DNSSECとは？検証結果の見方と確認できる範囲

DNSSECは、DNS応答へ電子署名を付け、正しい管理者が公開したDataかを検証できるようにする拡張です。通信内容を暗号化する仕組みではありません。

検索結果での見方

DNSSECチェックへ調べたいドメイン名またはホスト名を入力し、認証後に検索します。DSやDNSKEYが表示されるだけで検証成功とは判断せず、状態と検証結果を確認してください。

NetKarteはCloudflareの検証対応リゾルバーを利用します。DS・DNSKEY・SOAの応答が正常で、DSとDNSKEYがあり、3応答のAD（Authenticated Data）を確認できた場合に「有効」と表示します。NetKarte自身がすべての署名を検証する方式ではありません。

DSがなく関連する問い合わせが正常に応答した場合は「未設定」と表示します。この判定ではADを必須にしておらず、NetKarte自身が署名付きの不存在証明を検証したという意味ではありません。DNSSECに関する特定の拡張エラーを伴うSERVFAILは「検証失敗」、十分な根拠を得られない結果は「判定不能」とします。問い合わせ自体の失敗は取得エラーとして表示される場合があります。

注意点

DNSSECは名前解決結果の真正性を検証しますが、通信を暗号化しません。署名が有効でもWebサイト全体の安全性は保証されず、TLS証明書やApplication Securityとは別の層です。

まず状態、その後にレコードを読む

DNSSECチェックへ名前を入力したら、入力したホスト名と判定対象ゾーンを確認します。サブドメインを入力してもSOAなどから別のゾーンが選ばれる場合があります。続いて状態・検証結果を読み、最後にDSとDNSKEYを確認します。

DSのKey Tag・Algorithm・Digest Type・Digestは同じ1件の値です。DNSKEYもFlags・Protocol・Algorithm・Key Tagをレコード単位で読みます。複数の鍵やDSは鍵の移行などで現れるため、件数だけで異常とは判断しません。現在、公開鍵の全文は表示していません。

登録情報の表示と食い違う場合

ドメイン情報検索のDNSSEC項目は登録サービスの公開データ、DNSSECチェックは現在のDNS応答とリゾルバーの検証結果です。情報源と対象ゾーンが異なるので、片方の「情報なし」をもう片方の「検証失敗」と同一視しないでください。失敗時はDNS管理者へ対象ゾーンと状態を伝え、署名や親側DSの確認につなげます。