Activer DNSSEC (et que faire en cas de panne)

DNSSEC ajoute une signature numérique aux réponses DNS de votre domaine pour que personne ne puisse les falsifier en chemin vers vos visiteurs. Cet article s’adresse à toute personne qui active ou désactive DNSSEC, ou qui le répare lorsqu’il est défaillant.

#Vue d'ensemble

• DNSSEC vaut la peine d’être activé, mais c’est le seul réglage DNS capable de faire totalement disparaître votre domaine d’Internet s’il est mal configuré.
• Il est contrôlé depuis deux endroits différents qui travaillent ensemble : votre fournisseur DNS et votre registraire.
• InfraNest affiche son statut sur la page Zone DNS, à côté de vos serveurs de noms — pas dans l’éditeur d’enregistrements.

#Comprendre les deux endroits où il se configure

C’est le point qui piège presque tout le monde.

1. Votre fournisseur DNS signe la zone — il génère une clé et signe chaque réponse qu’il délivre.
2. Votre registraire publie une courte empreinte de cette clé, appelée enregistrement DS, dans la zone située au-dessus de la vôtre (au registre qui gère l’extension de votre domaine, comme .com ou .nl).

Aucune de ces deux étapes ne sert à rien seule. Signer sans le DS signifie que personne ne vérifie les signatures ; avoir un DS sans signature signifie que toutes les vérifications échouent.

NoteL’enregistrement DS ne se place pas dans votre propre zone DNS — c’est le seul enregistrement DNS que vous ne pouvez pas publier vous-même. C’est pourquoi il passe par votre registraire, et pourquoi InfraNest affiche DNSSEC à côté de vos serveurs de noms plutôt que dans l’éditeur d’enregistrements.

#Activer DNSSEC

1. Ouvrez la zone sous DNS.
2. Choisissez Configurer DNSSEC — vous le trouverez dans le menu Actions, ainsi que dans Protection, là où le conseiller liste les améliorations.
3. InfraNest réalise les deux étapes pour vous quand c’est possible : il demande à votre fournisseur DNS de signer la zone, puis transmet l’empreinte à votre registraire.
4. Vérifiez le résultat :
   • Terminé — rien de plus à faire ; le reste d’Internet se met à jour en quelques heures.
   • Nous ne pouvons pas publier l’empreinte pour vous chez ce registraire — copiez la ligne affichée et collez-la dans le panneau de contrôle de votre registraire.
   • Ce fournisseur ne communique pas la clé — récupérez l’empreinte dans le panneau de votre fournisseur, puis ajoutez-la chez votre registraire.
   • Votre fournisseur commence tout juste à signer — rien à faire ; InfraNest revérifie toutes les vingt minutes et publie l’empreinte dès qu’elle est prête.

Si Configurer DNSSEC n’est pas proposé du tout, c’est que votre fournisseur DNS n’a aucun moyen d’activer la signature via sa connexion à InfraNest — c’est actuellement le cas pour Hetzner et DigitalOcean.

Vous pouvez tout de même le faire manuellement : activez la signature chez votre fournisseur DNS, puis ouvrez le domaine dans InfraNest, choisissez Gérer DNSSEC, et saisissez ce que votre fournisseur vous a donné.

#Désactiver DNSSEC

1. Appuyez une fois sur Désactiver DNSSEC.
2. Cela retire d’abord l’empreinte chez votre registraire et laisse volontairement la zone signée — c’est l’ordre sûr. Faire les deux en même temps laisserait une empreinte pointant vers une clé qui ne signe plus rien, ce qui est précisément ce qui fait disparaître un domaine.
3. InfraNest termine le reste tout seul, environ un jour plus tard, une fois que l’ancienne empreinte a expiré partout. Vous n’avez rien à refaire.

#Saisir une clé à la main

1. Lorsque InfraNest ne peut pas publier l’empreinte pour vous, ouvrez Gérer DNSSEC sur la page du domaine.
2. Collez l’intégralité de la ligne fournie par votre fournisseur DNS dans le champ en haut, plutôt que de remplir chaque champ séparément. Elle se présente sous l’une de ces deux formes :

62949 13 2 FBF66B8D019C1EEC…          un DS
257 3 13 mdsswUyr3DPW132mOi8V…        une clé

3. Cela fonctionne avec ou sans la partie example.com. 3600 IN DS devant. InfraNest vous indique ce qu’il a compris avant que vous enregistriez — s’il n’arrive pas à lire la ligne, il vous le signale plutôt que de deviner, car une ligne mal interprétée publierait la mauvaise empreinte, ce qui est pire que de n’en publier aucune.

#Quand DNSSEC tombe en panne

Une configuration cassée ne donne pas l’impression que votre site a un problème — elle fait disparaître votre domaine. Toute personne dont le résolveur vérifie DNSSEC n’obtient aucune réponse du tout : ni site web, ni e-mail, ni même de page d’avertissement à contourner. Cela arrive généralement lorsqu’une clé est renouvelée chez le fournisseur DNS sans que le DS soit mis à jour, ou après le déplacement d’un domaine entre fournisseurs.

InfraNest vérifie chaque domaine pour détecter ce cas et vous alerte dès que cela commence, car rien dans vos propres systèmes ne montrera cette défaillance.

Si vous recevez cette alerte :

1. Comparez l’enregistrement DS chez votre registraire avec la clé que votre fournisseur DNS utilise actuellement pour signer — une divergence en est généralement la cause.
2. Si vous ne pouvez pas corriger cela rapidement, supprimez l’enregistrement DS chez le registraire. Cela désactive DNSSEC et rétablit le domaine pour tout le monde, presque immédiatement. Mieux vaut être non signé qu’invisible.
3. Corrigez la divergence, puis remettez l’enregistrement DS en place.

#N’ajoutez pas vous-même d’enregistrements DNSKEY ou DS

L’éditeur d’enregistrements vous permet de choisir DNSKEY et DS comme types d’enregistrement, mais ce n’est pas ainsi qu’on active DNSSEC :

• Un DNSKEY est généré par votre fournisseur DNS lorsqu’il signe la zone — vous n’en saisissez jamais un vous-même.
• Un enregistrement DS doit se trouver dans la zone au-dessus de la vôtre, au registre. En ajouter un dans votre propre zone ne sert à rien du tout.

InfraNest l’explique à côté du champ si vous choisissez l’un ou l’autre type. Cela ne vous en empêchera pas, car il existe un véritable cas d’usage : déléguer un sous-domaine déjà signé par quelqu’un d’autre. Si ce n’est pas votre cas, utilisez plutôt Configurer DNSSEC à côté de vos serveurs de noms.

#Signification des libellés de statut

Sur la page de zone DNS, à côté des serveurs de noms, vous verrez l’un des libellés suivants :

• DNSSEC activé — signé, et les résolveurs le valident. Rien à faire.
• DNSSEC désactivé — non signé. C’est un choix, pas un défaut.
• DNSSEC en échec — signé, mais la validation échoue, donc le domaine ne se résout pas pour la plupart des gens. Agissez dès maintenant.

WarningUn libellé accompagné d’un astérisque se base sur les enregistrements détenus par InfraNest plutôt que sur une vérification en direct, et peut être décalé par rapport à ce qu’Internet voit réellement.

#Astuces

TipSi vous avez le moindre doute sur le fait que DNSSEC cause un problème, supprimer l’enregistrement DS chez le registraire est la solution rapide et sûre — elle rétablit le domaine immédiatement, et vous pourrez le réajouter une fois le véritable problème résolu.