Le DNSSEC expliqué : en avez-vous vraiment besoin ?

Le DNSSEC (Domain Name System Security Extensions) ajoute une signature cryptographique à vos enregistrements DNS afin que les résolveurs puissent prouver que la réponse reçue est authentique et intacte. Vous en avez besoin si votre domaine gère de l'argent, des connexions, des e-mails ou une réputation qui vaut la peine d'être attaquée — et vous pouvez raisonnablement vous en passer pour un site personnel à faible enjeu. Ce n'est pas un pare-feu, il ne chiffre rien, et une mauvaise activation peut mettre votre domaine hors ligne, ce qui explique précisément pourquoi il vaut la peine de bien le comprendre avant de l'activer.

Le taux d'adoption en dit long : la zone racine du DNS et la plupart des grands TLD sont signés, et les grands résolveurs publics valident les signatures, pourtant seule une minorité de domaines individuels activent réellement le DNSSEC. Cet écart ne tient pas au fait qu'il serait inutile — mais au fait qu'il comporte un réel risque opérationnel si on le configure négligemment. Voici contre quoi le DNSSEC vous protège, quand il mérite sa place, et comment l'activer sans rien casser.

Ce qu'est réellement le DNSSEC

Le DNSSEC est un ensemble d'extensions qui permettent à un résolveur DNS de vérifier une signature sur chaque réponse qu'il reçoit. Le DNS ordinaire a été conçu au début des années 1980 sans aucune authentification : lorsque votre navigateur demande « quelle est l'adresse IP d'example.com ? », il fait confiance à la première réponse qui arrive. Le DNSSEC comble cette faille en faisant signer à chaque zone ses enregistrements avec une clé privée et en publiant la clé publique correspondante, afin qu'un résolveur validant puisse vérifier les calculs avant de faire confiance à la réponse.

La confiance s'établit en chaîne. La zone racine du DNS est signée depuis 2010, la racine se porte garante de chaque domaine de premier niveau, le TLD se porte garant de votre domaine, et votre domaine se porte garant de ses propres enregistrements. Le maillon qui relie votre domaine à son parent est un petit enregistrement DS (Delegation Signer) que votre registrar publie auprès du registre en votre nom. C'est ce transfert qui bloque les gens, et c'est pourquoi le choix du registrar est important.

Les enregistrements concernés

• DNSKEY — les clés publiques de votre zone.
• RRSIG — la signature attachée à chaque ensemble d'enregistrements.
• DS — l'empreinte publiée au niveau de votre TLD qui ancre la chaîne de confiance.
• NSEC/NSEC3 — la preuve signée qu'un nom n'existe véritablement pas, afin que les attaquants ne puissent pas falsifier une réponse « aucun enregistrement de ce type ».

Contre quoi le DNSSEC vous protège

Le DNSSEC existe pour empêcher les attaquants de vous transmettre une réponse DNS falsifiée. La menace classique est l'empoisonnement de cache — l'attaque de type Kaminsky démontrée en 2008 — où un attaquant s'empresse de glisser un mauvais enregistrement dans le cache d'un résolveur, redirigeant discrètement le nom d'hôte de votre banque vers son serveur. Comme le navigateur de la victime affiche toujours le bon domaine dans la barre d'adresse, rien ne semble anormal.

Les enregistrements signés déjouent cela. Si la réponse n'est pas correctement signée et rattachée à la racine, un résolveur validant la rejette purement et simplement. Concrètement, le DNSSEC protège contre :

• L'empoisonnement de cache et l'usurpation DNS — des enregistrements falsifiés injectés dans un résolveur.
• La falsification sur le chemin — un attaquant réseau réécrivant les réponses DNS en transit.
• Les fausses réponses « n'existe pas » — masquant un enregistrement qui est réellement présent.

Il sert aussi de fondement à DANE, qui vous permet d'épingler des certificats TLS dans le DNS à l'aide d'enregistrements TLSA. DANE ne fonctionne que si la zone est signée, le DNSSEC est donc le prérequis de cette liaison renforcée des certificats de messagerie et web.

Ce que le DNSSEC ne fait pas

Beaucoup de gens l'activent en attendant le mauvais bénéfice. Le DNSSEC authentifie les données DNS ; il ne les cache pas. Quiconque surveille le réseau peut toujours voir quels domaines vous consultez.

• Il ne chiffre pas vos requêtes DNS. C'est le rôle de DNS-over-HTTPS (DoH) ou DNS-over-TLS (DoT), qui sont des technologies distinctes.
• Il ne protège pas le contenu de votre site web ni votre serveur. Il valide seulement la résolution qui conduit un visiteur jusqu'à votre adresse IP.
• Il n'empêche pas l'hameçonnage sur des domaines sosies. Un domaine typographique signé reste une arnaque.
• Il ne sert à rien si le résolveur du visiteur ne valide pas. Les résolveurs publics validants comme le 1.1.1.1 de Cloudflare, le 8.8.8.8 de Google et Quad9 vérifient bien les signatures, mais ce n'est pas le cas de tous les réseaux.

Quand le DNSSEC vaut la peine d'être activé

Déterminer si le DNSSEC vaut la charge opérationnelle revient à évaluer ce que vous coûterait une résolution détournée. Activez-le lorsque l'enjeu justifie le soin qu'il exige :

• De l'argent et des identités transitent par le domaine — banque, paiements, e-commerce, santé ou services publics.
• Le domaine achemine des e-mails qui vous tiennent à cœur, surtout si vous voulez ajouter DANE/TLSA par-dessus SPF, DKIM et DMARC.
• C'est un actif de grande valeur ou valorisable comme marque dont le trafic mérite d'être détourné — associez le DNSSEC au verrouillage de registre pour les noms de ce niveau.
• Un cadre de conformité ou une incitation du registrar l'exige — plusieurs ccTLD récompensent activement les domaines signés.

Vous pouvez raisonnablement vous en passer pour un projet jetable, une page parquée ou un blog personnel que personne n'a intérêt à attaquer — en particulier si vous ne pouvez pas vous engager à le surveiller. Le DNSSEC n'est pas une affaire de « configurer et oublier » ; c'est « configurer et surveiller ».

Le vrai risque : une mauvaise configuration peut vous mettre hors ligne

L'inconvénient honnête du DNSSEC est qu'il échoue en mode fermé. Si vos signatures expirent, qu'un renouvellement de clé tourne mal ou que l'enregistrement DS au registre cesse de correspondre à vos clés publiées, les résolveurs validants ne fourniront pas une réponse « au mieux » — ils renvoient SERVFAIL, et votre domaine disparaît tout simplement pour une grande partie d'Internet. Plusieurs pannes très médiatisées remontent exactement à cela.

Deux règles vous protègent :

1. Laissez un seul fournisseur gérer toute la chaîne. Lorsque votre registrar et votre hébergeur DNS sont la même entreprise, la rotation des clés et les mises à jour du DS se font automatiquement. Les séparer oblige à copier manuellement les enregistrements DS chaque fois que les clés changent — la manière la plus courante de casser le DNSSEC.
2. Surveillez-le. Utilisez un vérificateur de validation DNSSEC ou un moniteur de disponibilité qui signale les SERVFAIL, afin qu'une signature qui expire vous alerte avant que vos clients ne le remarquent.

Les registrars qui rendent le DNSSEC indolore

Le DNSSEC est indolore lorsqu'une seule plateforme est à la fois votre registrar et votre hébergeur DNS, car elle peut publier et faire tourner l'enregistrement DS à votre place sans copier-coller manuel. Quelques options se distinguent :

• Cloudflare — enregistrement au prix coûtant (environ 10,46 $ pour un .com) et véritable DNSSEC en un clic lorsque vous utilisez les serveurs de noms de Cloudflare ; il gère les clés et l'enregistrement DS automatiquement.
• Porkbun — environ 11 $ pour un .com avec confidentialité WHOIS gratuite et DNSSEC en un clic sur ses serveurs de noms, un excellent choix par défaut polyvalent.
• Namecheap et les autres registrars grand public — prennent en charge le DNSSEC, même si vous devrez peut-être coller les enregistrements DS à la main si votre DNS est hébergé ailleurs.

Si le domaine que vous enregistrez est un nom premium ou valorisable comme marque, intéressez-vous à Atom.com. Atom est surtout connu comme une place de marché sélective de domaines valorisables comme marques — chaque annonce est livrée avec une estimation par IA gratuite, une vérification de marque USPTO, un séquestre sécurisé et un logo conçu par des professionnels — mais il fournit aussi des services complets de registrar, de sorte que vous pouvez enregistrer un nom disponible et gérer son DNS, ses serveurs de noms, sa redirection et son DNSSEC au même endroit. Pour l'enregistrement au prix coûtant le moins cher possible, Porkbun ou Cloudflare l'emportent ; tournez-vous vers Atom lorsque vous voulez un nom mémorable et vérifié, avec l'enregistrement, l'estimation, la vérification de marque et les ressources de marque pris en charge d'un seul tenant.

Comment activer le DNSSEC

1. Vérifiez que les deux parties le prennent en charge. Votre hébergeur DNS doit être capable de signer la zone, et votre registrar doit accepter un enregistrement DS pour votre TLD.
2. Activez la signature chez votre hébergeur DNS. Chez un fournisseur moderne, il s'agit d'un simple interrupteur qui génère vos clés et les enregistrements RRSIG/DNSKEY.
3. Publiez l'enregistrement DS chez votre registrar. Si la même entreprise fait les deux, c'est automatique ; sinon, copiez l'enregistrement DS (key tag, algorithme, type de condensat et condensat) dans le panneau DNSSEC de votre registrar.
4. Validez. Passez votre domaine dans un analyseur DNSSEC pour confirmer que la chaîne se résout proprement, de la racine jusqu'à vos enregistrements.
5. Programmez un rappel pour le surveiller. Confirmez que votre fournisseur renouvelle automatiquement les signatures et fait tourner les clés, et ajoutez une surveillance des SERVFAIL.

Effectuée dans le bon ordre, l'activation du DNSSEC prend quelques minutes et retire discrètement toute une catégorie d'attaques de votre domaine.

Questions fréquentes

Le DNSSEC ralentit-il mon site web ?

L'impact sur les visiteurs est négligeable. La validation ajoute quelques millisecondes et des réponses DNS légèrement plus volumineuses, et ces résultats sont mis en cache, de sorte que les utilisateurs finaux ne percevront aucune différence de temps de chargement.

Le DNSSEC est-il la même chose que le HTTPS ou un certificat SSL ?

Non. Le HTTPS/TLS sécurise la connexion entre le navigateur et votre serveur ; le DNSSEC sécurise la résolution qui trouve l'adresse du serveur en amont. Ils protègent des maillons différents de la chaîne et fonctionnent mieux ensemble.

Le DNSSEC arrêtera-t-il l'hameçonnage ?

Pas à lui seul. Il empêche les attaquants de falsifier le DNS de votre vrai domaine, mais il ne peut pas empêcher quelqu'un d'enregistrer un domaine sosie et de le signer à la place. La défense contre l'hameçonnage nécessite des couches supplémentaires comme DMARC et la sensibilisation des utilisateurs.

Que se passe-t-il si ma configuration DNSSEC tombe en panne ?

Les résolveurs validants renvoient SERVFAIL et votre domaine devient inaccessible pour quiconque les utilise, plutôt que de se charger de manière non sécurisée. Ce comportement d'échec en mode fermé est sûr par conception, mais c'est pourquoi la surveillance des signatures et des clés est importante.

Ai-je encore besoin du DNSSEC si j'utilise DoH ou un résolveur comme 1.1.1.1 ?

Oui, ils résolvent des problèmes différents. DoH/DoT chiffrent vos requêtes mais n'authentifient pas les enregistrements de l'origine comme le fait le DNSSEC. Chez un fournisseur comme Cloudflare, vous pouvez activer les deux, et le DNSSEC s'y active en un seul clic.