Verifica della validazione DNSSEC

Interroga più risolutori DNS pubblici, come quelli di Google e Cloudflare, per i record DNSKEY di un dominio e verifica che la catena di firme DNSSEC sia validata correttamente.

Ultimo aggiornamento: 2026-10-18

Diagnosticare una catena di fiducia DNSSEC

Questo strumento interroga i record DNSKEY di un dominio presso più risolutori pubblici e riferisce se le firme DNSSEC si verificano fino in cima. Scova quello stato in cui si credeva DNSSEC attivo mentre la catena si spezza da qualche parte lungo la via.

Ciò che DNSSEC protegge è che una risposta non sia stata manomessa, non che il suo contenuto sia segreto. Quanto viaggia resta visibile come sempre; garantita è la sola autenticità. L'omissione più frequente consiste nel dimenticare di registrare il record DS presso la zona madre. Potete pur deporre chiavi nella vostra zona e firmarla, ma finché un DS non è registrato presso la madre — .com per esempio — tramite il vostro registrar, la catena di fiducia si spezza lì e nulla viene verificato. All'inverso, quando un ricambio di chiavi va storto e lascia un'incongruenza, l'intero dominio diviene irraggiungibile da qualsiasi risolutore che validi. Uno stato lasciato a metà può dunque risultare più pericoloso del non averlo mai attivato.

Come si usa

Inserite il dominio Indicate il solo dominio, nella forma example.com.
Leggete l'esito della validazione Giudica se la catena delle firme giunga fino alla madre.
Accertate se esista un record DS Là dove manchi, nulla viene verificato per quante chiavi abbiate deposto.
Confrontate le risposte di più risolutori Uno scarto indica o una cache o la configurazione.

Consigli per sfruttarlo al meglio

Il contrassegno di dati autenticati compare soltanto se il risolutore interrogato ha eseguito la validazione DNSSEC: con un risolutore che non la supporta il giudizio non è attendibile.
La mancata adozione di DNSSEC non è un'anomalia: moltissimi domini non lo usano e questo non incide direttamente sul posizionamento nei motori di ricerca né sulla recapitabilità della posta.
Se la validazione risulta fallita, verificate per prima cosa che l'identificativo della chiave e l'impronta del record DS registrato presso il registrar corrispondano ai DNSKEY attuali.
Le firme DNSSEC hanno una scadenza: controllate anche che la rifirma automatica della zona non si sia interrotta.
Subito dopo l'attivazione di DNSSEC, finché la registrazione del record DS presso la zona superiore non si è propagata, la validazione può risultare temporaneamente fallita.

Quando torna utile

Nel verificare dopo aver attivato DNSSEC

Spuntare la casella in un pannello di controllo lascia assai spesso l'opera incompiuta.

Nel portare a termine un ricambio di chiavi

Potete accertare, prima e dopo il cambio, che la validazione non si sia spezzata.

Nel circoscrivere perché un nome non si risolva

Un'incongruenza DNSSEC fa apparire il dominio, a una parte soltanto degli utenti, come svanito.

Nell'esaminare il dominio di un corrispondente

Vi dice fin dove costui abbia spinto le proprie misure.

Termini di DNSSEC

DNSKEY: Il record che reca la chiave pubblica di una zona, usata nel verificare le firme.
Record DS: Il record che iscrive l'impronta della chiave di una zona figlia presso la zona madre. Senza di esso la catena di fiducia si spezza.
RRSIG: La firma stessa, apposta a ciascun record. Porta una scadenza e si rinnova a intervalli.
Catena di fiducia: La struttura per cui le firme si concatenano dalla radice alla madre e poi alla figlia. Una rottura in un solo punto rende impossibile la validazione.
Ricambio di chiavi: Il lavoro di sostituire una chiave con una nuova. Sbagliare la procedura rende irraggiungibile l'intero dominio.
Risolutore che valida: Un risolutore che controlla davvero le firme DNSSEC. Là dove sussista un'incongruenza, non restituisce risposta alcuna.

Domande frequenti

La mancata adozione non è di per sé pericolosa: ancora oggi la grande maggioranza dei domini opera senza DNSSEC. Come difesa contro l'avvelenamento della cache, però, vale la pena valutarne l'adozione.

Gli utenti che usano risolutori con validazione DNSSEC, come molte reti aziendali e alcuni operatori, potrebbero non riuscire più a risolvere quel dominio, ricevendo un errore di servizio. Salvo il caso di un'attivazione recente in attesa di propagazione, la correzione è urgente.

Quando i risolutori mantengono contemporaneamente cache diverse, subito dopo la sostituzione di una chiave possono coesistere temporaneamente la vecchia e la nuova, con esiti di validazione differenti. Attendete un poco e ripetete la verifica.

No. DNSSEC garantisce che la risposta alla risoluzione di un nome non sia stata alterata, mentre SSL/TLS garantisce che il contenuto della comunicazione sia cifrato e che l'interlocutore sia il titolare del certificato. Sono indipendenti e si può adottarne uno soltanto.

Lo strumento verifica soltanto due aspetti superficiali: la pubblicazione dei DNSKEY e il giudizio di validazione dei risolutori. Se vi serve un'analisi rigorosa della catena di firme, affiancate strumenti specialistici come dnsviz.net.

A proposito — come si è aggiunta al DNS una difesa contro la contraffazione

Il sistema dei nomi di dominio, progettato nel 1983, non prevedeva alcun modo per verificare crittograficamente l'origine di una risposta. Il risolutore accettava per buono qualunque pacchetto UDP tornasse con un identificativo plausibile: falsificando l'indirizzo del mittente o indovinando i parametri era quindi possibile iniettare risposte false. L'attacco individuato nel 2008 dal ricercatore Dan Kaminsky dimostrò che, sfruttando quella debolezza, si poteva avvelenare la cache di un risolutore con record falsi a una velocità concretamente utilizzabile, e la cosa scosse profondamente il settore.

DNSSEC è l'estensione standardizzata in risposta a quel problema: usando la crittografia a chiave pubblica dimostra che una risposta è stata firmata dal legittimo gestore della zona. Le risposte sono firmate con le chiavi pubblicate nei record DNSKEY del dominio e il record DS registrato presso la zona superiore ne garantisce l'impronta, costruendo una catena di fiducia dalla radice fino al singolo dominio.

Il contrassegno di dati autenticati presente nelle risposte del protocollo DNS su HTTPS è il risultato di quella validazione eseguita dal risolutore. Anche senza implementare la verifica delle firme, un browser o un'applicazione che interroghi un risolutore affidabile e riceva quel contrassegno può accertare indirettamente che la risposta non è stata alterata; ciò presuppone però che il collegamento fra applicazione e risolutore sia a sua volta protetto.

Vedi tutte le curiosità