DNSKEY lookup
Bekijk de publieke sleutels van een DNSSEC-zone, met key tag.
Wat doet deze tool?
DNSKEY-records bevatten de publieke sleutels waarmee een met DNSSEC ondertekende zone wordt gecontroleerd. Een resolver gebruikt ze om te zien dat DNS-antwoorden echt zijn en onderweg niet zijn aangepast.
KSK en ZSK
Een zone heeft meestal twee soorten sleutels. De KSK (vlag 257) ondertekent de sleutels zelf en wordt in het DS-record bij de registry vastgelegd. De ZSK (vlag 256) ondertekent de gewone records.
Key tag
Een getal dat uit de sleutel wordt berekend. Daarmee koppelen DS-records en handtekeningen zich aan de juiste sleutel. Wij rekenen het zelf na.
Algoritme
Het type handtekening, zoals ECDSA P-256 (13) of Ed25519 (15). Oudere algoritmen zoals RSA/SHA-1 worden afgeraden; wij geven dat aan.
Zo lees je het resultaat
De meeste domeinen hebben twee soorten sleutels. De KSK (flag 257) ondertekent de sleutels zelf en staat via het DS-record bij het register. De ZSK (flag 256) ondertekent de gewone records. Elke sleutel heeft een key tag, een kort nummer om hem aan te wijzen.
Zie je meer sleutels dan verwacht? Bij een sleutelwissel staan de oude en de nieuwe een tijd naast elkaar. Dat hoort zo.
Veelgestelde vragen
Wat betekent het als er geen DNSKEY-records zijn?
Dan is de zone niet met DNSSEC ondertekend. Dat is niet fout: DNSSEC is een extra beveiliging die je zelf kunt kiezen.
Waarom zie ik meerdere sleutels?
Bij een sleutelwissel staan oude en nieuwe sleutel tijdelijk naast elkaar, zodat de overgang zonder storing verloopt.
Moet ik hier iets mee doen?
Alleen bij een verhuizing of sleutelwissel. Controleer dan met de DS-lookup of het DS-record bij je registrar nog bij deze sleutels past.