Twijfel om DNSSEC aan te zetten, hoorde verhalen over domeinen die offline zijn gegaan

DNSSEC voorkomt dat een aanvaller vervalste DNS-antwoorden in een resolver-cache plaatst. Risico bij activatie zit in DS-record-beheer bij de registrar: zet je een DS terwijl je zone niet meer correct getekend is, dan zien validating resolvers je domein als ongeldig.

Probeer dit eerst zelf

1. 1Kies eerst een DNS-host die DNSSEC volledig automatiseert (Cloudflare, Vercel-DNS, deSEC, NS1). Zelf BIND draaien met DNSSEC is meer maintenance dan MKB nodig heeft.
2. 2Bij de DNS-host: enable DNSSEC. Die genereert KSK + ZSK en geeft je een DS-record.
3. 3Bij de registrar (TransIP, Versio, GoDaddy, enz.): plaats het DS-record. Vanaf dan valideren resolvers jouw zone.
4. 4Wacht 48 uur en test met dnssec-analyzer.verisignlabs.com of dnsviz.net of de keten klopt: parent (TLD) verwijst naar jouw DS, jouw NS levert geldige RRSIG.
5. 5Documenteer: DNSSEC verandert de procedure voor migratie tussen DNS-hosts (eerst rollover, dan transfer, dan DS). Niet zomaar NS flippen.

Past het bovenstaande niet?

Beschrijf je situatie hieronder. We sturen jouw input plus de stappen die je al zag naar onze AI en geven gericht vervolg-advies. Als het te risicovol is om zelf te doen, zeggen we dat ook.