DNSSEC inschakelen (en wat te doen als het misgaat)

DNSSEC voegt een laag vertrouwen toe aan de DNS-antwoorden van je domein en beschermt bezoekers tegen vervalste resultaten. Dit artikel is voor iedereen die DNS beheert in InfraNest en DNSSEC veilig wil inschakelen — of het wil herstellen als er iets misgaat.

Overzicht

• DNSSEC ondertekent je DNS-antwoorden zodat ze onderweg naar een bezoeker niet vervalst kunnen worden.
• Het is de moeite waard om in te stellen, maar het is ook de enige DNS-instelling die je domein offline kan halen als het verkeerd wordt gedaan.
• Het hangt af van twee aparte plekken die het met elkaar eens moeten zijn — je DNS-provider en je registrar — en daar ontstaan de meeste problemen.

Begrijp de twee plekken waar DNSSEC leeft

Dit is het onderdeel waar bijna iedereen over struikelt, dus het is de moeite waard om dit te lezen voordat je iets inschakelt.

1. Je DNS-provider ondertekent de zone — deze genereert een sleutel en ondertekent elk antwoord dat hij geeft.
2. Je registrar publiceert een korte vingerafdruk van die sleutel (een DS-record genoemd) in de zone boven de jouwe, bij de registry die jouw domeinextensie beheert.

Geen van beide helften doet iets zonder de ander. Ondertekenen zonder de gepubliceerde vingerafdruk betekent dat niemand de handtekeningen controleert. De vingerafdruk publiceren zonder te ondertekenen betekent dat elke controle mislukt.

NoteHet DS-record komt niet in je eigen DNS-zone terecht — het is het enige DNS-record dat je niet zelf kunt publiceren. Alleen de registry boven je kan het bijhouden, en daarom loopt dit via je registrar. Het toevoegen aan je eigen zone heeft geen enkel effect.

Dit is ook de reden waarom DNSSEC op de domeinpagina naast de naamservers staat, in plaats van in de recordeditor.

DNSSEC inschakelen

1. Ga naar DNS en open de zone die je wilt beschermen.
2. Kies DNSSEC instellen — je vindt deze in het menu Acties, en ook bij Bescherming waar de adviseur verbeteringen toont.
3. InfraNest vraagt je DNS-provider om de zone te ondertekenen en geeft de vingerafdruk vervolgens automatisch door aan je registrar, waar mogelijk.
4. Controleer het resultaat:
   • Klaar — er is niets meer te doen; de rest van het internet loopt binnen een paar uur bij.
   • Als InfraNest de vingerafdruk niet bij je registrar kan publiceren, kopieer dan de getoonde regel en plak deze in het controlepaneel van je registrar.
   • Als je provider de sleutel niet via InfraNest afgeeft, haal de vingerafdruk dan op uit het paneel van je provider en voeg deze zelf toe bij je registrar.
   • Als je provider nog aan het ondertekenen is, doe dan niets — InfraNest controleert elke twintig minuten opnieuw en rondt de publicatie af zodra het klaar is.

Als DNSSEC instellen helemaal niet wordt aangeboden, heeft je DNS-provider geen manier om ondertekening automatisch in te schakelen (Hetzner en DigitalOcean zijn twee voorbeelden). Je kunt het nog steeds handmatig doen: schakel ondertekening in bij je DNS-provider, open vervolgens het domein in InfraNest, kies DNSSEC beheren, en voer in wat je provider je heeft gegeven.

DNSSEC uitschakelen

1. Open het domein en druk eenmaal op DNSSEC uitzetten.
2. Dit verwijdert eerst de vingerafdruk bij je registrar en laat de zone bewust nog iets langer ondertekend — dat is de veilige volgorde. Beide tegelijk doen kan een vingerafdruk achterlaten die naar een sleutel wijst die niets meer ondertekent, en dat is precies wat een domein offline haalt.
3. Je hoeft verder niets te doen. InfraNest rondt de rest zelf af, ongeveer een dag later, zodra de oude vingerafdruk overal is verlopen.

DNSSEC herstellen als het misgaat

Een kapotte DNSSEC-instelling zorgt er niet voor dat je site er verkeerd uitziet — het zorgt ervoor dat je domein verdwijnt. Iedereen van wie de resolver DNSSEC controleert, krijgt helemaal geen antwoord: geen website, geen e-mail, geen waarschuwingspagina. Dit gebeurt meestal wanneer een sleutel bij de DNS-provider wordt gewijzigd zonder dat de vingerafdruk wordt bijgewerkt, of na het verhuizen van een domein tussen providers.

InfraNest controleert elk domein hierop en waarschuwt je zodra het begint, omdat niets in je eigen systemen deze storing zal laten zien.

Als je die melding krijgt:

1. Controleer het DS-record bij je registrar tegen de sleutel waarmee je DNS-provider op dit moment ondertekent — een mismatch is meestal de oorzaak.
2. Als je het niet snel kunt oplossen, verwijder dan het DS-record bij de registrar. Dat schakelt DNSSEC uit en brengt het domein voor iedereen bijna direct weer terug. Het is beter om niet-ondertekend te zijn dan onzichtbaar.
3. Los de mismatch op en zet daarna het DS-record terug.

Sleutel handmatig invoeren

Waar InfraNest de vingerafdruk niet voor je kan publiceren, gebruik je DNSSEC beheren op de domeinpagina:

1. Neem de regel die je DNS-provider je heeft gegeven.
2. Plak de hele regel in het vak bovenaan, in plaats van de velden één voor één in te vullen. Het leest zowel een DS-regel als een sleutelregel, met of zonder de omringende zonegegevens.
3. Controleer wat InfraNest heeft begrepen voordat je opslaat — als de regel niet gelezen kan worden, meldt InfraNest dit in plaats van te gokken. Een verkeerd gelezen regel publiceert de verkeerde vingerafdruk, en dat is erger dan er geen te publiceren.

Tips

TipVoeg DNSKEY of DS niet zelf toe als recordtype in de recordeditor. Een DNSKEY wordt gegenereerd door je DNS-provider wanneer deze de zone ondertekent — je typt er nooit zelf een. Een DS hoort in de zone boven de jouwe, bij de registry, dus eentje toegevoegd aan je eigen zone doet niets. Gebruik in plaats daarvan DNSSEC instellen naast je naamservers, tenzij je specifiek een subdomein delegeert dat iemand anders al heeft ondertekend.

Problemen oplossen: wat de labels betekenen

Op de DNS-zonepagina, naast de naamservers:

• DNSSEC aan — ondertekend, en resolvers valideren het. Niets te doen.
• DNSSEC uit — niet ondertekend. Dit is een keuze, geen fout.
• DNSSEC faalt — ondertekend, maar validatie mislukt, waardoor het domein voor de meeste mensen niet bereikbaar is. Onderneem nu actie.

Een label met een sterretje is gebaseerd op de records die InfraNest bijhoudt in plaats van op een live controle, en kan daardoor kort afwijken van wat het internet daadwerkelijk ziet.