Qu'est-ce que DNSSEC ?
one.com prend en charge DNSSEC (Domain Name System Security Extensions). DNSSEC est activé par défaut lorsque vous utilisez les serveurs de noms de one.com. Cet article explique son fonctionnement.
Pour comprendre DNSSEC, il est utile de connaître les bases du DNS (Domain Name System). Pour revoir ces notions, consultez notre guide : Qu’est-ce que le DNS ?
- Qu’est-ce que DNSSEC ?
- Que protège DNSSEC ?
- Comment gérer DNSSEC
- Comment vérifier que DNSSEC fonctionne
- Si vous n’utilisez pas nos serveurs de noms → Enregistrements DS
Qu'est-ce que DNSSEC ?
Le DNS seul n’est pas sécurisé. DNSSEC a été créé pour renforcer sa sécurité. Cet ensemble d’extensions ajoute une couche de sécurité à la zone DNS grâce à une signature numérique. Lorsqu’un nom de domaine utilise DNSSEC, ses enregistrements DNS sont accompagnés de signatures cryptographiques (clés de sécurité).
Les résolveurs DNS vérifient ces signatures pour s’assurer que les informations DNS proviennent du bon serveur DNS. Ils peuvent ainsi vérifier que les enregistrements n’ont pas été modifiés ou falsifiés pendant leur transmission. Vous pouvez alors accéder de manière sécurisée à votre site web et à vos services en ligne.
Que protège DNSSEC ?
Le DNS est vulnérable à diverses attaques, notamment l’usurpation DNS, le détournement DNS et l’empoisonnement du cache DNS. Ces attaques peuvent avoir de graves conséquences : rediriger les utilisateurs vers des sites web malveillants ou frauduleux, voler des informations sensibles ou perturber le fonctionnement normal d’Internet.
Les noms de domaine signés avec DNSSEC garantissent l’authenticité et l’intégrité des données DNS échangées entre les zones signées. DNSSEC renforce ainsi la fiabilité et la sécurité de l’infrastructure DNS au sein d’une zone donnée.
Les données DNS ne sont pas chiffrées, et DNSSEC ne protège pas leur confidentialité. TLS/SSL chiffre les données échangées entre les clients et les serveurs pour sécuriser différents protocoles Internet, notamment ceux utilisés pour la navigation web (HTTPS) et les e-mails (SMTP, IMAP). En revanche, un certificat SSL ne protège pas contre l’usurpation DNS, contrairement à DNSSEC. Pour en savoir plus sur SSL, consultez les articles de cette section.
Conseil : si tu veux en savoir plus sur ce qu'est le DNSSEC et pourquoi il est important, consulte l'article de l'ICANN.
Comment gérer DNSSEC
DNSSEC est activé par défaut lors de l'utilisation des serveurs de noms de one.com. Si tu souhaites le désactiver, suis les étapes suivantes :
- Connectez-vous au panneau de configuration one.com.
-
Dans le menu **Domaine** , cliquez sur
**Paramètres DNS**.
- Clique sur l'onglet Serveurs de noms.
- Dans l'administration de ton serveur de noms, clique sur l'onglet DNSSEC.
-
Clique sur le bouton Désactiver .
Comment vérifier que DNSSEC fonctionne
Tu peux utiliser un outil de validation en ligne pour vérifier si la configuration DNSSEC fonctionne pour ton domaine. Nous en avons répertorié deux ci-dessous. Ils vérifient si les enregistrements DNS de ton domaine ont été signés correctement et peuvent être vérifiés par les résolveurs DNS ; ils fournissent également un rapport sur les éventuels problèmes ou erreurs.
-
DNSViz.net fournit une représentation visuelle. Vous ne devriez voir que **Secure** dans la colonne de gauche.
- DNSSEC-Analyzer.VeriSignLabs.com - Fournit des informations détaillées. Tu ne devrais voir que des vérifications vertes.
Si vous avez activé DNSSEC depuis le panneau de configuration one.com, la vérification peut prendre jusqu’à 24 heures. Une fois l’activation réussie, une barre verte affiche un message de confirmation, comme le montre la capture d’écran ci-dessous. Cette notification ne s’affichera plus lors de votre prochaine visite sur la page.
Utilisez-vous nos serveurs de noms ?
DNSSEC est automatiquement désactivé si vous passez à des serveurs de noms externes. La notification présentée dans la capture d’écran ci-dessous s’affiche alors dans le panneau de configuration one.com, sous **Paramètres DNS** → **Serveurs de noms** → **DNSSEC**. Si vous activez DNSSEC auprès de votre fournisseur DNS externe, ajoutez manuellement les enregistrements DS chez one.com.
Ajout d'enregistrements DS
Les enregistrements Delegation Signer (DS) sont essentiels à DNSSEC. Ils permettent de transmettre la confiance d’une zone parente à une zone enfant : c’est ce qu’on appelle une « chaîne de confiance ». L’enregistrement DS sert à vérifier l’authenticité des zones enfants. Les enregistrements DS sont configurés automatiquement lorsque le nom de domaine utilise les serveurs de noms de one.com.
Si vous n’utilisez pas les serveurs de noms de one.com, ajoutez manuellement les enregistrements DS depuis le panneau de configuration one.com. Obtenez les 4 valeurs nécessaires — KeyTag, Algorithm, Digest type et Digest — auprès de votre fournisseur de serveurs de noms ou à l’aide d’un outil de génération. Suivez ensuite ces étapes pour créer l’enregistrement DS :
- Connectez-vous au panneau de configuration one.com.
- Dans le menu **Domaine** , sélectionnez **Paramètres DNS**.
- Clique sur l'onglet Serveurs de noms.
- Dans l'administration de ton serveur de noms, clique sur l'onglet Enregistrements DS.
- Saisis la valeur dans les 4 champs distincts pour KeyTag, Algorithm, Digest type et Digest.
- Cliquez sur Enregistrer.
- Il va maintenant commencer à charger tes enregistrements DNS existants. Il affichera une barre verte avec un message de réussite si les enregistrements ont été ajoutés avec succès.
Remarque : l 'ajout d'enregistrements DNS incorrects peut entraîner une indisponibilité du site Web. Vous êtes invités à contacter notre support pour obtenir de l'aide si vous êtes préoccupé par quoi que ce soit sur les paramètres DNS.
Articles liés :