) doivent être enregistrés chez nous, mais ne doivent pas utiliser nos serveurs DNS.
Pour accéder à la configuration DNSSEC, procédez comme suit :
- Connectez-vous à l‘ administration client ⧉.
- Dans le menu supérieur, sélectionnez Domains.
- Dans la liste, sélectionnez le domaine pour lequel vous souhaitez configurer DNSSEC.
- Dans le menu de gauche, sélectionnez DNSSEC settings.
Poursuivez ensuite selon les instructions correspondant à l’extension de votre domaine :
Activation de DNSSEC pour les domaines CZ et EU
Pour les domaines en CZ et EU, nous configurons DNSSEC automatiquement par défaut. Pour désactiver la configuration automatique, décochez, dans la section Customer options l’option Allow future automatic DNSSEC setup/cancellation by WEDOS.
Pour les domaines CZ et EU, nous proposons une solution DNSSEC complète. Dans ce cas, le domaine comme les serveurs DNS (NSSET) doivent être gérés par WEDOS.
Dans l’interface de configuration DNSSEC, cochez l’option use WEDOS DNSSEC et cliquez sur le bouton Set DNSSEC.
Pour ces domaines, vous pouvez également, dans l’encadré du même nom, activer la configuration/annulation automatique future de DNSSEC par WEDOS au cas où le système détecterait des problèmes avec DNSSEC.
Si vous n’utilisez pas les serveurs DNS (NSSET) de WEDOS, vous pouvez utiliser un KEYSET personnalisé existant, ou créer et utiliser votre propre KEYSET. La signature des enregistrements DNS sur les serveurs DNS est assurée par le fournisseur de services DNS ou par l’administrateur du domaine (le client).
Activation de DNSSEC pour les domaines SK et les domaines génériques
Pour les domaines SK, gTLD et nTLD, nous proposons d’activer DNSSEC, mais vous devez avoir configuré les serveurs DNS chez un autre fournisseur. Obtenez également auprès de ce fournisseur (s’il prend en charge DNSSEC) les clés de type Digest ou Public key. La signature des enregistrements DNS sur les serveurs DNS est assurée par le fournisseur de services DNS ou par l’administrateur du domaine (le client).
Dans l’interface de configuration DNSSEC, procédez comme suit :
- Cochez l’option use custom DNSSEC keys.
- Dans le tableau Vlastní DNSSEC klíče vyberte typ klíče a zadejte odpovídající hodnoty.
- Enregistrez les paramètres en cliquant sur le bouton Set DNSSEC.
Désactivation de DNSSEC
Dans l’interface de configuration DNSSEC, cochez l’option do not use DNSSEC et cliquez sur le bouton Set DNSSEC.
Configuration de DNSSEC en masse
Actuellement, la configuration de DNSSEC en masse n’est prise en charge que pour les domaines CZ et EU enregistrés chez nous. Nous vous recommandons d’utiliser nos serveurs DNS.
Pour configurer DNSSEC en masse, procédez comme suit :
- Connectez-vous à l‘ administration client ⧉.
- Dans le menu supérieur, sélectionnez Domains.
- V přehledu zaškrtněte CZ a EU domény, u kterých chcete DNSSEC hromadně nastavit.
- En bas du tableau, sélectionnez DNSSEC settings.
- Cliquez sur le bouton Execute.
Dans l’assistant qui s’affiche, saisissez les paramètres souhaités et confirmez-les avec le bouton Finish.
Problèmes courants
Parmi les problèmes courants liés à DNSSEC figurent :
SK ou gTLD avec les DNS WEDOS
Problème : Un message d’erreur s’affiche ERREUR : DNSSEC n’est autorisé pour ce domaine que si des serveurs DNS externes sont utilisés. Aucun de nos serveurs DNS ne doit être utilisé pour le domaine.
Cause : Vous ne pouvez configurer DNSSEC sur les domaines SK et génériques (COM, NET, ONLINE, …) que si vous n’utilisez pas nos serveurs DNS.
Solution : Remplacez les serveurs DNS par ceux d’un autre fournisseur qui prend en charge DNSSEC.
Foire aux questions
Puis-je utiliser mon propre KEYSET pour les domaines CZ et EU ?
Oui, mais vous ne devez pas utiliser nos serveurs DNS.
Pourquoi dois-je utiliser des serveurs DNS externes pour les domaines génériques ?
Pour les domaines gTLD, il n’est pas possible, pour des raisons techniques, d’automatiser suffisamment de notre côté le processus de configuration de DNSSEC. Les registres des domaines CZ et EU prennent en charge les objets de type KEYSET, grâce auxquels nous pouvons effectuer la rotation des clés DNSSEC dans la zone parente en masse, pour tous les domaines concernés, au moyen d’une seule commande. Pour les autres registres, nous devrions renouveler les clés individuellement pour chaque domaine, ce qui pourrait même échouer dans certains cas en raison d’éventuelles restrictions appliquées aux domaines par le registre. Une rotation de clé non effectuée pourrait alors rendre le domaine inaccessible à cause d’une chaîne de clés DNSSEC rompue.
Comment désactiver DNSSEC ?
Dans l’interface de configuration DNSSEC, cochez l’option do not use DNSSEC et confirmez. Comme pour tous les paramètres DNSSEC, la modification prend effet au bout de quelques heures.
Comment se déroule la désactivation de DNSSEC ?
Le système envoie immédiatement au registre la commande de suppression des clés DNSSEC de la zone parente. Si le domaine utilise nos serveurs DNS, vous devez, après l’envoi de la commande, attendre l’expiration du TTL des clés DNSSEC dans la zone parente. À l’expiration du TTL, le système supprime la signature de la zone sur nos serveurs DNS, finalisant ainsi la demande de désactivation de DNSSEC pour le domaine. Pendant le traitement de la demande de désactivation de DNSSEC, vous ne pouvez modifier d’aucune manière les paramètres DNSSEC du domaine.