DNSSEC란? 검증 결과 읽기와 판단의 한계

DNSSEC는 디지털 서명으로 DNS 데이터가 담당 Zone에서 게시되었는지 검증하도록 돕지만 DNS 통신을 암호화하지는 않습니다.

NetKarte 표시

DNSSEC 확인에 도메인이나 호스트명을 입력하고 인증 후 검색하세요. DS나 DNSKEY가 있다는 사실만으로 검증 성공을 판단하지 말고 상태와 검증 결과를 확인합니다.

NetKarte는 Cloudflare의 검증 리졸버를 사용합니다. DS·DNSKEY·SOA 응답이 정상이고 DS와 DNSKEY가 존재하며 세 응답 모두에 AD(Authenticated Data)가 있으면 유효로 표시합니다. NetKarte가 모든 서명을 직접 검증하는 방식은 아닙니다.

DS가 없고 관련 질의가 정상 응답하면 미설정으로 표시합니다. 이 판단은 AD를 필수로 요구하지 않으며, NetKarte가 서명된 부재 증명을 직접 검증했다는 뜻도 아닙니다. 특정 DNSSEC 확장 오류를 동반한 SERVFAIL은 검증 실패, 근거가 부족하면 판정 불가로 표시합니다. 질의 자체가 실패하면 조회 오류로 표시될 수도 있습니다.

주의점

DNSSEC는 DNS 데이터의 진위를 검증하지만 질의를 암호화하지 않습니다. 검증 성공도 사이트 전체 보안을 보장하지 않으며 TLS와 Application Security는 별도 계층입니다.

상태를 먼저, 레코드를 나중에 읽기

입력한 호스트명과 판정 영역을 먼저 확인하세요. 하위 도메인에서는 SOA를 통해 다른 영역이 선택될 수 있습니다. 상태와 검증 결과를 읽은 뒤 DS와 DNSKEY를 봅니다.

DS의 Key Tag, Algorithm, Digest Type, Digest는 같은 레코드끼리 읽고 DNSKEY의 Flags, Protocol, Algorithm, Key Tag도 마찬가지입니다. 키 교체 중에는 여러 키나 DS가 있을 수 있으므로 개수만으로 오류를 판단하지 마세요. 현재 공개키 전문은 표시하지 않습니다.

등록 정보와 다른 이유

도메인 조회는 등록 서비스의 공개 자료이고 DNSSEC Check는 현재 DNS 응답과 리졸버 검증입니다. 출처와 영역이 다를 수 있어 정보 없음과 검증 실패는 같지 않습니다. 실패 시 판정 영역과 상태를 DNS 관리자에게 전달해 서명과 부모 영역 DS를 확인하세요.