DNSSEC-Validator
DS, DNSKEY und Authentifizierungs-Status — sichere Aufstellung Ihrer Zone.
So funktioniert dieses Tool
DNSSEC (DNS Security Extensions) signiert DNS-Antworten kryptografisch und macht Cache-Poisoning sowie Manipulation auf dem Weg unmöglich. Damit DNSSEC tatsächlich greift, müssen drei Dinge zusammenspielen: die Domain selbst muss DNSKEY-Records veröffentlichen (mindestens KSK + ZSK), die Eltern-Zone (z.B. .de bei DENIC) muss einen DS-Record als Vertrauensanker hinterlegt haben, und der abfragende Resolver muss validieren. Dieser Validator prüft alle drei Punkte: er fragt Cloudflare DoH mit gesetztem DO-Bit an, liest das AD-Bit (Authenticated Data) der Antwort und listet zusätzlich die DNSKEY- und DS-Records inklusive Algorithmus und Schlüssel-Rolle (KSK/ZSK).
Typische Anwendungsfälle
- Vor und nach DNSSEC-Aktivierung den Trust-Chain-Status verifizieren
- Bei "SERVFAIL"-Fehlern in einigen Netzen die Ursache (DNSSEC-Fehler) eingrenzen
- Algorithmus-Migration prüfen — RSASHA1 (alt) → ECDSAP256 (modern)
- KSK-Rollover (Schlüsselwechsel) ohne Service-Unterbrechung kontrollieren
Häufige Fragen
Warum ist DNSSEC trotz Vorhandensein "unverified"?
Wenn DNSKEY existiert aber kein DS-Record in der Eltern-Zone hinterlegt ist, fehlt der Trust-Anker — Resolver können die Signatur nicht überprüfen. Den DS müssen Sie bei Ihrem Registrar setzen, nicht in Ihrer Zone.
Welcher DNSSEC-Algorithmus ist aktuell empfohlen?
ECDSAP256SHA256 (Algorithm 13) — kompakt, schnell, weit verbreitet. RSASHA256 (8) ist weiterhin OK, aber RSA-Schlüssel sind länger. RSASHA1 (5/7) ist veraltet und sollte migriert werden.
Was ist der Unterschied zwischen KSK und ZSK?
KSK (Key-Signing-Key, flags=257) signiert nur die DNSKEY-Records. ZSK (Zone-Signing-Key, flags=256) signiert alle anderen Records. Den KSK rollt man selten (12-24 Monate), den ZSK häufiger (3-6 Monate).
Wir haben DNSSEC aktiviert — wieso ist das AD-Bit "false"?
Das AD-Bit setzt der Resolver, wenn er die Signatur erfolgreich validieren konnte. Wenn KSK/ZSK falsch konfiguriert sind, das DS nicht passt oder Signaturen abgelaufen sind, bleibt das Bit aus. Prüfen Sie das DS in der Eltern-Zone und ob Ihre Signaturen aktuell sind.
Brauche ich DNSSEC für Mailserver-Authentifizierung?
Für DANE (DNS-based Authentication of Named Entities) und MTA-STS-Lookups sehr empfohlen. Ohne DNSSEC sind TLSA-Records (DANE) wirkungslos. Reine SPF/DKIM/DMARC funktionieren auch ohne DNSSEC.
Verwandte Tools
Daueraufsicht statt Stichprobe?
XICTRAQ überwacht Uptime, SSL, Security-Header, DSGVO und Performance 24/7. Free-Plan, keine Kreditkarte.