Как проверяется цепочка DNSSEC

Владелец зоны публикует DNSKEY и подписанные наборы записей RRSIG. Родительская зона хранит DS, который связывает делегацию с ключом дочерней зоны. Валидирующий резолвер проверяет эту цепочку от доверенного корня к ответу.

Когда подпись отсутствует, истекла или не сходится с DS/DNSKEY, валидатор может пометить ответ как bogus и не выдать его приложению. Ошибка в ротации ключа или публикации DS поэтому способна нарушить разрешение имен, хотя сами A/AAAA-записи выглядят верными.

Проверяйте всю цепь. Сбой DS или RRSIG на одном участке может сделать ответ невалидным, даже если сама A-запись составлена правильно.

Ключи и подписи имеют сроки и правила обновления. При смене DNS-поставщика заранее спланируйте обновление DS у родителя и проверку нового DNSKEY, чтобы не прервать цепочку доверия.

Проверку обычно выполняет валидирующий резолвер, а не браузер. Клиент получает обработанный ответ и не должен считать обычный DNS-флаг доказательством безопасности без понимания используемого resolver.

Подписи проверяются отдельно. Валидирующий resolver строит цепочку от trust anchor до записи; при неудаче он не должен выдавать неподтвержденный ответ как достоверный.

Что DNSSEC защищает и чего не делает

RFC 9364 описывает DNSSEC как способ origin authentication данных DNS. Механизм проверяет, что подписанные сведения соответствуют владельцу зоны и не были незаметно изменены по пути. Это не подтверждает, что сайт безопасен или что владелец не направил имя на нежелательный адрес.

DNSSEC не обеспечивает конфиденциальность: запросы остаются читаемыми для участников пути. Для шифрования канала применяют DoH или DoT, но это другой слой. DNSSEC также не гарантирует доступность резолвера и не предотвращает DDoS.

Что проверить при ошибке

Сверьте DNSKEY, RRSIG, DS у регистратора и ответ валидирующего резолвера. Не удаляйте DS наугад: это может восстановить доступ ценой отключения проверки. Сначала определите, какая запись и какая подпись не проходят валидацию.

Смотрите DNS, DNS TTL и DNS-over-HTTPS. Использованы RFC 9364 и RFC 4033, проверенные 8 октября 2026 года; DNS-зоны не менялись.