Перевірка DNSSEC і CAA

Перевіримо, чи підписано домен DNSSEC і чи замкнено ланцюжок довіри від кореня до ваших ключів, і покажемо, яким центрам сертифікації дозволено випуск SSL.

Коротко про інструмент

Ціна: Безкоштовно
Реєстрація: Не потрібна
Де відбувається обробка: На нашому сервері: DNS-over-HTTPS до резолвера з перевіркою Cloudflare (запасний — Google); до серверів домену запитів немає
Що приймає: Домен або піддомен
Ліміти: 12 перевірок на хвилину, денного ліміту немає
Результат: Статус DNSSEC і ланцюжок корінь → зона → DS → DNSKEY → AD, таблиці DS і DNSKEY, строк підпису, що виправити; CAA-записи з розшифровкою
Оновлено: 2026-10-13

Альтернативи

Інші інструменти для того самого завдання і в чому кожен із них сильний:

DNSViz — Малює ланцюжок автентифікації DNSSEC від кореня до домену й перелічує помилки конфігурації — найдокладніший розбір для налагодження.
Verisign DNSSEC Debugger — Покроково перевіряє ланцюжок від кореня до домену; можна задати власний trust anchor і сервери імен.
Zonemaster — Повна перевірка домену від кореня через доменну зону до ваших NS, зокрема підписи DNSSEC і доступність серверів.
Internet.nl — Перевіряє сайт і пошту на сучасні стандарти: IPv6, DNSSEC, HTTPS, DMARC, STARTTLS і DANE.

Коли обрати цей інструмент: Коли потрібна коротка відповідь «працює / зламано / що виправити» — з перевіркою DS проти DNSKEY і CAA в одному звіті, українською, російською, польською чи англійською.

Описи звірено із сайтами цих інструментів у жовтні 2026 року.

Перевірка DNSSEC і CAA-записів

Перевірка DNSSEC показує, чи підписано домен і чи працює підпис: знаходить DS-запис у реєстратора та ключі DNSKEY у зоні, звіряє їх між собою (key tag, алгоритм, хеш), дивиться, чи ставить резолвер з перевіркою прапорець AD, і попереджає про зламаний ланцюжок, застарілі алгоритми та підписи, що спливають. У тому самому звіті — CAA: яким центрам сертифікації дозволено випускати SSL-сертифікати для домену. Безкоштовно, без реєстрації.

DS у реєстратора ↔ DNSKEY зони: key tag, алгоритм, хеш

Прапорець AD і «зламаний» DNSSEC (SERVFAIL у резолверів з перевіркою)

Алгоритми за RFC 8624, довжина RSA-ключів, строк підпису DNSKEY

CAA: issue, issuewild, iodef, успадкування від батьківського домену

Як користуватися

Введіть домен або піддомен
Подивіться статус і ланцюжок: корінь → зона → DS → DNSKEY → AD
Виправте знайдене в DNS-провайдера або реєстратора

FAQ

Потрібні три речі: DS-запис у батьківській зоні (його публікує реєстратор), ключі DNSKEY у самій зоні та прапорець AD у відповіді резолвера з перевіркою — він означає, що підписи зійшлися. Інструмент перевіряє всі три й звіряє DS із ключами. У командному рядку те саме показують dig +dnssec example.com і delv example.com.

У реєстратора опубліковано DS-запис, а ключі чи підписи зони йому не відповідають. Резолвери з перевіркою DNSSEC (Google, Cloudflare, Quad9 і багато провайдерів) у такому разі відповідають SERVFAIL, і для їхніх користувачів домен перестає існувати — і сайт, і пошта. Найчастіше так буває після переїзду на інший DNS-хостинг без оновлення DS. Рішення: опублікуйте DS нового провайдера або видаліть DS у реєстратора.

DNSSEC захищає від підробки DNS-відповідей: без нього резолвер не може відрізнити справжню IP вашого сайту чи MX від підставленої. Це питання безпеки, а не швидкості чи SEO. Вмикати найпростіше в DNS-провайдера, який сам підписує зону й змінює ключі, — тоді лишається один раз додати DS у реєстратора. Головний ризик — помилка під час переїзду DNS, тому перед зміною провайдера DS краще зняти заздалегідь.

CAA перелічує центри сертифікації, яким дозволено випускати сертифікати для домену, наприклад 0 issue "letsencrypt.org". Перед випуском центр зобов'язаний перевірити CAA і відмовити, якщо його там немає. Запис необов'язковий: без нього випускати може будь-який центр. Додаючи CAA, перелічіть усі центри, якими користуєтеся ви й ваш CDN, інакше подовження сертифіката не пройде; у піддомену без власних CAA діють записи батьківського домену.

Так, безкоштовно й без реєстрації, до 12 перевірок на хвилину, денного ліміту немає. DNS-дані ми беремо в публічного резолвера з перевіркою Cloudflare (запасний — Google) через DNS-over-HTTPS; до серверів вашого домену запитів немає.

Як побудовано ланцюжок довіри DNSSEC

DNSSEC додає до DNS-записів цифрові підписи. Резолвер перевіряє їх ланцюжком згори донизу: ключ кореневої зони відомий заздалегідь, корінь підписує DS-запис доменної зони (.com, .ua, .pl), зона підписує DS-запис вашого домену, а DS вказує на ваш ключ DNSKEY, яким підписано записи домену. Розірветься будь-яка ланка — і захисту немає, а в гіршому разі домен перестає відкриватися.

Ланка	Де живе	Хто налаштовує
DS (Delegation Signer)	У батьківській зоні	Реєстратор — ви вставляєте DS у його панелі
DNSKEY (KSK 257 і ZSK 256)	У вашій зоні	DNS-провайдер, який підписує зону
RRSIG	Поруч із кожним набором записів	DNS-сервер, що підписує, оновлює регулярно
Прапорець AD	У відповіді резолвера	Резолвер ставить його, коли всі підписи зійшлися

Що означають статуси

DNSSEC увімкнено й працює — DS збігається з ключем зони, резолвер з перевіркою ставить прапорець AD.
DNSSEC не ввімкнено — немає ні DS, ні DNSKEY. Домен працює, просто без захисту від підробки відповідей.
Підписано, але немає DS у реєстратора — провайдер підписує зону, але ланцюжок не замкнено. Скопіюйте DS з панелі DNS-провайдера до реєстратора.
DNSSEC зламано — DS є, але не збігається з ключами, або підписи не проходять. Резолвери з перевіркою повертають SERVFAIL, і для їхніх користувачів домен недоступний. Найчастіша причина — переїзд на інший DNS-хостинг без оновлення DS.

Як безпечно ввімкнути або вимкнути DNSSEC

Увімкніть підпис зони в DNS-провайдера (у багатьох це одна кнопка) і дочекайтеся, поки тут з'являться ключі DNSKEY.
Скопіюйте DS (key tag, алгоритм, тип хешу, хеш) у панель реєстратора.
За годину-дві перевірте домен тут: має бути статус «працює» й прапорець AD.
Переїжджаєте на інший DNS-хостинг? Спершу видаліть DS у реєстратора, зачекайте, поки спливе його TTL (зазвичай до доби), і лише потім змінюйте NS. Після переїзду ввімкніть DNSSEC знову.

Сучасні алгоритми — ECDSAP256SHA256 (13) і ED25519 (15); RSASHA256 (8) теж гаразд. Алгоритми на SHA-1 (5, 7) за RFC 8624 не рекомендуються, а DS із хешем SHA-1 (тип 1) краще замінити на SHA-256 (тип 2).

CAA: хто може випускати сертифікати

CAA-запис обмежує коло центрів сертифікації, які можуть випустити SSL-сертифікат для домену:

example.com.  CAA 0 issue "letsencrypt.org"
example.com.  CAA 0 issuewild ";"
example.com.  CAA 0 iodef "mailto:[email protected]"

issue — хто може випускати звичайні сертифікати; ";" — ніхто.
issuewild — окремо для wildcard (*.example.com); якщо його немає, діє issue.
iodef — куди центр може повідомити про запит, що порушує CAA.

Якщо в імені немає власних CAA, діють записи найближчого батьківського домену. Перед додаванням CAA перелічіть усі центри, якими користуєтеся ви та ваш CDN чи хостинг (у деяких CDN їх кілька), інакше автоматичне подовження сертифіката перестане працювати.