Vérificateur DNSSEC

• Vérification instantanée de la validation DNSSEC : notre vérificateur DNSSEC interroge instantanément les enregistrements DS, DNSKEY et RRSIG via l'API DNS sur HTTPS de Cloudflare. Vérifiez si DNSSEC est activé sur un domaine en quelques secondes avec des informations d'enregistrement cryptographiques détaillées - aucune installation requise.
• Analyse détaillée des enregistrements cryptographiques : affichez les détails complets du DNSSEC, y compris les balises de clé d'enregistrement DS et les types de résumé, les noms d'algorithmes DNSKEY et les rôles clés (KSK/ZSK) et les signatures RRSIG avec horodatages de création et d'expiration. Comprenez la chaîne DNSSEC complète pour n’importe quel domaine.
• DNS sur HTTPS sécurisé et privé : toutes les requêtes DNSSEC sont envoyées directement depuis votre navigateur au point de terminaison DNS sur HTTPS de Cloudflare via une connexion HTTPS cryptée. Aucune donnée de requête n'est stockée sur nos serveurs - vos contrôles DNSSEC sont totalement privés.
• Gratuit et aucune installation requise : utilisez notre vérificateur DNSSEC gratuit directement dans votre navigateur, sans téléchargement, sans plugin et sans compte requis. Vérifiez le statut DNSSEC de n'importe quel domaine depuis n'importe quel appareil, à tout moment - entièrement gratuit et sans limite d'utilisation.

• Vérification de la sécurité du domaine : les propriétaires de domaines soucieux de leur sécurité utilisent le vérificateur DNSSEC pour vérifier que DNSSEC est correctement configuré pour leurs domaines. Des contrôles réguliers garantissent que la chaîne de confiance cryptographique est intacte et que les enregistrements DNS sont protégés contre les attaques d'usurpation d'identité et d'empoisonnement du cache.
• Audit DevOps et infrastructure : les ingénieurs DevOps utilisent le vérificateur DNSSEC pour auditer les configurations DNS lors de la configuration et des migrations de l'infrastructure. Vérifiez que DNSSEC est correctement configuré après les transferts de domaine, les changements de bureau d'enregistrement ou les changements de fournisseur DNS.
• Évaluation de la protection contre l'usurpation DNS : les chercheurs en sécurité et les administrateurs réseau utilisent le vérificateur DNSSEC pour évaluer quels domaines de leur organisation sont protégés contre l'usurpation DNS. Identifiez les domaines dépourvus de protection DNSSEC et priorisez les efforts de remédiation.
• Surveillance de l'état du DNS : les administrateurs réseau utilisent le vérificateur DNSSEC dans le cadre de la surveillance continue de l'état du DNS. Vérifiez que les signatures DNSSEC sont valides et n'ont pas expiré, et que les enregistrements DS de la zone parent correspondent aux enregistrements DNSKEY du domaine.
• Recherche sur la sécurité et renseignements sur les menaces : les chercheurs en sécurité utilisent le vérificateur DNSSEC pour enquêter sur les configurations DNS des domaines suspects. Le statut DNSSEC peut indiquer à quel point un opérateur de domaine est soucieux de la sécurité et aider à évaluer la fiabilité des domaines inconnus.
• Audit de conformité et réglementaire : les responsables de la conformité et les auditeurs utilisent le vérificateur DNSSEC pour vérifier que les domaines répondent aux exigences DNSSEC imposées par les cadres de sécurité tels que PCI DSS, NIST et BSI. Générez des résultats de contrôle pour la documentation de conformité.

DNSSEC (Domain Name System Security Extensions) est une suite de spécifications qui ajoutent des signatures cryptographiques aux enregistrements DNS. Ces signatures permettent aux résolveurs DNS de vérifier que les enregistrements qu'ils reçoivent n'ont pas été falsifiés pendant le transit. Sans DNSSEC, les réponses DNS peuvent être falsifiées par des attaquants grâce à des techniques telles que l'usurpation d'identité DNS et l'empoisonnement du cache, redirigeant les utilisateurs vers des sites Web malveillants même lorsqu'ils saisissent le nom de domaine correct. Notre vérificateur DNSSEC interroge les enregistrements DNS via DNS sur HTTPS à l'aide du résolveur public de Cloudflare pour vérifier l'état DNSSEC de n'importe quel domaine.

1. Entrez un nom de domaine : saisissez n'importe quel nom de domaine dans le champ de saisie (par exemple, example.com). L'outil supprime automatiquement les protocoles et les chemins.
2. Interroger les enregistrements DNSSEC : l'outil interroge trois types d'enregistrements DNSSEC à partir du résolveur DoH de Cloudflare : les enregistrements DS (Delegation Signer) de la zone parent, les enregistrements DNSKEY du domaine lui-même et les enregistrements RRSIG (Resource Record Signature). Il vérifie également l'indicateur AD (Authenticated Data) dans l'en-tête de réponse DNS.
3. Résultats de l'examen : le vérificateur DNSSEC affiche un statut réussite/échec clair, des tableaux d'enregistrement détaillés montrant les paramètres cryptographiques (balises clés, algorithmes, types de résumé), les rôles clés (KSK/KSR/ZSK) et les horodatages de signature. Copiez n'importe quelle valeur en un seul clic.

• DS (Délégation Signer) : stocké dans la zone parent (par exemple, .com pour exemple.com). Contient un hachage de l'enregistrement DNSKEY de la zone enfant. Les enregistrements DS constituent la manière dont la chaîne de confiance est établie : le parent signe l'enregistrement DS et les résolveurs l'utilisent pour vérifier la DNSKEY de l'enfant. Sans enregistrement DS, un domaine ne peut pas bénéficier d'une validation DNSSEC complète.
• DNSKEY : Contient la clé publique utilisée par la zone pour signer ses enregistrements DNS. Deux types existent : KSK (Key Signing Key, flag 257) utilisé pour signer les autres enregistrements DNSKEY, et ZSK (Zone Signing Key, flag 256) utilisé pour signer tous les autres enregistrements de la zone. La KSK est ce qu'authentifie l'enregistrement DS dans la zone parent.
• RRSIG (Resource Record Signature) : la signature numérique attachée à chaque jeu d'enregistrements DNS. Chaque enregistrement RRSIG précise quel algorithme a été utilisé, quand la signature a été créée, quand elle expire, quelle clé l'a signée et la valeur de la signature elle-même. Les résolveurs vérifient les enregistrements RRSIG par rapport à la DNSKEY de la zone pour authentifier chaque réponse DNS.

DNSSEC prend en charge plusieurs algorithmes cryptographiques pour signer les enregistrements DNS. Les algorithmes courants incluent RSA/SHA-256 (algorithme 7, largement pris en charge), RSA/SHA-512 (algorithme 8, plus fort), ECDSA P-256 (algorithme 13, courbe elliptique moderne) et Ed25519 (algorithme 15, efficace et moderne). Le type de résumé dans les enregistrements DS indique la fonction de hachage utilisée : SHA-256 (type 2) est la norme actuelle, tandis que SHA-1 (type 1) est progressivement supprimé en raison de vulnérabilités de collision. Les meilleures pratiques modernes utilisent l'algorithme 13 (ECDSA P-256) ou 15 (Ed25519) avec des résumés SHA-256 pour une sécurité et des performances optimales. Notre vérificateur DNSSEC affiche toutes ces valeurs afin que vous puissiez vérifier qu'un domaine utilise des paramètres cryptographiques actuels et sécurisés.