Vérificateur DNSSEC

Interroge l'enregistrement DNSKEY d'un domaine auprès de plusieurs résolveurs DNS publics (Google, Cloudflare, etc.) pour vérifier si sa chaîne de signatures DNSSEC est validée correctement.

Dernière mise à jour : 2026-09-20

Diagnostiquer une chaîne de confiance DNSSEC

Cet outil interroge les enregistrements DNSKEY d'un domaine auprès de plusieurs résolveurs publics et rapporte si les signatures DNSSEC se vérifient jusqu'en haut. Il décèle l'état où l'on croyait DNSSEC activé alors que la chaîne se rompt quelque part en chemin.

**Ce que DNSSEC protège, c'est qu'une réponse n'ait pas été altérée, non que son contenu soit secret.** Ce qui circule demeure aussi visible qu'auparavant ; seule l'authenticité est garantie. **L'omission la plus fréquente consiste à oublier d'enregistrer l'enregistrement DS auprès de la zone parente.** Vous pouvez déposer des clés dans votre propre zone et la signer, mais **tant qu'un DS n'est pas enregistré auprès du parent — `.com` par exemple — via votre bureau d'enregistrement, la chaîne de confiance se rompt là et rien n'est vérifié.** À l'inverse, lorsqu'un renouvellement de clés tourne mal et laisse une incohérence, **le domaine entier devient injoignable depuis tout résolveur qui valide.** Un état à moitié fait peut donc se révéler plus dangereux que de n'avoir jamais rien activé.

Comment s'en servir

Saisissez le domaine Indiquez le seul domaine, sous la forme `example.com`.
Lisez le résultat de la validation **Il juge si la chaîne des signatures atteint le parent.**
Confirmez l'existence d'un enregistrement DS **Là où il manque, rien n'est vérifié, quel que soit le nombre de clés déposées.**
Comparez les réponses de plusieurs résolveurs Un écart désigne soit un cache, soit la configuration.

Astuces pour en tirer le meilleur parti

L'indicateur AD (Authenticated Data) n'est activé que lorsque le résolveur DNS interrogé a lui-même effectué la validation DNSSEC. Les résolveurs qui ne prennent pas en charge DNSSEC ne peuvent pas fournir de résultat significatif.
« DNSSEC non activé » n'est pas une erreur : la majorité des domaines n'utilisent toujours pas DNSSEC, ce qui n'a aucun effet direct sur le classement dans les moteurs de recherche ni sur la délivrabilité des e-mails.
Si la validation échoue, vérifiez d'abord que le key tag et le condensé de l'enregistrement DS déclaré chez votre registrar correspondent à votre DNSKEY actuel.
Les signatures DNSSEC (RRSIG) ont une date d'expiration. Vérifiez aussi que la re-signature automatique de votre logiciel DNS n'a pas été interrompue.
Juste après l'activation de DNSSEC, la validation peut brièvement s'afficher comme « échouée » le temps que l'enregistrement DS se propage jusqu'à la zone parente.

Dans quels cas s'en servir

Pour vérifier après avoir activé DNSSEC

**Cocher la case d'un panneau d'administration laisse fort souvent l'ouvrage inachevé.**

Pour mener à terme un renouvellement de clés

Vous confirmez, de part et d'autre du changement, que la validation ne s'est pas rompue.

Pour cerner pourquoi un nom ne se résout pas

**Une incohérence DNSSEC fait paraître le domaine, pour certains usagers seulement, comme évanoui.**

Pour examiner le domaine d'un correspondant

Il vous dit jusqu'où celui-ci a poussé ses propres mesures.

Vocabulaire de DNSSEC

DNSKEY: L'enregistrement portant la clé publique d'une zone, utilisée pour vérifier les signatures.
Enregistrement DS: **L'enregistrement inscrivant l'empreinte de la clé d'une zone fille auprès de la zone parente.** Sans lui, la chaîne de confiance se rompt.
RRSIG: La signature elle-même, jointe à chaque enregistrement. Elle porte une échéance et se renouvelle par intervalles.
Chaîne de confiance: La structure par laquelle les signatures s'enchaînent de la racine au parent puis à la fille. **Une rupture en un seul point rend la validation impossible.**
Renouvellement de clés: Le travail consistant à remplacer une clé par une neuve. **Se tromper dans la marche à suivre rend le domaine entier injoignable.**
Résolveur validant: Un résolveur qui contrôle effectivement les signatures DNSSEC. **Là où subsiste une incohérence, il ne renvoie aucune réponse.**

Foire aux questions

« DNSSEC non activé » n'est pas dangereux en soi : la grande majorité des domaines fonctionnent encore sans lui. Cela dit, l'activer mérite d'être envisagé comme protection contre l'empoisonnement de cache DNS si l'option est disponible.

Les utilisateurs de résolveurs qui imposent DNSSEC (de nombreux réseaux d'entreprise et certains fournisseurs d'accès) peuvent ne plus du tout pouvoir résoudre le domaine, celui-ci étant traité comme SERVFAIL. Sauf s'il s'agit d'un état temporaire juste après l'activation de DNSSEC, le temps que l'enregistrement DS se propage, une correction rapide est nécessaire.

Juste après une rotation de DNSKEY, les anciennes et nouvelles clés peuvent coexister brièvement dans les caches des résolveurs, entraînant des résultats de validation temporairement différents. Patientez un peu puis vérifiez à nouveau.

Non. DNSSEC garantit qu'une réponse de résolution de nom n'a pas été falsifiée, tandis que SSL/TLS garantit que la connexion elle-même est chiffrée et que le serveur détient bien le certificat présenté. Les deux sont indépendants — un domaine peut avoir l'un sans l'autre.

Cet outil ne vérifie qu'un état de surface : si une DNSKEY est publiée et si les résolveurs signalent l'indicateur AD. Pour une analyse rigoureuse de l'ensemble de la chaîne de signatures (cohérence RRSIG/NSEC/NSEC3, etc.), associez-le à un outil spécialisé comme dnsviz.net.

Anecdote — pourquoi le DNS a eu besoin d'un moyen d'empêcher l'usurpation

Lorsque le DNS a été conçu en 1983, il n'existait aucun moyen cryptographique de confirmer qui envoyait réellement une réponse. Un résolveur faisait confiance à tout paquet UDP arrivant avec un identifiant de transaction d'apparence plausible — un protocole bâti sur la bonne foi, vulnérable à l'usurpation d'adresse IP source et à la devinette d'identifiants. En 2008, le chercheur en sécurité Dan Kaminsky a montré à l'industrie que cette faiblesse pouvait être exploitée pour mener des attaques d'empoisonnement de cache rapides et pratiques (injecter de faux enregistrements dans le cache d'un résolveur), une découverte qui a secoué toute la communauté DNS.

DNSSEC (DNS Security Extensions) est la réponse normalisée à ce problème. Il utilise la cryptographie à clé publique pour prouver qu'une réponse a été signée par l'opérateur légitime de la zone. Un domaine signe ses enregistrements avec sa DNSKEY, et un enregistrement DS déclaré dans la zone parente atteste du condensé de cette clé, construisant ainsi une chaîne de confiance ininterrompue depuis la racine du DNS jusqu'au domaine individuel.

L'indicateur AD (Authenticated Data) d'une réponse DoH (DNS over HTTPS) résulte de cette validation DNSSEC effectuée par le résolveur en votre nom. Les applications n'ont pas besoin d'implémenter elles-mêmes la vérification des signatures : interroger un résolveur de confiance et obtenir AD=true constitue une garantie indirecte que la réponse n'a pas été falsifiée, à condition que le transport entre le résolveur et l'application (HTTPS) soit lui-même sécurisé.

Voir toutes les anecdotes