Qu'est-ce que DNSSEC et comment le configurer dans cPanel

Qu'est-ce que DNSSEC

Lorsque vous visitez un site, votre ordinateur demande aux serveurs DNS vers quelle IP pointe le domaine. Ce système repose sur la confiance : si quelqu'un manipule la réponse (par exemple sur un réseau compromis), il peut vous rediriger vers un faux serveur à votre insu et vous voler vos identifiants par hameçonnage.

DNSSEC ajoute des signatures numériques aux réponses DNS. Les résolveurs qui valident DNSSEC vérifient que la signature de la zone correspond à la clé publiée dans le registre du domaine. Si quelqu'un altère la réponse, la signature ne correspond plus et la réponse est rejetée.

DNSSEC ne chiffre pas les requêtes et ne remplace pas le certificat SSL : il garantit que la réponse DNS est authentique.

Comment l'activer

Il y a deux étapes et les deux sont nécessaires :

1. Créer la clé sur les serveurs DNS du domaine, ici dans cPanel. La zone est ainsi signée.
2. Ajouter la clé publique chez le registraire du domaine. La zone est ainsi « associée » au registre.

Ce guide s'applique lorsque le domaine utilise les DNS de votre hébergement. S'il utilise Cloudflare, suivez DNSSEC pour les domaines qui utilisent Cloudflare.

1. Créer la clé dans cPanel

Dans cPanel, allez dans Zone Editor. Vous verrez la liste des domaines avec plusieurs options à côté ; cliquez sur DNSSEC pour le domaine à protéger.

En haut à droite, cliquez sur Create Key.

Une fenêtre s'ouvre avec les clés qui vont être générées. Laissez les valeurs recommandées et cliquez sur Créer. Notez l'algorithme indiqué (sur la capture, RSA/SHA-256, algorithme 8) : vous en aurez besoin chez le registraire.

Si le domaine est enregistré chez un autre fournisseur, vérifiez d'abord quels algorithmes il accepte et cliquez sur Personnaliser pour en choisir un compatible.

De retour sur la page DNSSEC du domaine, vous verrez deux clés : KSK et ZSK.

Dépliez la KSK, cliquez sur Public DNSKEY et copiez la clé avec le bouton Copier. Faites de même avec la ZSK si votre registraire la demande.

2. Ajouter la clé chez le registraire

Si le domaine est enregistré chez nous, suivez comment ajouter la clé DNSSEC à un domaine. Dans le formulaire, vous choisissez l'algorithme et collez la clé publique de la KSK (la ZSK est facultative). Collez uniquement la clé, sans la ligne DNSKEY complète ni l'enregistrement DS.

Si le domaine est chez un autre registraire, il peut vous demander l'enregistrement DS au lieu de la clé publique (identifiant de clé, algorithme, type de condensé et condensé). Sur la page DNSSEC de cPanel, vous les trouverez avec le bouton View DS Records de la clé KSK.

Vérifier que cela fonctionne

Après quelques heures, analysez le domaine sur DNSViz ou dans le DNSSEC Analyzer de Verisign. La chaîne doit apparaître en vert depuis l'extension (.com, .es...) jusqu'à votre domaine.

Si elle apparaît en rouge ou si le site ne se charge plus avec une erreur SERVFAIL, c'est généralement que la clé du registraire ne correspond pas à celle de cPanel : vérifiez que vous avez copié la bonne KSK et le bon algorithme. Ne supprimez pas la clé de cPanel pour « réparer » : le domaine cesserait de se résoudre pour ceux qui valident DNSSEC.

Désactiver DNSSEC ou changer de DNS

L'ordre compte :

1. Retirez d'abord la clé chez le registraire du domaine.
2. Attendez au moins 24 à 48 heures que les informations précédentes expirent.
3. Supprimez ensuite les clés dans cPanel > Zone Editor > DNSSEC.

Si vous procédez dans l'autre sens, ou si vous transférez les DNS du domaine chez un autre fournisseur en laissant l'ancienne clé chez le registraire, le domaine cessera de se résoudre pour de nombreux utilisateurs. Si vous allez migrer, voyez aussi comment changer les DNS avec un minimum d'interruption.