DNSSEC
DNS Security Extensions : des signatures numériques sur les enregistrements DNS qui permettent aux résolveurs de vérifier qu'une réponse vient du propriétaire de la zone et n'a pas été modifiée.
Ce que cela signifie
Avec DNSSEC, une zone signe ses enregistrements (RRSIG), publie ses clés publiques (DNSKEY) et fait placer un hachage de sa clé (DS) dans la zone parente. Les résolveurs qui valident suivent la chaîne de confiance depuis la racine et rejettent les réponses falsifiées ou modifiées. La RFC 4033 précise qu'il apporte l'authentification de l'origine et l'intégrité, pas la confidentialité.
Pour l'e-mail, c'est le fondement de DANE : les enregistrements TLSA ne comptent que si DNSSEC les valide, et REQUIRETLS accepte un MX signé par DNSSEC comme preuve du bon serveur. Il protège aussi les enregistrements MX, SPF et DKIM contre les réponses DNS usurpées.
L'activer implique votre hébergeur DNS (la signature) et votre registrar (la publication du DS). Une incohérence après un changement d'hébergeur rend le domaine impossible à résoudre pour les résolveurs qui valident : préparez donc les déménagements avec soin.
Termes associés
Sur ce site
Sources
Ce sur quoi repose cette définition. La formulation est la nôtre ; les faits sont les leurs.
- RFC 4033: DNS Security Introduction and Requirementsrfc-editor.org
- ICANN: DNSSEC, what is it and why is it importanticann.org
- Microsoft Learn: How SMTP DANE workslearn.microsoft.com
Les 432 termes du glossaireLe wiki : blacklists et codes de bounce