Was ist DNSSEC?
DNSSEC ist eine digitale Signatur für die DNS-Daten Ihrer Domain. Das DNS teilt Computern mit, wo sich Ihre Website und Ihre E-Mail befinden. Ohne DNSSEC könnte theoretisch jemand eine falsche Antwort geben und so Besucher oder E-Mails heimlich zu einem anderen Server umleiten. Mit DNSSEC prüft der Computer des Besuchers, ob die Antwort tatsächlich von Ihren Nameservern stammt.
Wie funktioniert das, einfach erklärt?
- Ihre Nameserver setzen unter jede Antwort eine Signatur. Dafür verwenden sie einen geheimen Schlüssel. Der dazugehörige öffentliche Schlüssel steht in Ihrem DNS (der DNSKEY-Eintrag).
- Bei der Registry Ihrer Endung, wie SIDN für .nl, steht ein Fingerabdruck dieses Schlüssels: der DS-Eintrag. So weiss jeder, welcher Schlüssel zu Ihrer Domain gehört.
- Die Registry selbst ist ebenfalls signiert, bis hin zur Spitze des Internets. So entsteht eine Vertrauenskette.
- Viele Internetanbieter und öffentliche DNS-Dienste (wie die von Google und Cloudflare) prüfen diese Kette bei jeder Antwort. Stimmt die Signatur, läuft alles ganz normal weiter. Der Besucher merkt davon nichts.
Was kann schiefgehen?
Wenn der Fingerabdruck bei der Registry nicht mehr zum Schlüssel Ihrer Nameserver passt, lehnen prüfende Anbieter jede Antwort ab. Ihre Website und E-Mail sind dann für einen grossen Teil des Internets nicht erreichbar, während es für andere noch funktioniert. Das macht es schwer, das Problem zu erkennen.
Das passiert fast immer nach einem Umzug oder einem Wechsel der Nameserver: Der alte Fingerabdruck bleibt bei der Registry stehen, aber die neuen Nameserver verwenden einen anderen Schlüssel. Lesen Sie deshalb vor dem Umzug DNSSEC und Umzug: erst ausschalten oder den Schlüssel mitnehmen.
DNSSEC bei WebOké
- Verwenden Sie die Nameserver von WebOké, signieren wir Ihr DNS automatisch. Sie aktivieren DNSSEC mit einem Klick, siehe DNSSEC aktivieren.
- Ob die Schlüssel stimmen, sehen Sie in Mein WebOké auf der Domainseite. Sehen Sie bei Domain / E-Mail-Gesundheit einen roten Punkt bei DNSSEC, beheben Sie das mit der Schaltfläche Schlüssel bei der Registry aktualisieren.
- DNSSEC wird auch für DANE benötigt, womit Ihre E-Mail zusätzlich abgesichert wird, sowie für eine Bewertung von 100% auf internet.nl.
Ausführliche Erklärung mit Bildschirmfotos: DNSSEC und DANE im WebOké-Handbuch.
Vielleicht interessant zu lesen: Die Geschichte des Domainnamens