Activer DNSSEC (et que faire en cas de panne)

DNSSEC ajoute une couche de confiance aux réponses DNS de votre domaine, protégeant les visiteurs contre les résultats falsifiés. Cet article s’adresse à toute personne qui gère le DNS dans InfraNest et souhaite activer DNSSEC en toute sécurité — ou le réparer si quelque chose se casse.

Vue d’ensemble

• DNSSEC signe vos réponses DNS pour qu’elles ne puissent pas être falsifiées en chemin vers un visiteur.
• Cela vaut la peine d’être configuré, mais c’est aussi le seul réglage DNS capable de mettre votre domaine hors ligne si c’est mal fait.
• Cela repose sur l’accord entre deux endroits distincts — votre fournisseur DNS et votre registraire — ce qui est à l’origine de la plupart des problèmes.

Comprendre les deux endroits où vit DNSSEC

C’est le point qui piège presque tout le monde, donc il vaut la peine de le lire avant d’activer quoi que ce soit.

1. Votre fournisseur DNS signe la zone — il génère une clé et signe chaque réponse qu’il donne.
2. Votre registraire publie une courte empreinte de cette clé (appelée enregistrement DS) dans la zone au-dessus de la vôtre, chez le registre qui gère la terminaison de votre domaine.

Aucune des deux moitiés ne fait quoi que ce soit toute seule. Signer sans publier l’empreinte signifie que personne ne vérifie les signatures. Publier l’empreinte sans signer signifie que toute vérification échoue.

NoteL’enregistrement DS ne va pas dans votre propre zone DNS — c’est le seul enregistrement DNS que vous ne pouvez pas publier vous-même. Seul le registre au-dessus de vous peut le détenir, c’est pourquoi il passe par votre registraire. L’ajouter à votre propre zone ne fait rien.

C’est aussi pourquoi DNSSEC apparaît sur la page du domaine à côté des serveurs de noms, plutôt que dans l’éditeur d’enregistrements.

Activer DNSSEC

1. Allez dans DNS et ouvrez la zone que vous voulez protéger.
2. Choisissez Configurer DNSSEC — vous le trouverez dans le menu Actions, ainsi que dans Protection où le conseiller liste les améliorations possibles.
3. InfraNest demande à votre fournisseur DNS de signer la zone, puis transmet automatiquement l’empreinte à votre registraire lorsque c’est possible.
4. Vérifiez le résultat :
   • Prêt — il n’y a plus rien à faire ; le reste d’Internet se met à jour en quelques heures.
   • Si InfraNest ne peut pas publier l’empreinte chez votre registraire, copiez la ligne affichée et collez-la dans le panneau de contrôle de votre registraire.
   • Si votre fournisseur ne transmet pas la clé via InfraNest, récupérez l’empreinte dans le panneau de votre fournisseur et ajoutez-la vous-même chez votre registraire.
   • Si votre fournisseur est encore en train de commencer la signature, ne faites rien — InfraNest revérifie toutes les vingt minutes et termine la publication une fois prêt.

Si Configurer DNSSEC n’est pas proposé du tout, votre fournisseur DNS n’a aucun moyen d’activer la signature automatiquement (Hetzner et DigitalOcean en sont deux exemples). Vous pouvez tout de même le faire à la main : activez la signature chez votre fournisseur DNS, puis ouvrez le domaine dans InfraNest, choisissez Gérer DNSSEC, et saisissez ce que votre fournisseur vous a donné.

Désactiver DNSSEC

1. Ouvrez le domaine et appuyez une fois sur Désactiver DNSSEC.
2. Cela retire d’abord l’empreinte chez votre registraire et laisse délibérément la zone signée un peu plus longtemps — c’est l’ordre sûr. Faire les deux en même temps peut laisser une empreinte pointer vers une clé qui ne signe plus rien, ce qui est ce qui met un domaine hors ligne.
3. Vous n’avez rien d’autre à faire. InfraNest termine le reste tout seul, environ un jour plus tard, une fois que l’ancienne empreinte a expiré partout.

Réparer DNSSEC en cas de panne

Un réglage DNSSEC cassé ne fait pas paraître votre site erroné — il fait disparaître votre domaine. Toute personne dont le résolveur vérifie DNSSEC n’obtient aucune réponse du tout : pas de site web, pas d’e-mail, pas de page d’avertissement. Cela arrive généralement lorsqu’une clé est renouvelée chez le fournisseur DNS sans que l’empreinte soit mise à jour, ou après avoir déplacé un domaine entre fournisseurs.

InfraNest vérifie chaque domaine pour cela et vous alerte dès que cela commence, car rien dans vos propres systèmes ne montrera cette panne.

Si vous recevez cette alerte :

1. Vérifiez l’enregistrement DS chez votre registraire par rapport à la clé avec laquelle votre fournisseur DNS signe actuellement — une divergence en est généralement la cause.
2. Si vous ne pouvez pas corriger rapidement, retirez l’enregistrement DS chez le registraire. Cela désactive DNSSEC et ramène le domaine pour tout le monde, presque immédiatement. Mieux vaut être non signé qu’invisible.
3. Corrigez la divergence, puis remettez en place l’enregistrement DS.

Saisir une clé à la main

Lorsque InfraNest ne peut pas publier l’empreinte pour vous, utilisez Gérer DNSSEC sur la page du domaine :

1. Prenez la ligne que votre fournisseur DNS vous a donnée.
2. Collez la ligne entière dans la zone en haut, plutôt que de remplir les champs un par un. Elle peut lire aussi bien une ligne DS qu’une ligne de clé, avec ou sans les détails de zone qui l’entourent.
3. Vérifiez ce qu’InfraNest a compris avant d’enregistrer — s’il ne peut pas lire la ligne, il vous le dira plutôt que de deviner. Une ligne mal lue publie la mauvaise empreinte, ce qui est pire que de n’en publier aucune.

Astuces

TipN’ajoutez pas vous-même DNSKEY ou DS comme types d’enregistrement dans l’éditeur d’enregistrements. Un DNSKEY est généré par votre fournisseur DNS lorsqu’il signe la zone — vous n’en saisissez jamais un. Un DS appartient à la zone au-dessus de la vôtre, chez le registre, donc en ajouter un à votre propre zone ne fait rien. Utilisez Configurer DNSSEC à côté de vos serveurs de noms à la place, sauf si vous déléguez spécifiquement un sous-domaine déjà signé par quelqu’un d’autre.

Dépannage : ce que signifient les libellés

Sur la page de la zone DNS, à côté des serveurs de noms :

• DNSSEC activé — signé, et les résolveurs le valident. Rien à faire.
• DNSSEC désactivé — non signé. C’est un choix, pas un défaut.
• DNSSEC en échec — signé, mais la validation échoue, donc le domaine ne se résout pas pour la plupart des gens. Agissez maintenant.

Un libellé avec un astérisque est basé sur les enregistrements détenus par InfraNest plutôt que sur une vérification en direct, il peut donc être brièvement en décalage avec ce que voit réellement Internet.