DNSSEC uitgelegd en instellen

Als iemand je domeinnaam intypt, vraagt de computer via DNS waar de website staat. Zonder extra beveiliging kan dat antwoord in theorie worden vervalst, waardoor bezoekers ongemerkt op een andere server terechtkomen. DNSSEC voorkomt dat met digitale handtekeningen. Wat DNS is, lees je in DNS-records uitgelegd.

Hoe werkt DNSSEC?

• De DNS-gegevens van je domeinnaam worden digitaal ondertekend.
• Een DS-record bij de registry (via je registrar) verbindt jouw handtekeningen met de bovenliggende zone (bijvoorbeeld .nl).
• DNS-resolvers die DNSSEC controleren, kunnen zo nagaan dat een antwoord echt is.
• Klopt de handtekening niet, dan wordt het antwoord niet gebruikt.

Voor bezoekers merk je er niets van, tenzij er iets misgaat.

Aanzetten

DNS bij je registrarBij veel registrars is DNSSEC een vinkje in het beheerpaneel, of staat het standaard aan. De registrar regelt de sleutels en het DS-record.

DNS bij een andere partij (bijvoorbeeld Cloudflare)

1. Zet DNSSEC aan bij de DNS-dienst.
2. Die geeft je de gegevens voor een DS-record.
3. Voer het DS-record in bij je registrar.
4. Wacht tot het is verwerkt en controleer.

Zie ook Cloudflare instellen.

Controleren

• Gebruik een test zoals de websitetest van internet.nl, die onder meer DNSSEC, HTTPS en andere moderne standaarden controleert.
• Er zijn ook technische DNSSEC-analysetools die de keten van handtekeningen tonen.

Let op bij wijzigingen

• Nameservers wijzigen — Risico: oud DS-record past niet bij nieuwe DNS; Aanpak: eerst DNSSEC uitzetten of DS-record correct overzetten. Zie Nameservers wijzigen
• Registrar wijzigen — Risico: DS-record kan verloren gaan of niet kloppen; Aanpak: controleren na verhuizing
• Sleutelwissel — Risico: verkeerde timing kan fouten geven; Aanpak: meestal automatisch bij de DNS-dienst

Een fout in DNSSEC kan je domeinnaam onbereikbaar maken voor bezoekers met validerende resolvers. Plan wijzigingen daarom zorgvuldig.

Is het nodig?

DNSSEC is een aanbevolen standaard en wordt in Nederland breed ondersteund. Voor de meeste bedrijven is het eenvoudig aan te zetten en verkleint het een risico. Het vervangt geen andere beveiliging, zoals HTTPS en e-mailbeveiliging.

Voorbeeld

Stel: een webshop verhuist de DNS van de registrar naar een CDN-dienst. DNSSEC stond aan bij de registrar. Na de verhuizing melden sommige klanten dat de website niet bereikbaar is. Het oude DS-record verwijst nog naar de sleutels van de registrar. Na het vervangen van het DS-record door dat van de CDN-dienst werkt alles weer, en de test van internet.nl laat DNSSEC als correct zien.

Veelgestelde vragen

Merken bezoekers iets van DNSSEC?

Normaal niet; het werkt op de achtergrond.

Kost DNSSEC geld?

Bij veel registrars en DNS-diensten is het gratis.

Wat is een DS-record?

Een record bij de bovenliggende zone dat naar de sleutel van jouw domeinnaam verwijst, zodat de keten van vertrouwen klopt.

Is DNSSEC hetzelfde als HTTPS?

Nee. DNSSEC beveiligt het DNS-antwoord; HTTPS versleutelt de verbinding met de website.

Wat doe ik als mijn domein na een wijziging onbereikbaar is?

Controleer of het DS-record bij je registrar nog klopt met je huidige DNS-dienst.

Hulp nodig?

Wil je je domeinnaam en DNS goed beveiligd hebben? Bekijk onze dienst domeinen en e-mail.

Ga je je DNS verhuizen naar een andere partij? Zet DNSSEC dan eerst uit of verhuis het volgens de instructies van beide partijen. Een DS-record dat niet meer klopt, maakt je domeinnaam voor veel bezoekers onbereikbaar.