NSEC3PARAM lookup
Bekijk de NSEC3-instellingen van een zone: iteraties en salt.
Wat doet deze tool?
Het NSEC3PARAM-record bevat de instellingen die een zone gebruikt voor NSEC3, de manier om met DNSSEC te bewijzen dat een naam niet bestaat zonder alle namen prijs te geven.
Hashalgoritme
NSEC3 versleutelt namen met een hashfunctie. Op dit moment bestaat alleen SHA-1 (1) voor dit doel.
Iteraties
Hoe vaak de hash wordt herhaald. RFC 9276 adviseert 0: meer iteraties maken resolvers trager en geven geen echte extra bescherming.
Salt
Een extra waarde die in de hash wordt meegenomen. Ook hier adviseert RFC 9276 om geen salt te gebruiken.
Zo lees je het resultaat
Je ziet het hashalgoritme (1 is SHA-1), de vlaggen, het aantal extra iteraties en de salt. De aanbeveling is tegenwoordig 0 iteraties en geen salt: meer iteraties maken de server trager, maar de zone niet echt veiliger.
Is er geen record, dan gebruikt het domein gewone NSEC of helemaal geen DNSSEC. Controleer dat met de DNSSEC-check.
Veelgestelde vragen
Moet ik de waarden aanpassen?
Dat doet je DNS-beheerder of dienstverlener. Wij geven alleen aan als de waarden afwijken van het huidige advies.
Wat betekent opt-out?
Dan hoeven delegaties zonder DNSSEC niet in de NSEC3-keten. Dat komt vooral voor bij grote zones met veel niet-ondertekende domeinnamen.
Waarom vind ik geen record?
De zone gebruikt dan geen NSEC3, of is niet met DNSSEC ondertekend.