DNSSEC inschakelen (en wat te doen als het misgaat)

DNSSEC voegt een digitale handtekening toe aan de DNS-antwoorden van je domein, zodat niemand ze onderweg naar je bezoekers kan vervalsen. Dit artikel is voor iedereen die DNSSEC aan- of uitzet, of het herstelt als het mis is gegaan.

#Overzicht

• DNSSEC is de moeite waard, maar het is de enige DNS-instelling die je domein volledig van het internet kan halen als die verkeerd is ingesteld.
• Het wordt vanuit twee plekken samen geregeld: je DNS-provider en je registrar.
• InfraNest toont de status op de Zone-pagina onder DNS, naast je naamservers — niet in de recordeditor.

#Begrijp de twee plekken waar het wordt ingesteld

Dit is het onderdeel waar bijna iedereen over struikelt.

1. Je DNS-provider ondertekent de zone — die genereert een sleutel en ondertekent elk antwoord dat wordt gegeven.
2. Je registrar publiceert een korte vingerafdruk van die sleutel, een DS-record genoemd, in de zone boven de jouwe (bij het register dat je domeinextensie beheert, zoals .com of .nl).

Geen van beide stappen doet iets op zichzelf. Ondertekenen zonder de DS betekent dat niemand de handtekeningen controleert; een DS hebben zonder ondertekening betekent dat elke controle faalt.

NoteHet DS-record komt niet in je eigen DNS-zone — het is het enige DNS-record dat je niet zelf kunt publiceren. Daarom loopt het via je registrar, en daarom toont InfraNest DNSSEC naast je naamservers in plaats van in de recordeditor.

#DNSSEC inschakelen

1. Open de zone onder DNS.
2. Kies DNSSEC instellen — je vindt dit in het menu Acties, en ook bij Bescherming, waar de adviseur verbeteringen opsomt.
3. InfraNest voert beide stappen voor je uit waar mogelijk: het vraagt je DNS-provider om de zone te ondertekenen en geeft de vingerafdruk daarna door aan je registrar.
4. Controleer het resultaat:
   • Klaar — niets meer te doen; de rest van het internet loopt binnen enkele uren bij.
   • We kunnen de vingerafdruk niet voor je publiceren bij deze registrar — kopieer de getoonde regel en plak die in het eigen controlepaneel van je registrar.
   • Deze provider geeft de sleutel niet af — haal de vingerafdruk op uit het paneel van je provider en voeg die toe bij je registrar.
   • Je provider begint nog met ondertekenen — niets te doen; InfraNest controleert elke twintig minuten opnieuw en publiceert de vingerafdruk zodra deze klaar is.

Als DNSSEC instellen helemaal niet wordt aangeboden, heeft je DNS-provider geen manier om ondertekening aan te zetten via hun koppeling met InfraNest — dit geldt momenteel voor Hetzner en DigitalOcean.

Je kunt het nog steeds handmatig doen: zet ondertekening aan bij je DNS-provider, open vervolgens het domein in InfraNest, kies DNSSEC beheren en voer in wat je provider je heeft gegeven.

#DNSSEC uitschakelen

1. Druk eenmaal op DNSSEC uitzetten.
2. Dit verwijdert eerst de vingerafdruk bij je registrar en laat de zone bewust ondertekend achter — dat is de veilige volgorde. Beide tegelijk doen zou een vingerafdruk achterlaten die wijst naar een sleutel die niets meer ondertekent, en dat is precies wat een domein offline haalt.
3. InfraNest rondt de rest zelf af, ongeveer een dag later, zodra de oude vingerafdruk overal is verlopen. Je hoeft niet terug te komen.

#Sleutel handmatig invoeren

1. Waar InfraNest de vingerafdruk niet voor je kan publiceren, open je DNSSEC beheren op de domeinpagina.
2. Plak de hele regel die je DNS-provider je heeft gegeven in het vak bovenaan, in plaats van elk veld apart in te vullen. Het leest beide vormen:

62949 13 2 FBF66B8D019C1EEC…          een DS
257 3 13 mdsswUyr3DPW132mOi8V…        een sleutel

3. Dit werkt met of zonder het deel example.com. 3600 IN DS ervoor. InfraNest laat je weten wat het heeft begrepen voordat je opslaat — als het de regel niet kan lezen, zegt het dat in plaats van te gokken, want een verkeerd gelezen regel publiceert de verkeerde vingerafdruk, wat erger is dan er geen te publiceren.

#Als DNSSEC misgaat

Een kapotte instelling zorgt er niet voor dat je site er verkeerd uitziet — het laat je domein verdwijnen. Iedereen van wie de resolver DNSSEC controleert, krijgt helemaal geen antwoord: geen website, geen e-mail, geen waarschuwingspagina om doorheen te klikken. Dit gebeurt meestal wanneer een sleutel bij de DNS-provider wordt vervangen zonder dat de DS wordt bijgewerkt, of na het verhuizen van een domein tussen providers.

InfraNest controleert elk domein hierop en waarschuwt je zodra het begint, omdat niets in je eigen systemen dit falen zal laten zien.

Als je die melding krijgt:

1. Controleer het DS-record bij je registrar tegenover de sleutel waarmee je DNS-provider momenteel ondertekent — een mismatch is meestal de oorzaak.
2. Als je het niet snel kunt oplossen, verwijder dan het DS-record bij de registrar. Dat zet DNSSEC uit en brengt het domein voor iedereen bijna direct terug. Beter onondertekend dan onzichtbaar.
3. Los de mismatch op en zet het DS-record daarna terug.

#Voeg geen DNSKEY- of DS-records zelf toe

In de recordeditor kun je DNSKEY en DS als recordtype kiezen, maar geen van beide is de manier om DNSSEC aan te zetten:

• Een DNSKEY wordt gegenereerd door je DNS-provider wanneer die de zone ondertekent — die typ je nooit zelf in.
• Een DS-record hoort in de zone boven de jouwe, bij het register. Eentje toegevoegd aan je eigen zone doet helemaal niets.

InfraNest legt dit uit naast het veld als je een van beide types kiest. Het houdt je niet tegen, want er is één echt gebruik ervoor: het delegeren van een subdomein dat al door iemand anders is ondertekend. Als dat niet is wat je doet, gebruik dan DNSSEC instellen naast je naamservers.

#Wat de statuslabels betekenen

Op de DNS-zonepagina, naast de naamservers, zie je een van de volgende:

• DNSSEC aan — ondertekend, en resolvers valideren het. Niets te doen.
• DNSSEC uit — niet ondertekend. Dit is een keuze, geen fout.
• DNSSEC faalt — ondertekend, maar validatie mislukt, waardoor het domein voor de meeste mensen niet bereikbaar is. Grijp nu in.

WarningEen label met een sterretje is gebaseerd op de records die InfraNest bewaart in plaats van een live controle, en kan afwijken van wat het internet daadwerkelijk ziet.

#Tips

TipAls je ooit twijfelt of DNSSEC een probleem veroorzaakt, is het verwijderen van het DS-record bij de registrar de snelle, veilige oplossing — het domein komt direct terug, en je kunt het later opnieuw toevoegen zodra het echte probleem is opgelost.