Verificador DNSSEC
DNSSEC assina as respostas fornecidas pelo seu domínio, para que um cliente possa saber que elas não foram falsificadas no caminho. Uma configuração incompleta é pior do que nenhuma: uma assinatura quebrada não torna o domínio menos seguro, ela o faz desaparecer. Verifique um domínio que você controla e veja se o DNSSEC está ativado e se é validado.
Watched, not just checked
This is one scan of one layer, run once. In AYAsec the same check runs on a schedule across every asset you own, and you are told the day a grade drops.
O que é DNSSEC, em um parágrafo
As respostas DNS comuns não são assinadas: um resolvedor acredita em tudo o que chega primeiro. DNSSEC adicionaassinaturas para as respostas e uma cadeia de confiança que vai desde a raiz, passando pelo domínio de nível superior, até sua zona. Sua zona publica suas chaves públicas; o pai publica uma impressão digital deles (o registro DS). Um resolvedor de validação percorre essa cadeia e recusa uma resposta que não corresponda.
Cinco razões para verificar seu próprio DNSSEC
01
Veja se o DNSSEC está ativado
Está desativado por padrão na maioria dos provedores e deve serativado em dois locais - o provedor DNS, que assina a zona, e o registrador, que publica o registro DS no pai. Fazer apenas um deles deixa o domínio assinado no papel e desprotegido na prática. Uma verificação externa é a única maneira de ver o resultado de ambos.
02
Uma cadeia quebrada deixa o domínio offline
Esta é a parte que torna o DNSSEC diferente de todos os outros registros desta lista. Se as assinaturas não corresponderem ao registro DS - após uma migração de provedor, uma substituição de chave ou uma alteração de registrador - os resolvedores de validação respondem com um erro, e não com o endereço errado. O domínio para de ser resolvido para todos que estão por trás desse resolvedor, que inclui uma grande parte da Internet, e nada está errado no servidor.
03
Habilitado não é o mesmocomo validação
As chaves podem ser publicadas e as assinaturas podem existir e a cadeia ainda pode ser quebrada em algum lugar. O que conta é se um resolvedor de validação aceita o resultado, e é isso que esta página pergunta.
04
Caminhada na zona ou como o NSEC lista seus nomes
Para provar que um nome não existe, o DNSSEC precisa assinar os espaços entre os nomes que existem. Com o NSEC simples, essa prova nomeia o próximo registro na zona, então qualquer um pode perguntar algumasperguntas e leia a lista completa de nomes. NSEC3 faz hash deles para tornar isso mais difícil. Uma zona que lista seus nomes para quem pede está doando gratuitamente sua estrutura interna.
05
Prova de que o domínio está protegido
As seguradoras e os clientes empresariais perguntam sobre o DNSSEC pelo nome. Um relatório datado mostrando que a cadeia foi validada e quando foi alterada é uma resposta melhor do que uma captura de tela de um painel DNS, e é evidência que você podemanter.
Saiba o dia em que seu DNSSEC muda
DNSSEC é o único conjunto de registros onde uma mudança de rotina pode quebrar tudo: uma migração de provedor, uma transferência de registrador, uma substituição de chave que ninguém programou.
As varreduras agendadas transformam isso em uma diferença que você ouve: essa zona foi assinada na semana passada e não é agora, essa cadeia parou de validar, essa nota caiu. Os alertas chegam no aplicativo, por e-mail ou pelo Slack, Teams, Jira ou umwebhook.
Etapa 01 · Nomeie o domínio
Um domínio que você controla, adicionado à sua conta AYAsec. A propriedade é verificada antes de qualquer coisa ser despachada - AYAsec não agendará verificações em infraestruturas sobre as quais você não demonstrou controle e provando que é necessário um registro DNS. A verificação rápida acima ignora isso: sem conta, sem verificação, apenas limitação de taxa de IP e uma regra de que o alvo deve ser umendereço público.
Etapa 02 · Deixe a verificação rodar
Os dados DNSSEC são públicos, portanto, são lidos em vez de sondados. Ele pede a um resolvedor de validação as chaves e a resposta e analisa o que diz.
Etapa 03 · Leia o resultado
As descobertas chegam ordenadas por gravidade e pontuadas de A+ a F. Uma zona que não é validada e uma zona que é meramente não assinada não estão na mesma lista indiferenciada.
Do que isso faz parte
DNSSEC é um dos várioscoisas que o AYAsec verifica como parte de sua varredura de DNS, juntamente com SPF, DKIM, DMARC, MTA-STS e TLS-RPT, e configuração do servidor de nomes e integridade do registro. É uma digitalização e esta página é sobre uma parte do que é visualizado.
O DNS carrega 20% da nota composta. Os outros são HTTP com 30%, TLS eportas com 20% cada e credibilidade do domínio com 10%. Todos eles juntos são o que gerenciamento de superfície de ataque significa na prática.
Perguntas antes de verificar
O que posso verificar?
Infraestrutura que você possui ou foi contratada para testar. A verificação rápida acima não verifica isso para você - ela apenas limita a taxa por IP e se recusa a direcionar qualquer coisa que não seja um endereço público. Em vez disso, adicione o domínio a uma conta AYAsec e o controle será verificado antes que qualquer coisa programada seja executada: um limite legal e prático, já que uma verificação não verificada também não tem utilidade para você como prova.
Os dados DNSSEC são públicos. Por que isso precisaverificação?
Os dados são públicos e o cheque é somente leitura, portanto o cheque em si é inofensivo. A verificação trata do que acontece a seguir: um domínio em sua conta AYAsec é monitorado, avaliado e mantido em seu histórico, e nada disso deveria ser possível para um domínio que não é seu.
O DNSSEC criptografa alguma coisa?
Não. Isso prova que uma resposta é genuína; não o esconde. Criptografar o tráfego entre um cliente e um resolvedor é uma tarefacoisa diferente.
Vale a pena correr o risco de quebrar o domínio no DNSSEC?
Para a maioria dos domínios, sim, desde que esteja ligado e monitorado. O risco é real, mas restrito: ocorre nos momentos em que as chaves ou os provedores mudam. Uma verificação agendada é o que transforma “esperamos que a rede esteja bem” em um aviso no dia em que não estiver.
Meu provedor assina a zona para mim. Eu terminei?
Não até que o registrador publique o registro DS correspondente. Uma zona sinalizada semO DS no pai não é validado por ninguém.
Você mantém os resultados?
Não a verificação rápida acima - ela permanece na memória por cerca de quinze minutos, então você pode lê-la uma vez e depois desaparece. Essa é uma escolha deliberada de privacidade, não uma limitação: ninguém além de você vê essa verificação e você pode baixar o resultado completo antes que expire. Adicione o domínio a uma conta AYAsec e cada verificação será mantida - uma série que informa qual edição o quebrou. A retenção depende do seu plano.
Mantenha o histórico, não apenas oresultado
Execute a verificação completa de DNS em seus próprios domínios, de acordo com uma programação, com cada alteração sinalizada para quem precisar vê-la.
Dados estruturados para incorporar
{
"@context": "https://schema.org",
"@type": "SoftwareApplication",
"name": "AYAsec DNSSEC Checker",
"applicationCategory": "SecurityApplication",
"operatingSystem": "Web browser",
"url": "https://ayasec.ai/dnssec-checker/",
"offers": { "@type": "Offer", "price": "0", "priceCurrency": "EUR" }
}Não adicione a marcação FAQPage ou HowTo. O Google retirou ambos os tipos de resultados.