Signaturkette verstehen
Die Prüfung stützt sich auf eine Kette vom DS-Eintrag der übergeordneten Zone über den DNSKEY der untergeordneten Zone bis zu signierten Einträgen. Registrar, DNS-Anbieter und Vermittler müssen passende Informationen veröffentlichen.
Klären Sie bei Anbieterwechsel, Schlüsselrotation oder Umzug, wer die Signierung und DS-Aktualisierung verwaltet. Ein alter DS-Eintrag mit einem anderen Schlüssel der untergeordneten Zone kann Validierungsfehler auslösen.
Sorgfältig aktivieren und pflegen
Prüfen Sie, ob Ihr DNS-Anbieter DNSSEC unterstützt und Schlüsselwechsel sowie Registrar-Updates dokumentiert. Folgen Sie dessen konkreter Reihenfolge, da Steuerung und Zeitabläufe variieren.
Nutzen Sie nach der Aktivierung DNSSEC-Prüfwerkzeuge und mehrere Resolver; wiederholen Sie die Prüfung nach Änderungen. Halten Sie einen Plan zur Korrektur veralteter DS-Daten bereit und entfernen Sie Signaturen nicht unbedacht.