Ergebnis
So funktioniert die Vertrauenskette
Die Zone Ihrer Domain wird mit einem Schlüssel signiert (DNSKEY). Damit Resolver diesem Schlüssel vertrauen, hinterlegt der Registrar einen Fingerabdruck davon – den DS-Eintrag – bei der Registry der Endung, also etwa bei der DENIC für .de. Die Registry ist ihrerseits von der Root-Zone bestätigt. Passen DS und DNSKEY zusammen, ist die Kette geschlossen.
Gefährlich ist ein Bruch der Kette, zum Beispiel nach einem Providerwechsel mit altem DS-Eintrag. Dann verwerfen validierende Resolver die Antworten, und die Domain ist für einen großen Teil des Internets nicht mehr erreichbar. Diesen Fall erkennen wir und melden ihn als Fehler.
Häufige Fragen
Brauche ich DNSSEC?
DNSSEC ist nicht Pflicht, erhöht aber die Sicherheit spürbar – etwa gegen umgeleitete Mails oder gefälschte Webseiten. Es ist zudem Voraussetzung für Verfahren wie DANE.
Was bedeuten KSK und ZSK?
Der Key Signing Key (KSK, Flag 257) signiert nur die Schlüssel der Zone und ist über den DS-Eintrag verankert. Der Zone Signing Key (ZSK, Flag 256) signiert die eigentlichen Einträge.
Domains und DNS in guten Händen
Die 1blu business GmbH betreut Domains, DNS und Mailserver für Unternehmen, Agenturen und Reseller – mit festen Ansprechpartnern statt Callcenter.