DNSSEC aktivieren (und was zu tun ist, wenn es fehlschlägt)

DNSSEC schützt Ihre Domain davor, auf dem Weg zu den Besuchern gefälscht oder manipuliert zu werden. Dieser Artikel richtet sich an alle, die DNS in InfraNest verwalten und DNSSEC sicher aktivieren möchten — und wissen wollen, was zu tun ist, wenn es einmal fehlschlägt.

Überblick

• DNSSEC signiert Ihre DNS-Antworten, damit niemand sie unterwegs fälschen kann.
• Es wird an zwei Stellen gleichzeitig eingerichtet — bei Ihrem DNS-Anbieter und bei Ihrem Registrar — und beide müssen übereinstimmen.
• Falsch aktiviert oder deaktiviert, kann es Ihre Domain komplett vom Internet trennen. Es lohnt sich also, das zu verstehen, bevor Sie den Schalter umlegen.

So funktioniert es

Das ist der Punkt, an dem fast jeder scheitert: DNSSEC ist keine einzelne Einstellung.

1. Ihr DNS-Anbieter signiert die Zone — er erzeugt einen Schlüssel und signiert jede Antwort, die er ausgibt.
2. Ihr Registrar veröffentlicht einen passenden Fingerabdruck (einen DS-Eintrag) in der Zone über Ihrer, bei der Registry, die Ihre Domainendung verwaltet.

Keine der beiden Hälften funktioniert allein. Signieren ohne den Fingerabdruck bedeutet, dass niemand die Signaturen prüft. Den Fingerabdruck ohne Signierung zu veröffentlichen bedeutet, dass jede Prüfung fehlschlägt.

NoteDer DS-Eintrag gehört niemals in Ihre eigene DNS-Zone — er ist der einzige Eintrag, den nur Ihr Registrar in der Registry über Ihnen veröffentlichen kann. Ihn zur eigenen Zone hinzuzufügen bewirkt nichts.

Deshalb befindet sich DNSSEC auf der Domain-Seite neben Ihren Nameservern und nicht im Eintrags-Editor.

DNSSEC aktivieren

1. Öffnen Sie die Zone unter DNS.
2. Wählen Sie DNSSEC einrichten — Sie finden es im Menü Aktionen sowie unter Mail & Sicherheit, wo der Berater Verbesserungen auflistet.
3. InfraNest fordert Ihren DNS-Anbieter auf, die Zone zu signieren, und übergibt den Fingerabdruck anschließend automatisch an Ihren Registrar, sofern möglich.
4. Prüfen Sie das Ergebnis:
   • Steht dort Fertig, ist nichts weiter zu tun — der Rest des Internets zieht innerhalb einiger Stunden nach.
   • Wenn angezeigt wird, dass der Fingerabdruck bei Ihrem Registrar nicht veröffentlicht werden kann, kopieren Sie die angezeigte Zeile und fügen Sie sie in die Kontrollzentrale Ihres Registrars ein.
   • Wenn angezeigt wird, dass Ihr Anbieter den Schlüssel nicht herausgibt, holen Sie den Fingerabdruck aus dem Panel Ihres Anbieters und tragen Sie ihn selbst bei Ihrem Registrar ein.
   • Wenn angezeigt wird, dass Ihr Anbieter noch mit dem Signieren beginnt, unternehmen Sie nichts — InfraNest prüft alle zwanzig Minuten erneut und schließt automatisch ab.

Wird DNSSEC einrichten gar nicht angeboten, hat Ihr DNS-Anbieter keine Möglichkeit, die Signierung über InfraNest zu aktivieren (das gilt derzeit für Hetzner und DigitalOcean). Sie können es weiterhin von Hand erledigen: Aktivieren Sie die Signierung bei Ihrem DNS-Anbieter, öffnen Sie dann die Domain in InfraNest, wählen Sie DNSSEC verwalten und geben Sie ein, was Ihr Anbieter Ihnen mitgeteilt hat.

DNSSEC deaktivieren

1. Öffnen Sie die Domain und drücken Sie einmal DNSSEC ausschalten.
2. InfraNest entfernt den Fingerabdruck sofort bei Ihrem Registrar und lässt die Zone bewusst vorerst signiert — diese Reihenfolge hält die Domain sicher.

WarningEntfernen Sie niemals den Fingerabdruck und heben die Signierung der Zone gleichzeitig auf. Ein Fingerabdruck, der auf einen Schlüssel verweist, der nichts mehr signiert, ist genau das, was eine Domain offline nimmt.

InfraNest schließt den Rest selbstständig ab, etwa einen Tag später, sobald der alte Fingerabdruck überall abgelaufen ist. Sie müssen nicht zurückkehren.

DNSSEC beheben, wenn es fehlschlägt

Eine defekte Einrichtung lässt Ihre Website nicht falsch aussehen — sie lässt Ihre Domain verschwinden. Jeder, dessen Resolver DNSSEC prüft, erhält überhaupt keine Antwort: keine Website, keine E-Mail, keine Warnseite. Das passiert meist, wenn beim DNS-Anbieter ein Schlüssel rotiert wird, ohne den Fingerabdruck zu aktualisieren, oder nach einem Anbieterwechsel.

InfraNest prüft jede Domain darauf und alarmiert Sie, sobald es beginnt.

1. Vergleichen Sie den DS-Eintrag bei Ihrem Registrar mit dem Schlüssel, mit dem Ihr DNS-Anbieter aktuell signiert — eine Abweichung ist die übliche Ursache.
2. Wenn Sie es nicht schnell beheben können, entfernen Sie den DS-Eintrag beim Registrar. Das schaltet DNSSEC aus und bringt die Domain für alle fast sofort zurück. Unsigniert zu sein ist besser als unsichtbar zu sein.
3. Beheben Sie die Abweichung und setzen Sie den DS-Eintrag anschließend zurück.

Fügen Sie DNSKEY- oder DS-Einträge nicht selbst hinzu

Der Eintrags-Editor lässt Sie DNSKEY und DS als Eintragstypen wählen, aber keines davon ist der Weg, um DNSSEC zu aktivieren:

• Ein DNSKEY wird von Ihrem DNS-Anbieter erzeugt, wenn er die Zone signiert — Sie geben nie von Hand einen ein.
• Ein DS-Eintrag gehört in die Zone über Ihrer, bei der Registry. Einer, der zur eigenen Zone hinzugefügt wird, bewirkt nichts.

InfraNest weist neben dem Feld darauf hin, wenn Sie eines davon auswählen. Es hält Sie nicht auf, denn es gibt einen legitimen Anwendungsfall — die Delegierung einer Subdomain, die anderswo bereits signiert ist. Verwenden Sie andernfalls DNSSEC einrichten neben Ihren Nameservern.

Schlüssel von Hand eingeben

Wo InfraNest den Fingerabdruck nicht für Sie veröffentlichen kann, öffnen Sie DNSSEC verwalten auf der Domain-Seite und fügen Sie die gesamte Zeile, die Ihr DNS-Anbieter Ihnen gegeben hat, in das obere Feld ein, statt jedes Feld einzeln auszufüllen. Es liest beide Formen:

62949 13 2 FBF66B8D019C1EEC…          ein DS
257 3 13 mdsswUyr3DPW132mOi8V…        ein Schlüssel

mit oder ohne das vorangestellte example.com. 3600 IN DS. InfraNest zeigt Ihnen, was es verstanden hat, bevor Sie speichern — und wenn es die Zeile nicht lesen kann, sagt es das, statt zu raten, denn eine falsch gelesene Zeile veröffentlicht den falschen Fingerabdruck, was schlimmer ist, als keinen zu veröffentlichen.

Was die Bezeichnungen bedeuten

Auf der DNS-Zonen-Seite, neben den Nameservern:

• DNSSEC an — signiert, und Resolver validieren es. Nichts zu tun.
• DNSSEC aus — nicht signiert. Eine Entscheidung, kein Fehler.
• DNSSEC schlägt fehl — signiert, aber die Validierung schlägt fehl, sodass die Domain für die meisten Nutzer nicht auflösbar ist. Jetzt handeln.

TipEine Bezeichnung mit einem Sternchen basiert auf den Einträgen, die InfraNest gespeichert hat, statt auf einer Live-Prüfung, und kann daher leicht hinter dem zurückliegen, was das Internet tatsächlich sieht.