DNS-host levert DS-record, registrar accepteert het niet of vraagt om andere velden

Het DS-record is de brug tussen registrar (parent zone) en DNS-host (child zone) voor DNSSEC. Iedere registrar vraagt het in een eigen formulier: key tag, algorithm, digest type, digest. Als één veld verkeerd is, valideert de keten niet.

Probeer dit eerst zelf

1. 1Vraag bij de DNS-host het DS-record in volledig formaat: key tag (een nummer), algorithm (8=RSA-SHA256, 13=ECDSA-P256), digest type (1=SHA1, 2=SHA256), en de digest-string zelf.
2. 2Bij de registrar invullen: TransIP en Versio hebben web-formulieren met die vier velden, GoDaddy en sommige anderen accepteren ook BIND-format DS-string.
3. 3Sommige registrars eisen DNSKEY (de key zelf, niet de digest). Die levert je DNS-host eveneens.
4. 4Wacht na submit minimaal 48 uur, want sommige TLD-registries (SIDN voor .nl) hebben publicatietijd voordat de DS in de parent-zone staat.
5. 5Test met dnsviz.net of dnssec-analyzer.verisignlabs.com dat de keten klopt voor je verder iets in DNS aanraakt.

Past het bovenstaande niet?

Beschrijf je situatie hieronder. We sturen jouw input plus de stappen die je al zag naar onze AI en geven gericht vervolg-advies. Als het te risicovol is om zelf te doen, zeggen we dat ook.