Как проверить DNSSEC домена

1. Онлайн: DNS-чекер Enterno.io → введите домен → раздел DNSSEC покажет DNSKEY + DS + статус валидации
2. Через dig: dig +dnssec +short example.com DNSKEY — покажет ключи; dig +dnssec example.com DS — DS записи
3. Полная цепочка: dig +dnssec +trace example.com — трассировка от root
4. delv (validation-focused): delv @8.8.8.8 example.com — "fully validated" = OK
5. Внешний аналайзер: Verisign DNSSEC Analyzer — показывает все проблемы цепочки
6. Browser extension: DNSSEC/TLSA Validator (Firefox, Chrome) — иконка в адресной строке

• Стандартный resolver (routers, Windows) часто НЕ валидирует — используйте 1.1.1.1, 8.8.8.8, 9.9.9.9
• dig +dnssec показывает записи, но не валидирует — нужен delv или +trace
• Сломанный DNSSEC = SERVFAIL для 25-40% валидирующих клиентов — домен "недоступен"
• DS-запись в TLD публикуется регистратором. Изменение key без обновления DS → все клиенты получают SERVFAIL

Чтобы проверить, включен ли DNSSEC для вашего домена, используйте команду dig +dnssec ваш-домен.com. Если DNSSEC настроен правильно, вы увидите записи DNSKEY и RRSIG. Также можно использовать онлайн-инструменты, такие как DNSSEC Analyzer, для более удобного анализа и проверки состояния DNSSEC вашего домена.

DNSSEC (Domain Name System Security Extensions) — это набор расширений для протокола DNS, который обеспечивает защиту от атак, таких как спуфинг и кэширование подделок. Он использует криптографические подписи для проверки целостности и подлинности ответов DNS. В 2026 году важно понимать, как правильно настраивать и проверять DNSSEC, чтобы защитить свои домены и обеспечить их надежность.

Основные компоненты DNSSEC включают:

• DNSKEY: публичный ключ, используемый для проверки подписи.
• RRSIG: запись подписи, которая подтверждает, что данные DNS были подписаны с использованием соответствующего DNSKEY.
• DS: запись, которая связывает DNSKEY с родительским доменом.

Настройка DNSSEC требует внесения изменений как в зоне вашего домена, так и в зоне родительского домена. Например, если у вас есть домен example.com, вы должны сначала создать DNSKEY и RRSIG для вашей зоны и затем добавить соответствующую DS-запись в зону .com.

Для проверки DNSSEC с помощью команды dig, выполните следующие шаги:

1. Откройте терминал.
2. Введите команду: dig +dnssec ваш-домен.com.

Пример вывода может выглядеть так:

;  DiG 9.16.1-Ubuntu  +dnssec example.com

В этом выводе вы ищете записи типа DNSKEY и RRSIG. Например:

example.com. 3600 IN DNSKEY 257 3 8 AwEAAcY... (публичный ключ)

Если вы видите эти записи, значит, DNSSEC включен для вашего домена. Если записей нет, вам нужно будет настроить DNSSEC в панели управления вашего регистратора доменов.

Для более детальной проверки можно использовать онлайн-инструменты, такие как DNSSEC Debugger. Этот инструмент позволяет ввести ваш домен и получить полную информацию о состоянии DNSSEC, включая наличие ошибок и рекомендаций по исправлению.