DNSSEC einschalten (und was tun, wenn es ausfällt)

DNSSEC fügt eine Vertrauensebene zu den DNS-Antworten deiner Domain hinzu und schützt Besucher vor gefälschten Ergebnissen. Dieser Artikel richtet sich an alle, die DNS in InfraNest verwalten und DNSSEC sicher einschalten möchten — oder es reparieren möchten, wenn etwas schiefgeht.

Überblick

• DNSSEC signiert deine DNS-Antworten, damit sie auf dem Weg zum Besucher nicht gefälscht werden können.
• Es lohnt sich, DNSSEC einzurichten, aber es ist auch die eine DNS-Einstellung, die deine Domain offline nehmen kann, wenn sie falsch gemacht wird.
• Es hängt davon ab, dass zwei getrennte Stellen übereinstimmen — dein DNS-Anbieter und dein Registrar —, und genau daher kommen die meisten Probleme.

Die zwei Stellen verstehen, an denen DNSSEC lebt

Das ist der Teil, bei dem fast jeder stolpert, daher lohnt es sich, ihn zu lesen, bevor du etwas einschaltest.

1. Dein DNS-Anbieter signiert die Zone — er erzeugt einen Schlüssel und signiert jede Antwort, die er herausgibt.
2. Dein Registrar veröffentlicht einen kurzen Fingerabdruck dieses Schlüssels (genannt DS-Eintrag) in der Zone oberhalb deiner, bei der Registry, die deine Domainendung betreibt.

Keine der beiden Hälften bewirkt für sich allein etwas. Signieren ohne veröffentlichten Fingerabdruck bedeutet, dass niemand die Signaturen prüft. Den Fingerabdruck ohne Signieren zu veröffentlichen bedeutet, dass jede Prüfung fehlschlägt.

NoteDer DS-Eintrag gehört nicht in deine eigene DNS-Zone — er ist der einzige DNS-Eintrag, den du nicht selbst veröffentlichen kannst. Nur die Registry über dir kann ihn halten, weshalb er über deinen Registrar läuft. Ihn zu deiner eigenen Zone hinzuzufügen, bewirkt nichts.

Das ist auch der Grund, warum DNSSEC auf der Domain-Seite neben den Nameservern erscheint und nicht im Eintrags-Editor.

DNSSEC einschalten

1. Gehe zu DNS und öffne die Zone, die du schützen möchtest.
2. Wähle DNSSEC einrichten — du findest es im Menü Aktionen sowie unter Schutz, wo der Berater Verbesserungen auflistet.
3. InfraNest bittet deinen DNS-Anbieter, die Zone zu signieren, und übergibt den Fingerabdruck dann automatisch an deinen Registrar, soweit möglich.
4. Prüfe das Ergebnis:
   • Bereit — nichts weiter zu tun; der Rest des Internets zieht innerhalb weniger Stunden nach.
   • Wenn InfraNest den Fingerabdruck bei deinem Registrar nicht veröffentlichen kann, kopiere die angezeigte Zeile und füge sie in das Kontrollfeld deines Registrars ein.
   • Wenn dein Anbieter den Schlüssel nicht über InfraNest herausgibt, hol dir den Fingerabdruck aus dem Panel deines Anbieters und trage ihn selbst bei deinem Registrar ein.
   • Wenn dein Anbieter gerade erst mit dem Signieren beginnt, tu nichts — InfraNest prüft alle zwanzig Minuten erneut und schließt die Veröffentlichung ab, sobald es bereit ist.

Wenn DNSSEC einrichten gar nicht angeboten wird, hat dein DNS-Anbieter keine Möglichkeit, das Signieren automatisch einzuschalten (Hetzner und DigitalOcean sind zwei Beispiele dafür). Du kannst es trotzdem von Hand erledigen: Schalte das Signieren bei deinem DNS-Anbieter ein, öffne dann die Domain in InfraNest, wähle DNSSEC verwalten und trage ein, was dir dein Anbieter gegeben hat.

DNSSEC ausschalten

1. Öffne die Domain und drücke einmal DNSSEC ausschalten.
2. Dadurch wird zuerst der Fingerabdruck bei deinem Registrar entfernt, während die Zone absichtlich noch etwas länger signiert bleibt — das ist die sichere Reihenfolge. Beides gleichzeitig zu tun, kann einen Fingerabdruck hinterlassen, der auf einen Schlüssel zeigt, der nichts mehr signiert — und genau das nimmt eine Domain offline.
3. Du musst nichts weiter tun. InfraNest erledigt den Rest von selbst, etwa einen Tag später, sobald der alte Fingerabdruck überall abgelaufen ist.

DNSSEC reparieren, wenn es ausfällt

Eine kaputte DNSSEC-Einrichtung lässt deine Website nicht einfach falsch aussehen — sie lässt deine Domain verschwinden. Wer einen Resolver nutzt, der DNSSEC prüft, bekommt gar keine Antwort: keine Website, keine E-Mail, keine Warnseite. Das passiert meist, wenn ein Schlüssel beim DNS-Anbieter rotiert wird, ohne dass der Fingerabdruck aktualisiert wird, oder nach einem Umzug einer Domain zwischen Anbietern.

InfraNest prüft jede Domain darauf und benachrichtigt dich, sobald es beginnt, denn nichts in deinen eigenen Systemen wird diesen Fehler anzeigen.

Wenn du diese Benachrichtigung erhältst:

1. Vergleiche den DS-Eintrag bei deinem Registrar mit dem Schlüssel, mit dem dein DNS-Anbieter gerade signiert — eine Abweichung ist die übliche Ursache.
2. Wenn du es nicht schnell beheben kannst, entferne den DS-Eintrag beim Registrar. Das schaltet DNSSEC aus und bringt die Domain fast sofort für alle zurück. Es ist besser, unsigniert als unsichtbar zu sein.
3. Behebe die Abweichung und trage den DS-Eintrag dann wieder ein.

Schlüssel von Hand eingeben

Wo InfraNest den Fingerabdruck nicht für dich veröffentlichen kann, nutze DNSSEC verwalten auf der Domain-Seite:

1. Nimm die Zeile, die dir dein DNS-Anbieter gegeben hat.
2. Füge die ganze Zeile in das Feld oben ein, statt die Felder einzeln auszufüllen. Es liest sowohl eine DS-Zeile als auch eine Schlüssel-Zeile, mit oder ohne die umgebenden Zonendetails.
3. Prüfe, was InfraNest verstanden hat, bevor du speicherst — wenn die Zeile nicht gelesen werden kann, sagt InfraNest das, statt zu raten. Eine falsch gelesene Zeile veröffentlicht den falschen Fingerabdruck, was schlimmer ist, als gar keinen zu veröffentlichen.

Tipps

TipFüge DNSKEY oder DS nicht selbst als Eintragstypen im Eintrags-Editor hinzu. Ein DNSKEY wird von deinem DNS-Anbieter erzeugt, wenn er die Zone signiert — du tippst nie einen selbst ein. Ein DS gehört in die Zone oberhalb deiner, bei der Registry, daher bewirkt einer, der in deine eigene Zone eingetragen wird, nichts. Nutze stattdessen DNSSEC einrichten neben deinen Nameservern, außer wenn du gezielt eine Subdomain delegierst, die bereits von jemand anderem signiert wurde.

Fehlerbehebung: Was die Kennzeichnungen bedeuten

Auf der DNS-Zonen-Seite, neben den Nameservern:

• DNSSEC an — signiert, und Resolver validieren es. Nichts zu tun.
• DNSSEC aus — nicht signiert. Das ist eine Entscheidung, kein Fehler.
• DNSSEC schlägt fehl — signiert, aber die Validierung schlägt fehl, sodass die Domain für die meisten Nutzer nicht auflöst. Jetzt handeln.

Eine Kennzeichnung mit Sternchen basiert auf den Einträgen, die InfraNest vorhält, statt auf einer Live-Prüfung, und kann daher kurzzeitig vom tatsächlichen Zustand im Internet abweichen.