Hvordan aktiverer jeg DNSSEC?

DNSSEC signerer DNS-svarene for domenet ditt kryptografisk, slik at navnetjenere som validerer, og det gjør de norske internettleverandørene, oppdager og forkaster forfalskede svar. Uten DNSSEC kan en angriper som klarer å svare på vegne av domenet sende besøkende til sin egen server uten at nettleseren merker noe.

Hos oss er det ingenting å aktivere så lenge domenet bruker ns1 og ns2.domenesentralen.no. Sonen signeres automatisk når domenet registreres eller flyttes inn, og fingeravtrykket (DS-posten) meldes til Norid som en del av operasjonen. Du ser status i kolonnen DNSSEC i domenetabellen, og i domeneoppslaget står domenet som signert. Det koster ikke noe ekstra.

Bruker du egne navnetjenere, må sonen signeres der, hos DNS-leverandøren din. Da får du en DS-post fra dem, og den sender du til supporten vår, så melder vi den til Norid som DNSSEC-forhandler for domenet. Uten DS-posten i registeret er sonen signert, men ingen kan verifisere signaturene, og domenet er i praksis usignert.

Det farligste øyeblikket for et DNSSEC-signert domene er et navnetjenerbytte. Bytter du til navnetjenere som ikke signerer, eller som signerer med en annen nøkkel, uten å fjerne eller oppdatere DS-posten hos Norid først, stemmer ikke signaturene lenger, og domenet slutter å svare for alle som validerer. Nettsiden og e-posten er nede, mens alt ser riktig ut hos deg. Regelen er enkel: fjern DS-posten før byttet, bytt navnetjenere, og legg inn ny DS når den nye sonen er signert. Flytter du inn til oss med flytteveiviseren, håndteres dette for deg.

Vil du sjekke at alt stemmer utenfra, slår du opp domenet i domeneoppslaget vårt eller i en DNSSEC-validator; svaret skal være «Signert» og validert i kjeden fra .no og ned til ditt domene.