DNSSEC — signer sa zone, et ce que ça change vraiment

DNSSEC empêche qu’un résolveur accepte une fausse réponse DNS pour votre domaine. Son activation est simple, sa mauvaise configuration rend le domaine totalement injoignable.

Ce que DNSSEC protège

Le DNS classique n’a aucune authentification : une réponse est acceptée parce qu’elle arrive, pas parce qu’elle est prouvée. Un attaquant capable d’injecter une réponse dans un résolveur peut faire pointer votre domaine vers son propre serveur — site, messagerie, tout.

DNSSEC signe cryptographiquement les réponses de votre zone. Un résolveur validant refuse une réponse dont la signature ne correspond pas.

Ce que DNSSEC ne protège pas

DNSSEC ne chiffre rien. Les requêtes DNS restent visibles en clair sur le réseau. Il n’authentifie pas non plus le contenu de votre site — c’est le rôle du certificat TLS.

Il ne protège que contre une chose : qu’on vous fasse répondre autre chose que ce que vous avez publié.

Comment savoir si c’est actif

Un résolveur validant positionne le drapeau AD (Authenticated Data) dans sa réponse. C’est ce que Silently observe. L’absence de ce drapeau signifie que le résolveur n’a pas pu valider — soit parce que la zone n’est pas signée, soit parce que la chaîne de confiance est cassée.

Le vrai risque : une chaîne cassée

C’est le point à comprendre avant d’activer.

Quand DNSSEC est mal configuré — clé changée sans mettre à jour l’enregistrement DS chez le registre, migration de fournisseur DNS sans désactiver la signature au préalable — le résultat n’est pas une dégradation. C’est une panne totale : les résolveurs validants, dont ceux de Google, Cloudflare et de nombreux fournisseurs d’accès, refusent toute réponse pour votre domaine. Site inaccessible, e-mails non remis, et un diagnostic difficile parce que le domaine continue de fonctionner chez les résolveurs non validants.

La règle absolue lors d’un changement de fournisseur DNS : désactiver DNSSEC, attendre l’expiration des durées de cache, migrer, puis réactiver.

En pratique

Chez la plupart des bureaux d’enregistrement — OVHcloud, Gandi, Cloudflare — l’activation tient en un bouton, à condition que le DNS soit hébergé chez le même acteur. Le bureau d’enregistrement génère les clés, signe la zone et publie l’enregistrement DS auprès du registre.

Si votre DNS est ailleurs que votre bureau d’enregistrement, l’opération devient manuelle : il faut récupérer l’empreinte DS chez l’hébergeur DNS et la saisir chez le bureau d’enregistrement. C’est là que les erreurs arrivent.