Проверка DNSSEC и CAA

Проверим, подписан ли домен DNSSEC и замкнута ли цепочка доверия от корня до ваших ключей, и покажем, каким центрам сертификации разрешён выпуск SSL.

Коротко об инструменте

Цена: Бесплатно
Регистрация: Не нужна
Где идёт обработка: На нашем сервере: DNS-over-HTTPS к проверяющему резолверу Cloudflare (запасной — Google); к серверам домена запросов нет
Что принимает: Домен или поддомен
Лимиты: 12 проверок в минуту, дневного лимита нет
Результат: Статус DNSSEC и цепочка корень → зона → DS → DNSKEY → AD, таблицы DS и DNSKEY, срок подписи, что исправить; CAA-записи с расшифровкой
Обновлено: 2026-10-13

Альтернативы

Другие инструменты для той же задачи и в чём каждый из них силён:

DNSViz — Рисует цепочку аутентификации DNSSEC от корня до домена и перечисляет ошибки конфигурации — самый подробный разбор для отладки.
Verisign DNSSEC Debugger — Пошагово проверяет цепочку от корня до домена; можно задать свой trust anchor и серверы имён.
Zonemaster — Полная проверка домена от корня через доменную зону до ваших NS, включая подписи DNSSEC и доступность серверов.
Internet.nl — Проверяет сайт и почту на современные стандарты: IPv6, DNSSEC, HTTPS, DMARC, STARTTLS и DANE.

Когда выбрать этот инструмент: Когда нужен короткий ответ «работает / сломан / что исправить» — с проверкой DS против DNSKEY и CAA в одном отчёте, на русском, украинском, польском или английском.

Описания сверены с сайтами этих инструментов в октябре 2026 года.

Проверка DNSSEC и CAA-записей

Проверка DNSSEC показывает, подписан ли домен и работает ли подпись: находит DS-запись у регистратора и ключи DNSKEY в зоне, сверяет их между собой (key tag, алгоритм, хэш), смотрит, ставит ли проверяющий резолвер флаг AD, и предупреждает о сломанной цепочке, устаревших алгоритмах и истекающих подписях. В том же отчёте — CAA: каким удостоверяющим центрам разрешено выпускать SSL-сертификаты для домена. Бесплатно, без регистрации.

DS у регистратора ↔ DNSKEY зоны: key tag, алгоритм, хэш

Флаг AD и «сломанный» DNSSEC (SERVFAIL у проверяющих резолверов)

Алгоритмы по RFC 8624, длина RSA-ключей, срок подписи DNSKEY

CAA: issue, issuewild, iodef, наследование от родительского домена

Как пользоваться

Введите домен или поддомен
Посмотрите статус и цепочку: корень → зона → DS → DNSKEY → AD
Исправьте найденное у DNS-провайдера или регистратора

FAQ

Нужны три вещи: DS-запись в родительской зоне (её публикует регистратор), ключи DNSKEY в самой зоне и флаг AD в ответе проверяющего резолвера — он означает, что подписи сошлись. Инструмент проверяет все три и сверяет DS с ключами. В командной строке то же самое показывают dig +dnssec example.com и delv example.com.

У регистратора опубликована DS-запись, а ключи или подписи зоны ей не соответствуют. Резолверы с проверкой DNSSEC (Google, Cloudflare, Quad9 и многие провайдеры) в этом случае отвечают SERVFAIL, и для их пользователей домен перестаёт существовать — и сайт, и почта. Чаще всего так бывает после переезда на другой DNS-хостинг без обновления DS. Решение: опубликуйте DS нового провайдера или удалите DS у регистратора.

DNSSEC защищает от подделки DNS-ответов: без него резолвер не может отличить настоящий IP вашего сайта или MX от подставленного. Это вопрос безопасности, а не скорости или SEO. Включать проще всего у DNS-провайдера, который сам подписывает зону и меняет ключи, — тогда остаётся один раз добавить DS у регистратора. Главный риск — ошибка при переезде DNS, поэтому перед сменой провайдера DS лучше снять заранее.

CAA перечисляет удостоверяющие центры, которым разрешено выпускать сертификаты для домена, например 0 issue "letsencrypt.org". Перед выпуском центр обязан проверить CAA и отказать, если его там нет. Запись необязательна: без неё выпускать может любой центр. Добавляя CAA, перечислите все центры, которыми пользуетесь вы и ваш CDN, иначе продление сертификата не пройдёт; у поддомена без своих CAA действуют записи родительского домена.

Да, бесплатно и без регистрации, до 12 проверок в минуту, дневного лимита нет. DNS-данные мы берём у публичного проверяющего резолвера Cloudflare (запасной — Google) по DNS-over-HTTPS; к серверам вашего домена запросов нет.

Как устроена цепочка доверия DNSSEC

DNSSEC добавляет к DNS-записям цифровые подписи. Резолвер проверяет их по цепочке сверху вниз: ключ корневой зоны известен заранее, корень подписывает DS-запись доменной зоны (.com, .ua, .pl), зона подписывает DS-запись вашего домена, а DS указывает на ваш ключ DNSKEY, которым подписаны записи домена. Порвётся любое звено — и защиты нет, а в худшем случае домен перестаёт открываться.

Звено	Где живёт	Кто настраивает
DS (Delegation Signer)	В родительской зоне	Регистратор — вы вставляете DS в его панели
DNSKEY (KSK 257 и ZSK 256)	В вашей зоне	DNS-провайдер, который подписывает зону
RRSIG	Рядом с каждым набором записей	Подписывающий DNS-сервер, обновляет регулярно
Флаг AD	В ответе резолвера	Резолвер ставит его, когда все подписи сошлись

Что означают статусы

DNSSEC включён и работает — DS совпадает с ключом зоны, проверяющий резолвер ставит флаг AD.
DNSSEC не включён — нет ни DS, ни DNSKEY. Домен работает, просто без защиты от подделки ответов.
Подписан, но нет DS у регистратора — провайдер подписывает зону, но цепочка не замкнута. Скопируйте DS из панели DNS-провайдера к регистратору.
DNSSEC сломан — DS есть, но не совпадает с ключами, или подписи не проходят. Проверяющие резолверы возвращают SERVFAIL, и для их пользователей домен недоступен. Самая частая причина — переезд на другой DNS-хостинг без обновления DS.

Как безопасно включить или выключить DNSSEC

Включите подпись зоны у DNS-провайдера (у многих это одна кнопка) и дождитесь, пока здесь появятся ключи DNSKEY.
Скопируйте DS (key tag, алгоритм, тип хэша, хэш) в панель регистратора.
Через час-другой проверьте домен здесь: должен быть статус «работает» и флаг AD.
Переезжаете на другой DNS-хостинг? Сначала удалите DS у регистратора, подождите, пока истечёт его TTL (обычно до суток), и только потом меняйте NS. После переезда включите DNSSEC заново.

Современные алгоритмы — ECDSAP256SHA256 (13) и ED25519 (15); RSASHA256 (8) тоже в порядке. Алгоритмы на SHA-1 (5, 7) по RFC 8624 не рекомендуются, а DS с хэшем SHA-1 (тип 1) лучше заменить на SHA-256 (тип 2).

CAA: кто может выпускать сертификаты

CAA-запись ограничивает круг удостоверяющих центров, которые могут выпустить SSL-сертификат для домена:

example.com.  CAA 0 issue "letsencrypt.org"
example.com.  CAA 0 issuewild ";"
example.com.  CAA 0 iodef "mailto:[email protected]"

issue — кто может выпускать обычные сертификаты; ";" — никто.
issuewild — отдельно для wildcard (*.example.com); если его нет, действует issue.
iodef — куда центр может сообщить о запросе, нарушающем CAA.

Если у имени нет своих CAA, действуют записи ближайшего родительского домена. Перед добавлением CAA перечислите все центры, которыми пользуетесь вы и ваш CDN или хостинг (у некоторых CDN их несколько), иначе автоматическое продление сертификата перестанет работать.