DNSSEC: cos’è e come attivarlo in sicurezza

Il DNS tradizionale non garantisce da solo che una risposta sia autentica. DNSSEC, Domain Name System Security Extensions, permette di firmare la zona e creare una catena di fiducia dal dominio di livello superiore fino ai record pubblicati dai nameserver autoritativi.

DNSSEC non cifra il traffico e non sostituisce HTTPS. Protegge la validazione delle risposte DNS, mentre TLS protegge la connessione applicativa.

Come funziona DNSSEC

La zona contiene chiavi e firme, tra cui DNSKEY e RRSIG. Il registrar pubblica nel dominio superiore un record DS che rappresenta la chiave della zona. Un resolver validante confronta questi elementi:

1. riceve la risposta DNS e le firme;
2. recupera la chiave DNSKEY;
3. verifica che il record DS pubblicato dal parent corrisponda;
4. controlla la firma dei record;
5. accetta la risposta se la catena è valida.

Se il DS esiste ma la zona non presenta più la chiave corretta, il resolver può restituire SERVFAIL.

Che cosa protegge e che cosa non protegge

DNSSEC aiuta a contrastare risposte DNS alterate, spoofing e alcune forme di avvelenamento della cache. Fornisce autenticità e integrità dei dati DNS.

Non offre:

• cifratura delle richieste DNS;
• anonimato;
• protezione del server web;
• certificati HTTPS;
• difesa da malware o password rubate;
• garanzia di disponibilità contro attacchi DDoS.

DNSSEC deve essere parte di una strategia che comprende HTTPS, aggiornamenti, autenticazione e backup.

Prerequisiti per attivare DNSSEC

• dominio e TLD compatibili;
• nameserver autoritativi con supporto DNSSEC;
• accesso alla gestione DS presso il registrar;
• zona DNS stabile;
• assenza di un vecchio DS non più valido;
• piano di rollback documentato.

In cPanel la funzione appare nel Zone Editor quando il server utilizza un nameserver compatibile, per esempio PowerDNS, e il provider l’ha abilitata. Se la voce non compare, non creare manualmente record DNSKEY o RRSIG nel normale editor.

Dove viene gestito DNSSEC

La configurazione coinvolge due punti distinti:

Se i nameserver sono Xlogic, la chiave può essere generata dall’infrastruttura Xlogic quando la funzione è disponibile. Se utilizzi Cloudflare o un altro provider DNS, DNSSEC deve essere attivato presso quel provider e il DS va comunicato al registrar.

Come attivare DNSSEC in cPanel

Quando la funzione è disponibile:

1. accedi a cPanel;
2. apri Domini → Zone Editor;
3. individua il dominio;
4. seleziona DNSSEC o Manage DNSSEC;
5. crea la chiave seguendo le impostazioni proposte;
6. annota Key Tag, algoritmo, digest type e digest;
7. non modificare la zona finché non hai completato il passaggio successivo;
8. inserisci il record DS nel pannello del registrar;
9. attendi la propagazione e valida il dominio.

I campi mostrati possono cambiare. Copia esattamente i valori senza spazi aggiuntivi.

Come inserire il record DS

Nel pannello del registrar cerca DNSSEC, DS Record o Delegation Signer. Inserisci i dati prodotti dal provider DNS:

• Key Tag;
• Algorithm;
• Digest Type;
• Digest.

Non inserire il DS nel normale Zone Editor del dominio. Deve essere pubblicato nel parent dal registrar o dal registro.

Se Xlogic gestisce sia dominio sia DNS, la procedura può essere automatizzata o richiedere un ticket in base all’estensione e al pannello disponibile.

DNSSEC con Cloudflare

Se i nameserver autoritativi sono Cloudflare:

1. attiva DNSSEC nel pannello Cloudflare;
2. copia i dati DS forniti;
3. pubblicali presso il registrar;
4. attendi che Cloudflare mostri lo stato attivo;
5. verifica con un resolver validante.

Non generare contemporaneamente una chiave in cPanel: la zona autorevole è quella indicata dai nameserver, non quella presente localmente sul server web.

Come verificare DNSSEC

Da terminale puoi usare:

dig esempio.it DNSKEY +dnssec
dig esempio.it A +dnssec

La presenza della flag ad dipende dal resolver utilizzato e indica che la risposta è stata autenticata. Per una diagnosi completa utilizza strumenti che mostrano la catena DS, DNSKEY e firme.

Controlla anche da reti differenti. Un resolver non validante può risolvere il dominio anche quando la catena è errata, mentre resolver validanti restituiscono errore.

Errori che possono rendere il dominio irraggiungibile

• DS pubblicato prima che la zona sia firmata;
• DS copiato in modo errato;
• cambio nameserver senza rimuovere o aggiornare il DS;
• chiave eliminata dal provider DNS ma ancora presente al registrar;
• rotazione non completata;
• algoritmo o digest non supportato;
• firma scaduta per un problema del nameserver.

Il sintomo tipico è che alcuni utenti vedono il sito e altri ricevono SERVFAIL, a seconda del resolver.

Cambio nameserver con DNSSEC attivo

Non cambiare nameserver come una normale modifica DNS. Devi coordinare la catena di fiducia:

1. prepara la zona sul nuovo provider;
2. verifica la procedura supportata da entrambi;
3. aggiorna o rimuovi il DS al momento corretto;
4. cambia i nameserver;
5. attiva la nuova firma e pubblica il nuovo DS;
6. valida da più resolver.

La strategia esatta dipende dalla possibilità di eseguire una migrazione firmata senza interruzione. In caso di dubbio, disattiva DNSSEC in modo coordinato prima del cambio e riattivalo dopo la stabilizzazione.

Come disattivare DNSSEC correttamente

L’ordine è importante:

1. rimuovi il record DS presso il registrar;
2. attendi che la rimozione sia visibile;
3. disattiva o elimina la chiave presso il provider DNS;
4. verifica che il dominio risolva dai resolver validanti.

Eliminare prima la chiave lasciando il DS attivo interrompe la catena e può causare indisponibilità.

Rotazione delle chiavi

Le chiavi possono richiedere rotazione per policy o cambio del provider. Non sostituire una chiave cancellando immediatamente quella attiva. La rotazione deve lasciare il tempo necessario alla propagazione di DNSKEY e DS.

cPanel avverte che una chiave non viene modificata direttamente: per cambiare i parametri può essere necessario crearne una nuova e coordinare i record DS. Segui la procedura del provider e conserva gli identificativi.

Quando conviene attivarlo

DNSSEC è indicato quando dominio, registrar e provider DNS supportano una gestione stabile e l’organizzazione può controllare le modifiche. È particolarmente utile per domini aziendali, servizi sensibili e infrastrutture in cui l’integrità del DNS è importante.

Non attivarlo senza sapere chi gestisce la zona e chi può modificare il DS. Una configurazione non coordinata può causare un’interruzione più grave del rischio che si intende ridurre.

Quando contattare Xlogic

Apri un ticket se il dominio utilizza nameserver Xlogic e la funzione DNSSEC non è visibile, se devi pubblicare il DS o se stai pianificando un cambio nameserver. Indica dominio, nameserver attuali, registrar, dati DS e operazione prevista. Non inviare credenziali del registrar.

Fonti tecniche ufficiali

• cPanel: DNSSEC
• cPanel: Zone Editor
• cPanel: PowerDNS and DNSSEC

Domande frequenti