Qu'est-ce que le DNSSEC ?
DNSSEC est une signature numérique apposée sur les données DNS de votre domaine. Le DNS indique aux ordinateurs où se trouvent votre site web et votre messagerie. Sans DNSSEC, quelqu'un pourrait en théorie fournir une fausse réponse et ainsi rediriger discrètement les visiteurs ou les e-mails vers un autre serveur. Avec DNSSEC, l'ordinateur du visiteur vérifie que la réponse provient réellement de vos nameservers.
Comment cela fonctionne-t-il, en termes simples ?
- Vos nameservers apposent une signature sous chaque réponse. Pour cela, ils utilisent une clé secrète. La clé publique correspondante se trouve dans votre DNS (l'enregistrement DNSKEY).
- Auprès du registre de votre extension, comme SIDN pour .nl, figure une empreinte de cette clé : l'enregistrement DS. Ainsi, tout le monde sait quelle clé correspond à votre domaine.
- Le registre lui-même est aussi signé, jusqu'au sommet de l'internet. Cela crée une chaîne de confiance.
- De nombreux fournisseurs d'accès à internet et services DNS publics (comme ceux de Google et Cloudflare) vérifient cette chaîne à chaque réponse. Si la signature est correcte, tout se poursuit normalement. Le visiteur ne remarque rien.
Que peut-il se passer en cas de problème ?
Si l'empreinte enregistrée auprès du registre ne correspond plus à la clé de vos nameservers, les fournisseurs effectuant la vérification rejettent chaque réponse. Votre site web et votre messagerie deviennent alors inaccessibles pour une grande partie d'internet, alors que cela fonctionne encore pour d'autres. Cela rend le problème difficile à détecter.
Cela se produit presque toujours après un déménagement ou un changement de nameservers : l'ancienne empreinte reste enregistrée auprès du registre, mais les nouveaux nameservers utilisent une clé différente. Lisez donc avant de déménager DNSSEC et déménagement : d'abord désactiver, ou emporter la clé.
DNSSEC chez WebOké
- Si vous utilisez les nameservers de WebOké, nous signons automatiquement votre DNS. Vous activez DNSSEC en un clic, voir Activer DNSSEC.
- Pour vérifier si les clés sont correctes, consultez Mon WebOké sur la page du domaine. Si vous voyez un point rouge à côté de DNSSEC dans Santé du domaine / e-mail, corrigez le problème avec le bouton Mettre à jour la clé au registre.
- DNSSEC est également nécessaire pour DANE, qui renforce la sécurité de votre messagerie, et pour obtenir un score de 100 % sur internet.nl.
Explication détaillée avec captures d'écran : DNSSEC et DANE dans le manuel WebOké.
Peut-être intéressant à lire : L'histoire du nom de domaine