DNSSEC prüfen
DNSSEC einer Domain prüfen: DNSKEY, DS-Records, Chain-Validierung und Algorithmen-Audit.
Methodik & Funktionsweise
Was wird geprüft?
Prüft, ob eine Domain DNSSEC-signiert ist und ob die Chain bis zum Root validiert werden kann.
Wie funktioniert es?
Über Google DoH (https://dns.google/resolve) werden parallel DNSKEY-, DS- und SOA-Records angefragt. AD-Bit auf der SOA-Response zeigt: validierender Resolver konnte die Chain bis Root verifizieren. DNSKEYs werden auf Algorithmen-Stärke geprüft (deprecated: SHA-1, RSA/MD5; empfohlen: ECDSA P-256 oder Ed25519), DS-Records auf Digest-Typ (SHA-256 oder SHA-384).
Beispiel-Ergebnis
kit.de → signed, validated (AD=1), DNSKEYs: KSK ECDSA P-256, ZSK ECDSA P-256, DS am Parent mit SHA-256 (0 Issues)
Hinweise
DNSSEC ist der Trust-Anchor für MTA-STS und DANE — ohne DNSSEC sind diese Schichten gegen DNS-Spoofing offen.
Was ist DNSSEC?
DNSSEC signiert DNS-Antworten kryptographisch und verhindert Cache Poisoning. Der Checker fragt über Google DNS-over-HTTPS DNSKEY, DS und SOA der Domain ab und prüft, ob das AD-Bit gesetzt ist. Geprüft werden Algorithmen-Stärke (deprecated: RSA/SHA-1; empfohlen: ECDSA P-256 oder Ed25519), DS-Records am Parent und Digest-Typen. DNSSEC ist der Trust-Anchor für MTA-STS, DANE und sicheres E-Mail-Routing.
DNSSEC erfolgreich einsetzen
- 1DS-Record am Parent (Registrar) nicht vergessen.
- 2KSK rotieren: erst neuen DS-Record veröffentlichen, dann alten Key auslaufen.
- 3Algorithmen ECDSA P-256 (Algo 13) oder Ed25519 (Algo 15) bevorzugen.
- 4Bei Provider-Wechsel sorgfältig planen.