Qu'est-ce que DNSSEC ? Les extensions de sécurité DNS expliquées

DNSSEC (DNS Security Extensions) est un ensemble d'extensions qui ajoutent une authentification cryptographique aux réponses DNS. Sans DNSSEC, un attaquant peut falsifier des réponses DNS et rediriger le trafic vers des serveurs malveillants — une technique connue sous le nom d'empoisonnement de cache DNS.

Chaque niveau signe la clé du niveau inférieur, depuis la racine jusqu'en bas.

Le problème que DNSSEC résout

Le DNS classique a été conçu sans considération de sécurité. Lorsque votre ordinateur demande « quelle est l'adresse IP de bank.com ? », il fait confiance à la réponse reçue. Un attaquant placé entre vous et le serveur DNS peut injecter une fausse réponse et vous rediriger vers un site de hameçonnage.

DNSSEC résout cela en faisant signer les enregistrements des zones DNS avec une clé privée. Les résolveurs peuvent vérifier la signature à l'aide de la clé publique correspondante, garantissant que la réponse provient du propriétaire légitime de la zone.

Comment fonctionne DNSSEC

Le propriétaire de la zone génère une paire de clés (enregistrements DNSKEY) et signe tous les enregistrements DNS avec la clé privée, produisant des enregistrements RRSIG
La clé publique (DNSKEY) est publiée dans le DNS
Un hachage de la clé publique (enregistrement DS) est transmis à la zone parente (.com, .org, etc.)
La zone parente est également signée, et ainsi de suite jusqu'à la zone racine
Lorsqu'un résolveur reçoit une réponse DNS, il suit la chaîne de confiance depuis la racine pour vérifier les signatures

Types d'enregistrement DNSSEC

Record Type	Purpose
`DNSKEY`	La clé publique de signature de la zone
`DS`	Hachage de la DNSKEY de la zone fille, stocké dans la zone parente
`RRSIG`	Signature cryptographique portant sur un ensemble d'enregistrements DNS
`NSEC` / `NSEC3`	Preuve qu'un enregistrement n'existe pas (déni d'existence)

La chaîne de confiance

DNSSEC crée une chaîne de confiance depuis la zone racine jusqu'aux domaines individuels :

Root zone (.) ← Trust anchor, key is published by IANA
  └─ .com zone ← Signed, DS record in root zone
       └─ example.com ← Signed, DS record in .com zone
            └─ DNS records ← Signed with example.com's key

La clé de la zone racine (l'« ancre de confiance ») est intégrée aux résolveurs qui valident DNSSEC. C'est le point de départ de toute vérification.

DNSSEC NE chiffre PAS le trafic

Une idée fausse répandue : DNSSEC authentifie les réponses DNS mais ne les encrypt pas. Les requêtes et réponses DNS circulent toujours en clair. Pour la confidentialité, utilisez :

DNS-over-HTTPS (DoH) — chiffre le trafic DNS via HTTPS
DNS-over-TLS (DoT) — chiffre le trafic DNS via TLS

Comment activer DNSSEC pour votre domaine

Vérifiez que votre hébergeur DNS prend en charge la signature DNSSEC
Activez la signature DNSSEC dans l'interface de votre fournisseur DNS
Votre fournisseur génère les enregistrements DNSKEY et signe votre zone
Copiez les valeurs de l'enregistrement DS affichées par votre fournisseur DNS
Transmettez l'enregistrement DS à votre bureau d'enregistrement (généralement via son interface)
Attendez la propagation (jusqu'à 48 heures possible)

Vérifiez votre état DNSSEC

Vérifier DNSSEC →Suivant : qu'est-ce que le TTL DNS ? →

Essayez-le sur votre domaine

Voyez la théorie en pratique — lancez Vérification DNSSEC pour votre propre domaine.