Sprawdzanie DNSSEC i CAA

Sprawdzimy, czy domena jest podpisana DNSSEC i czy łańcuch zaufania biegnie od korzenia do Twoich kluczy, oraz które urzędy mogą wystawiać dla niej SSL.

Najważniejsze fakty

Cena: Za darmo
Rejestracja: Niewymagana
Przetwarzanie: Na naszym serwerze: DNS-over-HTTPS do resolwera walidującego Cloudflare (zapasowo Google); do serwerów domeny nic nie wysyłamy
Dane wejściowe: Domena lub subdomena
Limity: 12 sprawdzeń na minutę, bez limitu dziennego
Wynik: Status DNSSEC i łańcuch korzeń → TLD → DS → DNSKEY → AD, tabele DS i DNSKEY, ważność podpisu, co poprawić; objaśnione rekordy CAA
Ostatnia aktualizacja: 2026-10-13

Alternatywy

Inne narzędzia do tego samego zadania i w czym każde z nich jest dobre:

DNSViz — Rysuje łańcuch uwierzytelniania DNSSEC od korzenia do domeny i wypisuje błędy konfiguracji — najdokładniejszy widok do debugowania.
Verisign DNSSEC Debugger — Sprawdza łańcuch od korzenia do domeny krok po kroku; można podać własny trust anchor i serwery nazw.
Zonemaster — Pełna kontrola domeny od korzenia przez TLD do Twoich serwerów nazw, w tym podpisy DNSSEC i dostępność serwerów.
Internet.nl — Sprawdza stronę i pocztę pod kątem nowoczesnych standardów: IPv6, DNSSEC, HTTPS, DMARC, STARTTLS i DANE.

Kiedy wybrać to narzędzie: Gdy chcesz krótkiej odpowiedzi „działa / zepsuty / co poprawić” z porównaniem DS i DNSKEY oraz CAA w jednym raporcie — po polsku, angielsku, ukraińsku lub rosyjsku.

Opisy sprawdzono na stronach tych narzędzi w październiku 2026 r.

Test DNSSEC i rekordów CAA

Test DNSSEC pokazuje, czy domena jest podpisana i czy podpis faktycznie przechodzi walidację: odczytuje rekord DS u rejestratora i klucze DNSKEY w strefie, porównuje je (key tag, algorytm, skrót), sprawdza, czy resolwer walidujący ustawia flagę AD, i ostrzega o zerwanym łańcuchu, przestarzałych algorytmach i wygasających podpisach. W tym samym raporcie — CAA: które urzędy certyfikacji mogą wystawiać certyfikaty SSL dla domeny. Za darmo, bez rejestracji.

DS u rejestratora ↔ DNSKEY strefy: key tag, algorytm, skrót

Flaga AD i zepsuty DNSSEC (SERVFAIL w resolwerach walidujących)

Algorytmy wg RFC 8624, długość kluczy RSA, ważność podpisu DNSKEY

CAA: issue, issuewild, iodef i dziedziczenie z domeny nadrzędnej

Jak korzystać

Wpisz domenę lub subdomenę
Sprawdź status i łańcuch: korzeń → TLD → DS → DNSKEY → AD
Popraw wyniki u dostawcy DNS lub rejestratora

FAQ

Potrzebne są trzy rzeczy: rekord DS w strefie nadrzędnej (publikuje go rejestrator), klucze DNSKEY w samej strefie i flaga AD w odpowiedzi resolwera walidującego — oznacza, że podpisy się zgadzają. Narzędzie sprawdza wszystkie trzy i porównuje DS z kluczami. W wierszu poleceń to samo pokażą dig +dnssec example.com i delv example.com.

Rejestrator publikuje rekord DS, ale klucze lub podpisy strefy do niego nie pasują. Resolwery walidujące DNSSEC (Google, Cloudflare, Quad9 i wielu dostawców) zwracają wtedy SERVFAIL, a dla ich użytkowników domena przestaje istnieć — strona i poczta. Najczęściej dzieje się tak po przeniesieniu DNS do innego dostawcy bez aktualizacji DS. Rozwiązanie: opublikuj DS nowego dostawcy albo usuń DS u rejestratora.

DNSSEC chroni przed podrobionymi odpowiedziami DNS: bez niego resolwer nie odróżni prawdziwego adresu strony czy MX od podstawionego. To kwestia bezpieczeństwa, nie szybkości ani SEO. Najprościej włączyć go u dostawcy DNS, który sam podpisuje strefę i rotuje klucze — wtedy wystarczy raz dodać DS u rejestratora. Główne ryzyko to błąd przy przenosinach DNS, więc przed zmianą dostawcy najlepiej wcześniej usunąć DS.

CAA wymienia urzędy certyfikacji, które mogą wystawiać certyfikaty dla domeny, np. 0 issue "letsencrypt.org". Przed wystawieniem urząd musi sprawdzić CAA i odmówić, jeśli go tam nie ma. Rekord jest opcjonalny: bez niego certyfikat wystawi każdy urząd. Dodając CAA, wpisz wszystkie urzędy, których używasz Ty i Twój CDN, inaczej odnowienie certyfikatu się nie uda; subdomena bez własnych CAA dziedziczy rekordy domeny nadrzędnej.

Tak — za darmo, bez rejestracji, do 12 sprawdzeń na minutę, bez limitu dziennego. Dane DNS pobieramy z publicznego resolwera walidującego Cloudflare (zapasowo Google) przez DNS-over-HTTPS; do serwerów Twojej domeny nie wysyłamy zapytań.

Jak działa łańcuch zaufania DNSSEC

DNSSEC dodaje do rekordów DNS podpisy cyfrowe. Resolwer sprawdza je z góry na dół: klucz strefy głównej jest znany z góry, korzeń podpisuje rekord DS domeny najwyższego poziomu (.com, .ua, .pl), ta podpisuje rekord DS Twojej domeny, a DS wskazuje na Twój klucz DNSKEY, którym podpisane są rekordy. Zerwanie dowolnego ogniwa oznacza brak ochrony, a w najgorszym razie domena przestaje działać.

Ogniwo	Gdzie się znajduje	Kto je ustawia
DS (Delegation Signer)	W strefie nadrzędnej	Rejestrator — wklejasz DS w jego panelu
DNSKEY (KSK 257 i ZSK 256)	W Twojej strefie	Dostawca DNS, który podpisuje strefę
RRSIG	Przy każdym zestawie rekordów	Podpisujący serwer DNS, odświeżany regularnie
Flaga AD	W odpowiedzi resolwera	Resolwer ustawia ją, gdy wszystkie podpisy się zgadzają

Co oznaczają statusy

DNSSEC włączony i działa — DS pasuje do klucza strefy, a resolwer walidujący ustawia flagę AD.
DNSSEC nie jest włączony — brak DS i DNSKEY. Domena działa, tylko bez ochrony przed podrobionymi odpowiedziami.
Podpisana, ale brak DS u rejestratora — dostawca podpisuje strefę, ale łańcuch jest otwarty. Skopiuj DS z panelu dostawcy DNS do rejestratora.
DNSSEC jest zepsuty — DS istnieje, ale nie pasuje do kluczy albo podpisy nie przechodzą. Resolwery walidujące zwracają SERVFAIL i dla ich użytkowników domena jest niedostępna. Najczęstsza przyczyna to przeniesienie DNS do innego dostawcy bez aktualizacji DS.

Jak bezpiecznie włączyć lub wyłączyć DNSSEC

Włącz podpisywanie strefy u dostawcy DNS (często jednym przełącznikiem) i poczekaj, aż pojawią się tu klucze DNSKEY.
Skopiuj DS (key tag, algorytm, typ skrótu, skrót) do panelu rejestratora.
Po godzinie lub dwóch sprawdź domenę tutaj: powinien być status „działa” i flaga AD.
Zmieniasz dostawcę DNS? Najpierw usuń DS u rejestratora, poczekaj, aż minie jego TTL (zwykle do doby), i dopiero wtedy zmień serwery NS. Po przeprowadzce włącz DNSSEC ponownie.

Nowoczesne algorytmy to ECDSAP256SHA256 (13) i ED25519 (15); RSASHA256 (8) też jest w porządku. Algorytmy oparte na SHA-1 (5, 7) wg RFC 8624 nie są zalecane, a DS ze skrótem SHA-1 (typ 1) warto zastąpić SHA-256 (typ 2).

CAA: kto może wystawiać certyfikaty

Rekord CAA ogranicza, które urzędy certyfikacji mogą wystawić certyfikat SSL dla domeny:

example.com.  CAA 0 issue "letsencrypt.org"
example.com.  CAA 0 issuewild ";"
example.com.  CAA 0 iodef "mailto:[email protected]"

issue — kto może wystawiać zwykłe certyfikaty; ";" oznacza nikogo.
issuewild — osobna reguła dla wildcard (*.example.com); bez niej obowiązuje issue.
iodef — gdzie urząd może zgłosić wniosek naruszający CAA.

Nazwa bez własnych rekordów CAA dziedziczy rekordy najbliższej domeny nadrzędnej. Zanim dodasz CAA, wpisz wszystkie urzędy, których używasz Ty oraz Twój CDN lub hosting (niektóre CDN korzystają z kilku), inaczej automatyczne odnawianie certyfikatów przestanie działać.