Identifier la clé et la délégation
Déterminez si le changement concerne une clé de signature de zone, une clé de signature de clé ou un DS chez le parent. Vérifiez qui contrôle chaque élément et si le bureau d’enregistrement ou le fournisseur automatise la transition.
Confirmez DS, DNSKEY, validité des signatures et TTL avant de commencer. N’improvisez pas un ordre manuel générique si le fournisseur gère le renouvellement.
Surveiller la validation pendant la transition
Utilisez des contrôles DNSSEC sur les serveurs autoritaires et plusieurs résolveurs validants avant et après chaque phase. Gardez l’ancienne clé jusqu’à la condition de retrait sûre indiquée par le fournisseur.
Préparez une reprise et évitez d’autres changements DNS simultanés. En cas d’échec, vérifiez la cohérence DS/DNSKEY et l’état fournisseur avant de modifier davantage.