Racine
Le sommet de l'arbre DNS. Les serveurs racine aident les résolveurs à trouver le bon TLD.
INFRASTRUCTURE ET SÉCURITÉ DU DOMAINE
DNS & DNSSEC
Comprenez comment votre domaine se connecte et comment DNSSEC aide à le protéger
DNS connecte votre nom de domaine aux sites Web, à la messagerie électronique et aux services en ligne. DNSSEC ajoute une validation cryptographique qui aide les utilisateurs et les résolveurs à faire confiance aux informations DNS qu'ils reçoivent.
Fondation
Qu'est-ce que DNS ?
DNS signifie système de noms de domaine. Il traduit les noms de domaine lisibles par l'homme tels que example.com en informations que les ordinateurs peuvent utiliser, telles que 93.184.216.34.
Considérez le domaine comme l'adresse dont les gens se souviennent, l'adresse IP comme l'adresse utilisée par les ordinateurs et DNS comme le système qui les connecte.
Nom de domaine example.com Facile à retenir pour les gens.
DNS Système de recherche Recherche où le domaine doit pointer.
Adresse IP 93.184.216.34 Aide les appareils à localiser le serveur.
Résolution
Comment fonctionne DNS
Que se passe-t-il une fois que quelqu'un a saisi votre domaine dans un navigateur ?
01
Utilisateur
Quelqu'un saisit example.com dans un navigateur ou une application.
02
Résolveur récursif
Le résolveur récursif démarre la recherche si la réponse n'est pas déjà mise en cache.
03
Serveurs racine
La racine DNS pointe le résolveur vers le domaine de premier niveau correct.
04
TLD Serveurs
La zone TLD dirige le résolveur vers le serveurs de noms faisant autorité du domaine.
05
Faisant autorité DNS
Les serveurs faisant autorité détiennent les enregistrements publiés du domaine et renvoient la réponse.
06
Données IP/Services
Le résolveur reçoit l'adresse IP ou tout autre enregistrement nécessaire à la demande.
07
Site Web/Service
Le client utilise cette réponse pour accéder au site Web, au système de messagerie ou à un autre service.
Structure
DNS est une hiérarchie globale
DNS est organisé sous forme d'arborescence, de la racine jusqu'à la zone faisant autorité de votre domaine.
Racine (.)
.COM
.AM
.GE
Faisant autorité serveurs de noms
example.com
TLD
Les domaines de premier niveau tels que .com, .am ou .ge gèrent les délégations pour leurs espaces de noms.
Faisant autorité
Les serveurs faisant autorité publient les enregistrements qui définissent où pointe votre domaine.
Récursif
Les résolveurs récursifs parcourent la hiérarchie au nom des utilisateurs et mettent en cache les réponses.
Types d'enregistrements
Les éléments constitutifs du DNS
Ces enregistrements indiquent à Internet comment votre domaine doit se connecter aux services.
Adresse IPv4
Mappe un nom d’hôte à une adresse IPv4.
example.com → 93.184.216.34
Adresse IPv6
Mappe un nom d’hôte à une adresse IPv6.
example.com → 2606:2800:220:1:248:1893:25c8:1946
Nom canonique
Crée un alias d'un nom d'hôte vers un autre nom d'hôte.
www.example.com → example.com
Échange de courrier
Dirige le courrier électronique du domaine vers les serveurs de messagerie.
example.com → mail.example.com
Données texte
Publie les politiques de vérification, SPF, DKIM et autres textes.
v=spf1 include:_spf.example.com ~all
Serveur de noms
Délégue la zone à l'autorité serveurs de noms.
example.com → ns1.example.net
Impact
DNS Pouvoir plus que votre site Web
DNS est la couche de routage qui permet aux personnes et aux systèmes de trouver votre présence en ligne.
Site Web
Les enregistrements A et AAAA (et associés) décident quels serveurs répondent pour votre site.
Courriel
Les enregistrements MX et TXT pris en charge guident la livraison du courrier et les contrôles d'authentification.
Prestations
APIs, les CDN, les jetons de vérification et les outils SaaS dépendent souvent des entrées DNS.
Infrastructure de domaine
Les enregistrements NS et les données de zone définissent qui publie les réponses faisant autorité pour le domaine.
Extensions de sécurité
Qu'est-ce que DNSSEC ?
DNSSEC (Domain Name System Security Extensions) ajoute des signatures cryptographiques aux données DNS afin qu'un résolveur de validation puisse vérifier que les réponses sont authentiques et n'ont pas été falsifiées.
Sans DNSSEC
- Les réponses DNS peuvent être recherchées, mais pas validées cryptographiquement
- Une réponse falsifiée peut ressembler à une réponse normale
- La confiance repose principalement sur le chemin réseau et le comportement de la mise en cache
Avec DNSSEC
- Signé DNS les données peuvent être validées
- Les signatures invalides peuvent être rejetées
- Une chaîne de liens de confiance racine → TLD → domaine
Précision
DNSSEC ne remplace pas DNS
DNS + DNSSEC = DNS avec validation
DNS publie et résout toujours les enregistrements. DNSSEC ajoute une couche de vérification en plus de ces données.
Qu'est-ce que DNSSEC
Un moyen d'aider à valider les résolveurs et de confirmer que les réponses DNS correspondent aux données de zone signées dans la chaîne de confiance.
Ce qu'il ne faut pas supposer
DNSSEC ne crypte pas le trafic du site Web, ne remplace pas HTTPS/TLS, ne masque pas les adresses IP et ne rend pas DNS privé.
Comparaison
DNS contre DNSSEC
DNS trouve la réponse. DNSSEC permet de vérifier la réponse.
DNS
- Résout les noms en enregistrements
- Connecte les domaines aux sites, à la messagerie et aux services
- Ne valide pas cryptographiquement les réponses par lui-même
DNSSEC
- Signe les données DNS avec des clés cryptographiques
- Permet de valider les résolveurs pour vérifier l'authenticité
- Aide à détecter les réponses signées falsifiées ou falsifiées
Chemin de validation
Comment DNSSEC crée la confiance
Un résolveur de validation prenant en charge DNSSEC vérifie les signatures tout au long de la chaîne de confiance avant d'accepter une réponse.
01
Requête
Un client demande des données DNS pour un domaine signé.
02
Résolveur validant
Un résolveur récursif prenant en charge DNSSEC demande des réponses et les signatures associées.
03
Réponse signée
La zone faisant autorité renvoie les enregistrements ainsi que les signatures RRSIG.
04
DNSKEY
Le résolveur obtient les clés publiques de la zone publiées sous forme d’enregistrements DNSKEY.
05
DS chez Parent
Un enregistrement DS dans la zone parent relie la clé enfant à la hiérarchie.
06
Contrôle de la chaîne
La validation se poursuit vers le haut jusqu'à TLD et les ancres de confiance racine si nécessaire.
07
Vérifier la signature
Le résolveur de validation vérifie que les signatures correspondent aux données renvoyées.
08
Accepter ou rejeter
Les réponses valides sont acceptées ; un échec de validation peut entraîner le rejet de la réponse.
Modèle de confiance
La chaîne de confiance DNSSEC
Chaque lien authentifie le suivant, de la racine jusqu'aux données signées de votre domaine.
DNSKEY racine Ancre de confiance
DS Pointe vers TLD
TLD DNSKEY Clé de zone parent
DS Pointe vers le domaine
Domaine DNSKEY Clé de zone enfant
RRSIG Enregistrements de signes
Validé Réponse fiable
DNSSEC Enregistrements
Enregistrements DNSSEC importants
Ces enregistrements rendent possible la validation cryptographique.
Clé publique de zone
Publie la clé publique utilisée pour vérifier les signatures d'une zone signée.
example.com DNSKEY …
Signataire de la délégation
Publié dans la zone parent pour lier en toute sécurité un DNSKEY enfant à la chaîne.
example.com DS 2371 13 2 5A8F…
Ensemble de signatures
Porte la signature cryptographique couvrant un ensemble d'enregistrements DNS.
example.com RRSIG A …
Comment ils se connectent
DNSKEY signe les données de zone via RRSIG. DS chez le parent authentifie la DNSKEY enfant. Ensemble, ils forment le chemin de validation.
Pourquoi c'est important
Pourquoi DNSSEC est important
DNSSEC aide à protéger, détecter et prévenir certaines classes d'attaques d'intégrité DNS — ce n'est pas une solution de sécurité complète en soi.
Usurpation
Aide à détecter les fausses réponses DNS qui échouent aux vérifications de signature dans un résolveur de validation.
Empoisonnement du cache
Permet d'éviter d'accepter des entrées de cache empoisonnées lorsque la validation échoue pour les données signées.
Données falsifiées
Aide à détecter les enregistrements DNS modifiés qui ne correspondent plus à leurs signatures cryptographiques.
Redirection de domaine
Aide à protéger les utilisateurs contre la redirection silencieuse via de fausses destinations DNS.
Contrôle d'intégrité
Que se passe-t-il lorsque DNS est attaqué
Une vue simple de la façon dont la validation modifie le résultat d’une fausse réponse.
Sans DNSSEC
Fausse réponse acceptée
Un attaquant injecte une fausse réponse DNS. Sans signatures à vérifier, un résolveur peut accepter la fausse réponse et envoyer les utilisateurs vers la mauvaise destination.
Aucune validation cryptographique de la réponse DNS
Avec DNSSEC
Invalide rejeté / valide accepté
Un résolveur de validation vérifie les signatures. Les réponses invalides ou falsifiées peuvent être rejetées ; les réponses correctement signées peuvent être acceptées avec une plus grande confiance.
Vérification de la signature avant de faire confiance à la réponse
Calques
DNSSEC et HTTPS protègent différentes choses
Ils sécurisent différentes couches. Ensemble, ils sont plus forts.
DNS intégrité de la réponse
Aide à valider les résolveurs pour confirmer que les enregistrements DNS sont authentiques et non falsifiés.
Sécurité de la connexion
Chiffre et authentifie la connexion entre un client et un serveur Web.
DNSSEC ne remplace pas TLS
Utilisez DNSSEC pour renforcer la confiance DNS lorsqu'elle est prise en charge, et HTTPS pour protéger les sessions du site Web. L'un ne remplace pas l'autre.
Limites honnêtes
Ce que DNSSEC protège – et ne protège pas
Des limites claires renforcent la confiance. DNSSEC est puissant au sein de la couche DNS – et seulement là.
DNSSEC aide
- Valider DNS réponses
- Détecter les données DNS signées modifiées
- Établir une chaîne de confiance
- Réduire certains risques d'usurpation d'identité
DNSSEC ne signifie pas
- Crypter le trafic du site Web
- Remplacer HTTPS
- Protéger les mots de passe faibles
- Code d'application sécurisé
- Prévenir toute cyberattaque
GlobalR
Gérer DNSSEC Avec GlobalR
Pour les domaines pris en charge, GlobalR vous permet de gérer les enregistrements DS DNSSEC dans l'interface de gestion de domaine. La disponibilité dépend de l'extension de domaine et du support registre.
Votre fournisseur DNS signe généralement la zone et fournit les détails DS. Vous configurez ces valeurs DS dans GlobalR afin que le parent registre puisse les publier. GlobalR n'invente pas la génération automatique de clés sur cette page.
Aperçu
DNSSEC Enregistrements
Serveurs de noms
Aperçu illustratif – pas de statut de domaine en direct.
| Champ | Enregistrement DS n°1 | |
|---|---|---|
| Étiquette de clé | 2371 | |
| Algorithme | 13 | |
| Type de résumé | 2 | |
| Résumé | 5A8F… | Modifier |
Enregistrement DS #2 Ajouter DNSSEC Enregistrement
Enregistrer les modifications
Flexibilité
Prise en charge de plusieurs enregistrements DS
Certaines configurations DNSSEC utilisent plusieurs enregistrements DS — par exemple lors de changements de clé ou en fonction de la configuration registre.
DOMAINE DNSSEC
├── Enregistrement DS 1 ├── Enregistrement DS 2 └── Enregistrement DS 3
Activation
Comment fonctionne généralement la configuration DNSSEC
Les étapes exactes varient selon le fournisseur d'hébergement DNS, registre et TLD.
01
DNS Fournisseur
Signe la zone DNS et prépare le matériel DNSSEC.
02
Informations DS
Fournit les détails DS / DNSSEC nécessaires au parent.
03
GlobalR
Enregistrement DS configuré pour un domaine pris en charge.
04
Registre
La zone parent publie les informations DS.
05
Résolveur validant
Peut valider la chaîne de confiance pour les réponses signées.
Fournisseur et écart TLD
Les flux de travail diffèrent entre les hôtes DNS et registres. La disponibilité DNSSEC dépend de l'extension de domaine et du support registre — GlobalR ne promet pas DNSSEC pour chaque extension.
Cas d'utilisation
À qui profite le DNSSEC ?
DNSSEC est particulièrement utile partout où de fausses réponses DNS pourraient causer de graves dommages à la confiance ou à la marque.
Sites Web d'entreprise
Ajoutez une autre couche de confiance DNS pour les domaines de l'entreprise.
Financier/commerce
Utile lorsque l'intégrité du domaine est très importante pour les transactions et les comptes.
Portails clients
Aide à protéger la confiance DNS autour des noms d’hôte de connexion et de service de compte.
Domaines de messagerie
Peut contribuer à une posture de sécurité DNS plus forte. L'activation de DNSSEC seule ne sécurise pas le contenu des e-mails.
Domaines critiques pour la marque
Aide à réduire les risques associés aux fausses réponses DNS pour les marques de grande valeur.
Services publics
Utile pour les domaines où l'authenticité de la destination est particulièrement importante.
Statut illustratif
Aperçu de la sécurité des domaines
Exemple de panneau uniquement – pas de surveillance en direct d'un domaine réel.
Sécurité du domaine
example.com
DNS Quantity Actif
serveurs de noms gir Connecté
DNSSEC Quantity Activé
Enregistrements DS 2
Chaîne de confiance ✓ Valide
Dernier contrôle Récemment
FAQ
Foire aux questions
Réponses courtes sur DNS, DNSSEC et la gestion des enregistrements DS avec GlobalR.
Qu'est-ce que DNS ?
DNS (Domain Name System) traduit les noms de domaine lisibles par l'homme tels que example.com en réponses utilisables par machine comme les adresses IP, les serveurs de messagerie et autres enregistrements de service.
Pourquoi mon domaine a-t-il besoin de DNS ?
Sans DNS, les navigateurs et les applications ne peuvent pas rechercher où votre domaine doit pointer. DNS connecte votre domaine aux sites Web, à la messagerie électronique et à d'autres services en ligne.
Qu'est-ce qu'un enregistrement DNS ?
Un enregistrement DNS est une instruction publiée pour un domaine, tel que A, AAAA, CNAME, MX, TXT ou NS, qui indique aux résolveurs comment trouver un service ou un nom associé.
Quelle est la différence entre les enregistrements A et CNAME ?
Un enregistrement A mappe un nom directement à une adresse IPv4. Un CNAME mappe un nom à un autre nom d'hôte, qui est ensuite résolu davantage.
Qu'est-ce que DNSSEC ?
DNSSEC (Domain Name System Security Extensions) ajoute des signatures cryptographiques afin que les résolveurs de validation puissent vérifier que les réponses DNS sont authentiques et n'ont pas été falsifiées pendant le transport.
Est-ce que DNSSEC remplace DNS ?
Non. DNSSEC étend DNS avec validation. Vous avez toujours besoin de DNS pour publier et résoudre les enregistrements ; DNSSEC aide à confirmer que ces réponses sont dignes de confiance.
Est-ce que DNSSEC chiffre le trafic DNS ?
Non. DNSSEC signe DNS données pour l'authenticité et l'intégrité. Il ne crypte pas les DNS requêtes ni le trafic du site Web.
Est-ce que DNSSEC remplace HTTPS ?
Non. DNSSEC permet de valider les réponses DNS. HTTPS/TLS crypte et authentifie la connexion à un serveur Web. Ils protègent différentes couches et fonctionnent mieux ensemble.
Qu'est-ce qu'un enregistrement DS ?
Un enregistrement DS (Delegation Signer) est publié dans la zone parent. Il relie la DNSKEY d'un domaine enfant à la chaîne de confiance DNSSEC.
Qu’est-ce que DNSKEY ?
Un enregistrement DNSKEY publie une clé publique utilisée dans une zone signée DNSSEC afin que les résolveurs puissent vérifier les signatures des données de cette zone.
Qu’est-ce que le RRSIG ?
Un enregistrement RRSIG est une signature cryptographique qui couvre un ensemble d'enregistrements DNS (un RRset), permettant à un résolveur de validation de vérifier que les données correspondent aux clés de la zone.
Qu'est-ce que la chaîne de confiance DNSSEC ?
La chaîne de confiance est le chemin lié des clés et des enregistrements DS depuis la racine DNS jusqu'à votre domaine en passant par TLDs, permettant à un résolveur de validation de prouver que les réponses sont authentiques.
Chaque domaine peut-il utiliser DNSSEC ?
La disponibilité DNSSEC dépend de l'extension de domaine et du support registre. Votre fournisseur DNS et votre flux de travail bureau d’enregistrement doivent également prendre en charge la signature et la publication DS.
Puis-je configurer plusieurs enregistrements DS ?
Oui. Certaines configurations utilisent plusieurs enregistrements DS, par exemple lors de modifications clés ou en fonction des exigences registre. GlobalR prend en charge la gestion de plusieurs enregistrements DS lorsque DNSSEC est disponible.
Comment gérer DNSSEC en GlobalR ?
Pour les domaines pris en charge, connectez-vous à votre compte GlobalR, ouvrez les paramètres DNSSEC du domaine et configurez les détails de l'enregistrement DS fournis par votre fournisseur DNS. La disponibilité DNSSEC dépend de l'extension de domaine et du support registre.
Étape suivante
Donnez à votre domaine une fondation DNS plus solide
Comprenez votre configuration DNS, gérez votre infrastructure de domaine et ajoutez la validation DNSSEC si elle est prise en charge.
La disponibilité DNSSEC dépend de l'extension de domaine et du support registre.