DNSSEC : faut-il mieux protéger son domaine ?
Auteur : Rédaction Domeny.ForSale Publié le Mis à jour le
En bref : il est utile d’activer DNSSEC si l’opérateur DNS et le bureau d’enregistrement le gèrent de façon automatisée et si le domaine est important pour l’entreprise, la messagerie ou les ventes. Ce mécanisme réduit le risque de falsification des réponses DNS, mais ne chiffre pas le trafic et ne remplace ni HTTPS, ni la protection du compte chez le bureau d’enregistrement, ni une configuration correcte de la messagerie. En revanche, un changement de clés ou de serveurs DNS mal exécuté peut rendre le domaine temporairement inaccessible.
Ce que protège exactement DNSSEC
Le DNS, ou système de noms de domaine, traduit un nom tel que boutique.example en adresse de serveur. Une réponse DNS ordinaire ne comporte aucun mécanisme permettant à son destinataire d’en vérifier l’authenticité par cryptographie. Un attaquant peut tenter de lui fournir une fausse adresse, par exemple en empoisonnant le cache d’un serveur DNS.
DNSSEC, pour Domain Name System Security Extensions, ajoute des signatures numériques aux enregistrements DNS. Un résolveur prenant en charge la validation — c’est-à-dire un serveur DNS qui répond aux requêtes de l’utilisateur — peut vérifier que les données proviennent de la bonne zone et n’ont pas été modifiées en chemin.
La confiance repose sur une chaîne reliant la zone parente au domaine. En pratique, l’opérateur DNS conserve les clés et signe la zone, tandis qu’un enregistrement DS désignant la bonne clé est renseigné chez le bureau d’enregistrement. Le résolveur ne peut valider la réponse que si ces éléments concordent.
Par exemple, un client saisit l’adresse d’une banque ou d’une boutique. S’il reçoit une réponse DNS falsifiée, le résolveur qui effectue la validation DNSSEC devrait la rejeter plutôt que de diriger l’utilisateur vers un serveur frauduleux. Cette protection ne fonctionne toutefois que si toute la chaîne est correctement configurée et si le résolveur utilisé vérifie effectivement les signatures.
Ce que DNSSEC ne garantit pas
DNSSEC confirme l’authenticité des données DNS, mais ne les masque pas. Les requêtes et les réponses peuvent rester visibles sur le réseau, sauf si un mécanisme distinct de chiffrement du transport DNS est utilisé, comme DNS over HTTPS ou DNS over TLS.
Ce mécanisme ne protège pas non plus :
- l’interface du bureau d’enregistrement contre la prise de contrôle du compte,
- le site contre les failles de l’application et le code malveillant,
- la connexion au site en l’absence d’un déploiement correct de HTTPS,
- la messagerie contre l’usurpation d’identité sans une configuration adéquate de SPF, DKIM et DMARC,
- les serveurs faisant autorité contre une panne ou une surcharge.
DNSSEC ne corrige pas davantage les enregistrements erronés dès leur création. Si le propriétaire du domaine signe une adresse IP incorrecte, la signature confirme simplement que cette information a bien été publiée par le gestionnaire de la zone.
Quand son activation est particulièrement pertinente
L’activation se justifie surtout pour les domaines utilisés pour les services bancaires, les paiements, le commerce en ligne, la connexion à des services, le traitement des données clients ou la messagerie d’entreprise. Les conséquences d’une redirection des utilisateurs vers un système frauduleux peuvent y être plus graves que pour un simple site d’information.
DNSSEC est également un choix raisonnable pour les petits sites si le fournisseur DNS automatise la signature et le renouvellement des clés. Dans ce cas, cette protection supplémentaire ne nécessite généralement pas d’intervention quotidienne. Il faut néanmoins connaître la procédure de migration du domaine vers un autre opérateur DNS.
La prudence s’impose lorsque l’on gère soi-même le DNS, lorsque la documentation des prestataires manque de clarté ou lorsque personne dans l’entreprise n’est responsable des clés. Le gain de sécurité reste réel, mais le risque d’erreur opérationnelle augmente.
Le principal risque : une rupture de la chaîne de confiance
Le problème de déploiement le plus fréquent n’est pas la signature elle-même, mais une discordance entre l’enregistrement DS chez le bureau d’enregistrement et la clé utilisée par l’opérateur DNS. Le résolveur qui effectue la validation considère alors les réponses comme non fiables. Pour l’utilisateur, cela peut ressembler à une panne totale du site et de la messagerie, alors même que les serveurs fonctionnent toujours.
Ce scénario peut se produire lors d’un changement de fournisseur DNS. Si l’ancienne clé n’est plus valide alors que l’enregistrement DS la désigne encore, le domaine échoue à la validation. Il ne faut donc pas supprimer les anciens paramètres ni saisir les nouveaux dans un ordre arbitraire.
Avant la migration, il faut consulter les instructions des deux opérateurs et du bureau d’enregistrement. La procédure dépend de leurs systèmes, des algorithmes pris en charge et du mode de mise à jour du DS. Il convient donc de vérifier les exigences en vigueur dans la documentation officielle des prestataires.
Comment décider et activer la protection sans risque
Vérifiez d’abord que l’extension du domaine, le bureau d’enregistrement et l’opérateur des serveurs DNS faisant autorité prennent en charge DNSSEC. Déterminez également si l’enregistrement DS sera transmis automatiquement ou s’il faudra le coller manuellement dans l’interface du bureau d’enregistrement.
Voici la procédure pratique :
- Sauvegardez la configuration DNS actuelle et assurez-vous que le domaine fonctionne correctement.
- Activez la signature chez l’opérateur DNS en suivant ses instructions.
- Ajoutez ou validez l’enregistrement DS chez le bureau d’enregistrement si cette opération n’est pas automatique.
- Après la propagation, vérifiez la chaîne de validation avec un outil de diagnostic prenant en charge DNSSEC.
- Consignez les procédures de changement d’opérateur et de désactivation de DNSSEC, ainsi que les coordonnées de l’assistance technique.
Si les trois acteurs prennent en charge ce mécanisme automatiquement, activer DNSSEC est généralement la prochaine étape appropriée. En cas de gestion manuelle, préparez d’abord les procédures de migration et de rétablissement du fonctionnement du domaine : cocher une option dans l’interface ne suffit pas.
À lire aussi
