DS lookup
Bekijk het DS-record bij de registry en of het bij de sleutels van de zone past.
Wat doet deze tool?
Het DS-record (delegation signer) staat niet bij jou, maar bij de registry van je extensie, zoals SIDN voor .nl. Het bevat een vingerafdruk van de sleutel van je zone en vormt de schakel in de keten van vertrouwen.
We vergelijken ze
Naast het DS-record halen we de sleutels van de zone op en rekenen we de vingerafdruk zelf uit. Zo zie je of DS-record en sleutel bij elkaar horen.
Meest gemaakte fout
Na een verhuizing naar andere nameservers klopt het DS-record niet meer. Resolvers die DNSSEC controleren zien je domeinnaam dan als onbetrouwbaar en geven geen antwoord meer.
Digest
De vingerafdruk wordt berekend met een hashfunctie. SHA-256 (type 2) is de gangbare keuze; SHA-1 (type 1) is verouderd.
Zo lees je het resultaat
Het DS-record staat bij het register van de extensie, niet bij je eigen nameservers. Het bevat de key tag, het algoritme en een vingerafdruk van de KSK. We vergelijken die met de sleutels die het domein zelf publiceert.
Past het DS-record bij geen enkele sleutel, dan is de DNSSEC-keten gebroken. Dat gebeurt vaak na een verhuizing waarbij het oude DS-record is blijven staan.
Veelgestelde vragen
Waar pas ik het DS-record aan?
Bij je registrar, dus de partij waar de domeinnaam is geregistreerd. Die geeft het door aan de registry.
Wat doe ik bij een verhuizing van nameservers?
Zet DNSSEC eerst uit of werk het DS-record bij naar de sleutels van de nieuwe nameservers, voordat je de nameservers wijzigt.
Er is geen DS-record. Is dat erg?
Nee, dan is DNSSEC voor deze domeinnaam gewoon niet actief. Het is alleen een probleem als de zone wel is ondertekend maar het DS-record ontbreekt: dan werkt de beveiliging niet.