Die beiden Seiten der Einstellung verstehen
DNSSEC benötigt übereinstimmende Informationen in der DNS-Zone und beim Registrar. Die Zone veröffentlicht Signaturdaten; der Registrar speichert einen DS-Wert, der zum Signaturschlüssel gehört. Bei Abweichungen können validierende Resolver Antworten ablehnen, sodass die Domain unerreichbar wirkt, obwohl gewöhnliche DNS-Einträge stimmen.
Die Aktivierung in einer Verwaltungsoberfläche kann den zu veröffentlichenden DS-Wert anzeigen, ihn aber nicht unbedingt beim Registrar eintragen. Folgen Sie den Anweisungen des Domainregistrars und prüfen Sie den Wert dort. Verwenden Sie keinen DS-Wert einer anderen Domain oder einer früheren Konfiguration erneut.
Bei Änderungen eine sichere Reihenfolge einhalten
Prüfen Sie zum Aktivieren zuerst, dass die maßgebliche Zone aktiv signiert wird. Veröffentlichen Sie danach den passenden DS beim Registrar und kontrollieren Sie ihn. Entfernen Sie zum Deaktivieren zuerst den DS beim Registrar und schalten Sie erst danach die Signierung der Zone ab. Die umgekehrte Reihenfolge kann einen DS zurücklassen, der auf eine unsignierte Zone zeigt.
Prüfen Sie anschließend den öffentlichen DNSSEC-Status und testen Sie die Auflösung mit einem validierenden Resolver. Löst die Domain nicht mehr auf, vergleichen Sie DS und aktuelle Signaturdaten, bevor Sie weitere Änderungen vornehmen. DNSSEC schützt die Integrität von DNS-Antworten; es verschlüsselt keinen Websiteverkehr und ersetzt HTTPS nicht.