DNSSEC (Extensions de sécurité du DNS)
Des signatures cryptographiques sur les enregistrements DNS permettant aux résolveurs de vérifier qu'une réponse est authentique et n'a pas été falsifiée ou altérée en transit.
- glossary
DNSSEC (Domain Name System Security Extensions) est un ensemble d'extensions cryptographiques au protocole DNS (Système de Noms de Domaine) qui permet aux résolveurs de vérifier l'authenticité et l'intégrité des réponses DNS. Sans DNSSEC, un attaquant peut falsifier ou altérer les réponses DNS sur le chemin entre le résolveur et le serveur faisant autorité, redirigeant les utilisateurs vers une infrastructure malveillante. Avec DNSSEC, les enregistrements sont signés et une chaîne de confiance s'étend depuis la racine DNS jusqu'à chaque zone via des enregistrements DS. DNSSEC est spécifié dans la RFC 4033 et les RFC connexes. La tokenisation d'un domaine ne modifie pas DNSSEC — la chaîne de confiance passe toujours par le registraire et le registre, et les enregistrements DS sont publiés de la même manière. De nombreux fournisseurs DNS (Cloudflare, Route53) signent automatiquement les zones lorsque DNSSEC est activé.
Mots-clés associés
- DNSSEC
- sécurité DNS
- sécurité domaine
- enregistrement DS
- chaîne de confiance
- DNS cryptographique