DNSSEC je rozšíření klasického DNS, které přidává kryptografické ověřování odpovědí. Když se uživatel nebo mailserver ptá na IP adresu webu, MX záznam pro poštu nebo jiný DNS údaj, DNSSEC umožní ověřit, že odpověď opravdu pochází z autoritativní zóny a nebyla po cestě podstrčena. Pro běžného správce webu je to hlavně téma důvěryhodnosti a bezpečnosti domény, ne jen další technická zkratka v administraci.
Co DNSSEC řeší
Samotné DNS bylo navrženo hlavně pro rychlost a jednoduché doručování odpovědí. Neověřuje ale, jestli odpověď někdo cestou neupravil. DNSSEC k záznamům přidává digitální podpisy, díky kterým resolver pozná, že odpověď je pravá a úplná. To je důležité hlavně u domén, kde řešíte přihlašování, e-shop, webmail, klientské zóny nebo doručování e-mailů.
DNSSEC nešifruje obsah webu a nenahrazuje HTTPS ani SSL certifikát. Řeší jinou vrstvu: ověřuje, že doména míří tam, kam opravdu mířit má. V kombinaci s dalšími opatřeními tak snižuje prostor pro útoky založené na podvržení DNS odpovědi.
Jak funguje řetěz důvěry
Autoritativní DNS zóna je podepsaná klíčem a k záznamům se publikují podpisy. Nad tím stojí takzvaný řetěz důvěry: doména je navázaná na rodičovskou zónu přes DS záznam, díky kterému může resolver ověřit, že podpis patří správné zóně. U domény .cz tedy záleží nejen na tom, co je nastavené na vašich nameserverech, ale i na tom, zda registr správně vidí odpovídající DS záznam.
Právě DS záznam bývá praktická část, kde se správci nejčastěji dotknou DNSSEC ručně. Pokud DNS zónu podepíšete, ale DS záznam nenastavíte nebo necháte starý po změně poskytovatele DNS, validace selže. Výsledkem může být nedostupnost webu nebo pošty pro resolver, který DNSSEC skutečně kontroluje.
Kdy se DNSSEC vyplatí
- U firemních webů, klientských portálů a e-shopů, kde je důležitá důvěryhodnost domény.
- U domén, přes které běží e-mail a kde nechcete zvyšovat riziko podvržených odpovědí pro MX nebo ověřovací TXT záznamy.
- U značek, které si hlídají bezpečnost DNS stejně jako HTTPS, SPF nebo DMARC.
- U projektů, kde doménu spravuje více lidí a potřebujete mít změny v DNS pod lepší kontrolou.
Co DNSSEC nevyřeší
DNSSEC vás neochrání před slabým heslem do administrace registrátora, špatně nastaveným webem ani zranitelným redakčním systémem. Neřeší ani spam nebo phishing s podobně vypadající doménou. Je to ochrana integrity DNS dat, ne univerzální bezpečnostní štít.
Prakticky je proto nejlepší chápat DNSSEC jako doplněk k dalším vrstvám. Pokud řešíte i doručitelnost pošty, navazuje na něj práce se SPF záznamem a DMARC politikou. Při větších změnách nameserverů nebo DNS záznamů pak stále musíte počítat s tím, jak probíhá DNS propagace.
Na co si dát pozor při změně DNS poskytovatele
Největší praktické riziko bývá při migraci DNS hostingu nebo při převodu domény k jinému registrátorovi. Pokud nový poskytovatel DNSSEC podepisuje jinak nebo automaticky generuje nové klíče, musíte sladit podpisy a DS záznam. Nestačí jen přepsat nameservery a čekat, že vše doběhne samo. U DNSSEC se chyba často projeví až tím, že část uživatelů nebo cizích mailserverů přestane doménu správně překládat.
- Ověřte, zda nový DNS poskytovatel DNSSEC podporuje a jak pracuje s klíči.
- Zjistěte, kdo spravuje DS záznam: registrátor nebo přímo DNS platforma.
- Před přepnutím nameserverů si připravte správný nový DS záznam nebo plán jeho odstranění a znovunasazení.
- Po změně zkontrolujte nejen web, ale i MX, TXT a další kritické záznamy.
Jak poznat, že je problém právě v DNSSEC
Typický scénář je zrádný: v administraci vidíte správné A nebo MX záznamy, ale část uživatelů se na web nedostane nebo některé systémy hlásí chybu validace DNS. Pokud je doména podepsaná a řetěz důvěry nesedí, resolver může odpověď zahodit úplně. Na první pohled to pak vypadá jako výpadek hostingu nebo „divná propagace“, i když příčina leží v podpisu nebo DS záznamu.
Proto dává smysl DNSSEC kontrolovat hlavně po změnách, ne jen jednou při prvním zapnutí. U produkčních domén je dobré mít krátký checklist stejně jako u migrace webu nebo pošty.
Má smysl DNSSEC i pro menší web
Ano, pokud na doméně stojí firemní prezentace, formuláře, e-mail nebo jakýkoli důležitý kontakt se zákazníkem. Náklady na zapnutí bývají malé nebo nulové, pokud ho váš registrátor či DNS hosting podporuje korektně. U malého osobního webu není DNSSEC nutnost za každou cenu, ale u aktivně používané firemní domény je to rozumná vrstva navíc.
Praktické shrnutí
DNSSEC chrání pravost DNS odpovědí a pomáhá omezit riziko podvržených záznamů. Největší přínos má tam, kde je doména důležitá pro web, e-mail nebo reputaci značky. Samotné zapnutí ale nestačí: klíčové je správně navázat DS záznam a pohlídat změny při migraci DNS. Pokud chcete mít správu domény bezpečnější a čistší, DNSSEC dává smysl jako praktický standard, ne jako zbytečný bonus.