Résultats de la validation DNSSEC et étapes de dépannage

Résultats de validation DNSSEC et conseils de dépannage

Après avoir ajouté un moniteur de serveur DNS, vous pouvez valider vos réponses DNS en activant les extensions de sécurité du système des noms de domaines (DNSSEC, Domain Name System Security Extensions). DNSSEC est un ensemble de protocoles qui renforcent la sécurité des processus d'échange et de recherche DNS en signant numériquement les données afin de garantir leur validité. Vos enregistrements DNSKEY sont authentifiés via une chaîne de confiance avec un ensemble de clés publiques vérifiées pour la zone racine DNS. Vous pouvez activer DNSSEC en réglant l'interrupteur sur « Oui » sur la page DNS Ajouter un moniteur.


Que faire en cas d'échec de validation ?
Si la validation DNSSEC échoue, l'état du moniteur DNS affiche une alerte Problème. Un message d'erreur décrivant la raison de l'échec de validation s'affiche également sur la page de détails. Le message d'échec de validation indique généralement les raisons suivantes :


  1. "La zone DNS <example.com> n'est pas protégée par DNSSEC."

    Méthode de dépannage:  Vérifiez si votre zone DNS a été configurée avec DNSSEC ou non.

  2. "La validation DNSSEC a échoué. Impossible d'établir une chaîne de confiance des clés pour <example.com>. Raison : Aucune correspondance entre DS et DNSKEY."

    Méthode de dépannage:  Vérifiez que l'enregistrement du signataire de délégation (DS, Delegation Signer) pour votre domaine dans le domaine de premier niveau (TLD, Top-Level Domain) et votre KSK publique de zone sont identiques.

  3. "La validation DNSSEC a échoué. L'enregistrement NSEC/NSEC3 renvoie une réponse NODATA dans la zone protégée par DNSSEC."

    Méthode de dépannage:  Assurez-vous que votre zone dispose d'une signature DNSSEC (RRSig).

  4. "La validation DNSSEC a échoué. La demande de résolveur renvoie une réponse INSECURE lors d'une validation. Raison : Aucun enregistrement NSEC/NSEC3 n'a été trouvé après la demande de l'enregistrement exemple.com/DS dans la zone parent."

    Méthode de dépannage:  Vérifiez que votre domaine de premier niveau (TLD) dispose d'un enregistrement du signataire de délégation (DS) pour votre zone.
Sur le même sujet, lire: