Wat is DNSSEC?
one.com ondersteunt DNSSEC, Domain Name System Security Extensions. Het is standaard ingeschakeld en geactiveerd wanneer je gebruikmaakt van de nameservers van one.com. In dit artikel leggen we meer uit over DNSSEC.
Om DNSSEC te begrijpen, helpt het als je de basis van DNS (Domain Name System) kent. Fris je kennis op met onze handleiding: Wat is DNS?
- Wat is DNSSEC?
- Wat beschermt DNSSEC?
- Hoe beheer je DNSSEC?
- Hoe controleer je of DNSSEC werkt
- Geen gebruik van onze nameservers? → DS-records
Wat is DNSSEC?
DNS is op zichzelf niet veilig. Om het veiliger te maken, is DNSSEC ontwikkeld. Het is een reeks uitbreidingen die een extra beveiligingslaag aan de DNS-zone toevoegt door deze digitaal te ondertekenen. Als een domeinnaam DNSSEC gebruikt, worden de DNS-records voorzien van cryptografische handtekeningen (beveiligingssleutels).
Deze handtekeningen worden gevalideerd door de DNS-resolvers, waardoor wordt gegarandeerd dat de DNS-informatie afkomstig is van de juiste DNS-server. Op deze manier kan het record niet worden gewijzigd of vervalst en is er tijdens het transport niet mee geknoeid. Dit biedt een veilige manier om toegang te krijgen tot je website en online diensten.
Wat beschermt DNSSEC?
DNS is kwetsbaar voor verschillende DNS-gerelateerde aanvallen, zoals DNS-spoofing, DNS-hijacking en DNS-cachevergiftiging. Deze aanvallen kunnen ernstige gevolgen hebben, zoals het omleiden van gebruikers naar kwaadaardige of frauduleuze websites, het stelen van gevoelige informatie of het verstoren van de normale werking van het internet.
DNSSEC-ondertekende domeinen garanderen de authenticiteit en integriteit van de DNS-gegevens die worden uitgewisseld tussen ondertekende zones. Dit verhoogt de betrouwbaarheid en verbetert de algehele beveiliging van de DNS-infrastructuur in een individuele zone.
DNS-gegevens worden niet versleuteld en de privacy van die gegevens wordt niet beschermd. TLS/SSL versleutelt wel gegevens die worden uitgewisseld tussen clients en servers om verschillende internetprotocollen te beveiligen, waaronder surfen op het web (HTTPS) en e-mail (SMTP, IMAP). Een SSL-certificaat biedt daarentegen geen bescherming tegen spoofing, terwijl DNSSEC dat wel doet. Lees meer over SSL in de artikelen in deze sectie.
Tip: Wil je meer weten over wat DNSSEC is en waarom het belangrijk is? Lees dan dit artikel van ICANN.
DNSSEC beheren
DNSSEC is standaard ingeschakeld en geactiveerd bij gebruik van de nameservers van one.com. Als je wilt deactiveren, volg je deze stappen:
- Log in op het one.com Configuratiescherm.
-
Klik in het menu Domein op
DNS-instellingen.
- Klik op het tabblad Nameservers.
- Klik in het nameserverbeheer op het tabblad DNSSEC.
-
Klik op de knop Deactiveer .
Hoe controleer je of DNSSEC werkt
Je kunt een webgebaseerde validatietool gebruiken om te controleren of de DNSSEC-configuratie werkt voor een domein. We hebben er hieronder twee op een rijtje gezet. Deze controleren of de DNS-records van het domein correct zijn ondertekend en kunnen worden geverifieerd door DNS-resolvers; ze bieden ook een rapport over eventuele problemen of fouten.
-
DNSViz.net - Geeft een visuele weergave. In de linkerkolom moet alleen ‘Secure’ staan.
- DNSSEC-Analyzer.VeriSignLabs.com - Biedt gedetailleerde informatie. Je zou alleen groene vinkjes moeten zien.
Heb je DNSSEC geactiveerd via het configuratiescherm van one.com? Dan kan de verificatie tot 24 uur duren. Zodra DNSSEC is geactiveerd, zie je een groene balk met een succesmelding, zoals in de screenshot hieronder. Als je de pagina later opnieuw bezoekt, zie je die melding niet meer.
Maak je geen gebruik van onze nameservers?
DNSSEC wordt automatisch uitgeschakeld als je overstapt op externe nameservers. De melding in de screenshot hieronder verschijnt dan in het configuratiescherm van one.com onder ‘DNS-instellingen’ → ‘Nameservers’ → ‘DNSSEC’. Als je DNSSEC bij je externe DNS-provider hebt ingeschakeld en geactiveerd, moet je de DS-records handmatig bij ons toevoegen.
DS-records toevoegen
Delegation Signer (DS)-records zijn een essentieel onderdeel van DNSSEC. Hiermee draag je het vertrouwen van een bovenliggende zone over aan een onderliggende zone. Zo ontstaat een ‘vertrouwensketen’. Het DS-record wordt gebruikt om de authenticiteit van onderliggende zones te controleren. DS-records worden automatisch ingesteld als het domein de nameservers van one.com gebruikt.
Als je de nameservers van one.com niet gebruikt, voeg je DS-records handmatig toe via het configuratiescherm van one.com. Je kunt de 4 benodigde waarden (KeyTag, Algorithm, Digest type en Digest) opvragen bij je nameserverprovider of met een generatortool bepalen. Volg daarna deze stappen om het DS-record aan te maken:
- Log in op het one.com Configuratiescherm.
- Selecteer DNS-instellingen in het menu Domein .
- Klik op het tabblad Nameservers.
- Klik in het nameserverbeheer op het tabblad DS-records.
- Voer de waarde in de 4 afzonderlijke velden in voor KeyTag, Algoritme, Digest type en Digest
- Klik op Opslaan.
- Het begint nu met het laden van de bestaande DNS-records. Een groene balk met een succesbericht wordt zichtbaar als het succesvol is toegevoegd.
Opmerking: Het toevoegen van onjuiste DNS-records kan downtime van de website veroorzaken. Je bent van harte welkom om contact op te nemen met onze support voor hulp als je niet zeker bent over iets in de DNS-instellingen.
Gerelateerde artikelen: