DNSSEC .fr : l’activer, publier le DS et le vérifier

DNSSEC .fr : c’est quoi, en deux minutes

DNSSEC (Domain Name System Security Extensions) ajoute une signature cryptographique aux réponses DNS d’un domaine. Sur un domaine .fr, activer DNSSEC revient à publier une clé publique dans votre zone, à signer chaque enregistrement (A, MX, TXT, CNAME…) avec la clé privée correspondante, puis à déposer une empreinte de cette clé, l’enregistrement DS, auprès de l’AFNIC, le registre du .fr. Un résolveur qui valide DNSSEC vérifie ensuite que la réponse reçue est bien celle que vous avez signée.

Le principe tient en une chaîne de confiance :

la zone racine du DNS est signée, et sa clé est connue de tous les résolveurs validants ;
la racine publie un enregistrement DS pour la zone .fr, qui authentifie la clé de l’AFNIC ;
la zone .fr publie un enregistrement DS pour votre domaine, qui authentifie votre clé ;
votre zone signe ses propres enregistrements avec cette clé.

Chaque maillon garantit le suivant. Si un maillon manque, le domaine n’est simplement pas protégé. Si un maillon est faux, par exemple un DS qui ne correspond plus à la clé réellement utilisée, le domaine devient injoignable pour tous les résolveurs qui valident. C’est le point à retenir avant toute manipulation. Les mécanismes sont décrits dans la RFC 4033.

Ce que DNSSEC protège, et ce qu’il ne protège pas

Ce que DNSSEC protège

DNSSEC garantit l’authenticité et l’intégrité des réponses DNS. Il contre deux familles d’attaques :

l’empoisonnement de cache : un attaquant injecte une fausse réponse dans le cache d’un résolveur, et tous les utilisateurs de ce résolveur sont envoyés vers une adresse IP qu’il contrôle ;
le détournement de résolution en chemin : un équipement situé entre le résolveur et vos serveurs DNS modifie les réponses à la volée.

Dans les deux cas, un résolveur validant rejette la réponse falsifiée.

Ce que DNSSEC ne fait pas

Il ne chiffre rien : les requêtes et les réponses DNS restent lisibles sur le réseau. Le chiffrement relève d’autres protocoles (DNS over TLS, DNS over HTTPS).
Il ne protège pas votre site : une faille WordPress ou un mot de passe faible restent exploitables.
Il ne remplace pas HTTPS. Le certificat SSL chiffre les échanges entre le navigateur et le serveur et prouve l’identité du site ; DNSSEC prouve seulement que l’adresse IP renvoyée est la bonne.
Il ne protège que les utilisateurs dont le résolveur valide.

Qui est concerné ? L’intérêt de DNSSEC pour une PME

Tout domaine .fr peut être signé : la zone .fr l’est depuis des années et l’AFNIC accepte les DS de tous les bureaux d’enregistrement accrédités. Reste à savoir si l’effort en vaut la peine pour vous. DNSSEC apporte une valeur nette dans ces situations :

votre domaine porte une messagerie professionnelle : un détournement des enregistrements MX permet d’intercepter les e-mails entrants, y compris les liens de réinitialisation de mot de passe de vos autres services ;
vous exploitez une boutique en ligne ou un espace client : rediriger vos visiteurs vers une copie du site est un scénario de phishing classique ;
vous répondez à des appels d’offres publics ou à des grands comptes : certains cahiers des charges et politiques de sécurité exigent un domaine signé ;
vous suivez une démarche de sécurisation structurée : l’ANSSI recommande, dans ses bonnes pratiques sur les noms de domaine, de signer les zones DNS.

Pour un site vitrine sans messagerie ni espace client, le bénéfice est faible et le risque opérationnel (domaine injoignable après une migration mal préparée) n’est pas nul. Activez alors DNSSEC seulement si vous pouvez suivre la procédure de migration décrite plus bas.

Le guide sur le choix entre .fr et .com et les règles de l’AFNIC replace DNSSEC parmi les autres protections du domaine (verrouillage, renouvellement automatique, contacts à jour), qui passent avant la signature.

Avant d’activer DNSSEC : trois vérifications

Les erreurs de DNSSEC viennent presque toujours d’une confusion entre les rôles. Clarifiez trois points.

Qui est le bureau d’enregistrement (registrar) ? C’est l’organisme auprès duquel le domaine est enregistré et renouvelé ; c’est lui qui transmet le DS à l’AFNIC. Si vous avez commandé votre nom de domaine chez NovaHoster, c’est NovaHoster.
Qui héberge la zone DNS ? C’est l’organisme dont les serveurs de noms (NS) répondent pour votre domaine : le registrar lui-même, ou un autre (Cloudflare, l’hébergeur du site). C’est lui qui signe la zone et génère les clés. dig NS votredomaine.fr +short vous donne la réponse.
Le domaine est-il déjà signé ? Exécutez dig DS votredomaine.fr +short. Une ligne de résultat signifie qu’un DS est déjà publié chez l’AFNIC ; aucun résultat signifie que la chaîne de confiance n’existe pas.

Si le fonctionnement des serveurs de noms, des enregistrements A, MX ou TXT et des TTL n’est pas clair pour vous, le guide pour configurer les DNS d’un nom de domaine pose ces bases, que ce guide ne reprend pas.

Activer DNSSEC : qui fait quoi selon votre situation

L’activation se déroule toujours en deux temps : d’abord la signature de la zone chez l’hébergeur DNS, ensuite la publication du DS chez le registrar, qui le transmet à l’AFNIC. Si vous inversez l’ordre, le domaine devient injoignable entre les deux étapes.

Situation	Qui signe la zone	Où publier le DS
Domaine et DNS chez NovaHoster	NovaHoster sur demande, ou vous-même dans Plesk si l’extension DNSSEC est proposée par votre formule	Transmis à l’AFNIC par NovaHoster
Domaine chez NovaHoster, DNS chez Cloudflare	Cloudflare (onglet DNS, réglages DNSSEC)	Par ticket au support NovaHoster, avec le DS fourni par Cloudflare
Domaine chez un autre registrar, DNS chez NovaHoster	NovaHoster, sur demande	Dans l’interface du registrar (rubrique DNSSEC ou DS)
Domaine et DNS chez le même registrar tiers	Le registrar, souvent en un clic	Automatique ; vérifiez tout de même avec dig
DNS sur votre propre serveur	Vous, avec BIND, Knot, PowerDNS ou l’extension Plesk	Chez votre registrar ; la rotation des clés et la surveillance sont à votre charge

DNS hébergés chez NovaHoster

Ouvrez un ticket depuis l’Espace client en demandant l’activation de DNSSEC sur le domaine. Selon votre formule, l’extension DNSSEC de Plesk peut aussi être disponible dans votre abonnement : elle génère les clés, signe la zone et affiche le DS. Si le domaine est enregistré chez NovaHoster, la publication du DS auprès de l’AFNIC suit. Sinon, copiez le DS et publiez-le chez votre registrar.

DNS hébergés chez Cloudflare ou un autre prestataire

Activez DNSSEC dans l’interface du prestataire. Il vous remet un DS sous la forme de quatre valeurs : identifiant de clé (key tag), algorithme, type de condensat et condensat. Reportez-les chez le registrar sans en modifier aucune ; si le domaine est enregistré chez NovaHoster, transmettez-les par ticket au support.

Le rôle de l’AFNIC pour le .fr

Vous ne déposez jamais le DS directement auprès de l’AFNIC : seul un bureau d’enregistrement accrédité le fait, par le protocole EPP. L’AFNIC inscrit alors le DS dans la zone .fr, ce qui relie votre clé à la chaîne de confiance, en général sous quelques heures.

DNSSEC dans Plesk : procédure avec l’extension

Plesk Obsidian propose une extension DNSSEC, installable depuis le catalogue d’extensions. Sa disponibilité dépend de votre formule et des droits de votre abonnement ; si vous ne la voyez pas, demandez au support. Lorsqu’elle est accessible :

Dans Plesk, ouvrez Sites web & domaines, puis le domaine concerné, puis DNSSEC.
Cliquez sur Signer la zone DNS. Conservez les réglages par défaut (algorithme, taille de clé, durée de validité des signatures) sauf exigence précise de votre politique de sécurité.
Plesk génère une KSK (clé de signature de clé) et une ZSK (clé de signature de zone), signe la zone et affiche le DS.
Copiez le DS et publiez-le chez le registrar, ou envoyez-le par ticket si le domaine est enregistré chez NovaHoster.
Une fois le DS publié, vérifiez la chaîne de confiance (section suivante) avant de toucher à nouveau aux clés.

Deux points de vigilance : une rotation de la KSK impose de publier un nouveau DS, ne la lancez pas sans avoir prévu la mise à jour chez le registrar ; et si vous supprimez la signature dans Plesk alors qu’un DS est encore publié chez l’AFNIC, le domaine devient injoignable pour les résolveurs validants. Retirez toujours le DS en premier.

Les accès et l’éditeur de zone sont décrits dans le guide pour administrer un abonnement Plesk sans interrompre son site.

Vérifier DNSSEC : commandes dig et outils en ligne

Une activation n’est terminée que lorsqu’elle est vérifiée. Les commandes ci-dessous utilisent dig, disponible sur Linux et macOS.

Le DS est-il publié chez l’AFNIC ?

dig DS votredomaine.fr +short

Vous devez obtenir une ligne du type 12345 13 2 A1B2C3… : identifiant de clé, algorithme, type de condensat, condensat. Comparez l’identifiant de clé avec celui affiché par votre hébergeur DNS.

La clé est-elle publiée dans la zone ?

dig DNSKEY votredomaine.fr +short

La clé dont le drapeau vaut 257 est la KSK, celle que le DS doit authentifier ; la clé 256 est la ZSK.

La chaîne se valide-t-elle ?

dig A votredomaine.fr +dnssec @1.1.1.1

Lisez deux choses : la présence d’enregistrements RRSIG à côté des enregistrements A (la zone est signée) et, dans la ligne flags:, le drapeau ad (le résolveur a validé la chaîne de bout en bout). Des RRSIG sans ad signifient une chaîne incomplète, en général parce que le DS manque ou n’est pas encore propagé.

Détecter un état « bogus »

dig A votredomaine.fr @1.1.1.1
dig A votredomaine.fr @1.1.1.1 +cd

Si la première commande renvoie SERVFAIL et la seconde, qui désactive la validation (checking disabled), renvoie une adresse, votre domaine est « bogus » : la chaîne de confiance existe mais ne se vérifie pas. Les résolveurs validants, soit la plupart des résolveurs publics (Cloudflare, Google Public DNS, Quad9) et une part importante de ceux des fournisseurs d’accès, refusent alors toutes vos réponses. Site, messagerie et sous-domaines deviennent injoignables alors que vos serveurs fonctionnent : c’est la panne typique après une migration DNS oubliée.

Outils en ligne

DNSViz (dnsviz.net) dessine la chaîne de confiance complète, de la racine à votre domaine, et signale en rouge le maillon défaillant : c’est l’outil le plus lisible. Le DNSSEC Analyzer de Verisign Labs donne un résultat ligne par ligne du même type, et l’AFNIC propose des outils de test de zone dont le périmètre peut évoluer. Un domaine sain apparaît entièrement en vert.

Pièges courants avec DNSSEC et comment les éviter

Changer d’hébergeur DNS sans retirer le DS

C’est la cause numéro un des pannes. Vous déplacez votre zone, vous changez les serveurs de noms chez le registrar, et le DS de l’ancien hébergeur reste publié dans la zone .fr : le nouvel hébergeur ne possède pas la clé privée correspondante, le domaine est « bogus ». Si vous changez d’hébergeur pour le site mais pas pour les DNS, le problème ne se pose pas ; le guide pour changer d’hébergeur WordPress sans perdre son référencement détaille cette distinction au moment de la bascule.

Transférer le domaine sans vérifier le DS

Lors d’un transfert de domaine vers un autre bureau d’enregistrement, le sort du DS dépend des deux registrars : certains le conservent, d’autres le suppriment. Un DS conservé alors que vous changez aussi de serveurs DNS provoque une panne ; un DS supprimé alors que la zone reste signée rend simplement le domaine non protégé. Relevez le DS avant, vérifiez-le juste après. Le guide pour transférer un domaine vers NovaHoster décrit les étapes du transfert ; ajoutez-y cette vérification.

Rotation des clés et signatures expirées

Une rotation de KSK se fait en « double DS » : publiez le DS de la nouvelle clé en plus de l’ancien, attendez l’expiration du TTL du DS, puis retirez l’ancien. Par ailleurs, chaque RRSIG porte une date d’expiration : si la re-signature s’arrête sur un serveur DNS que vous administrez vous-même, le domaine devient « bogus » sans qu’aucun réglage ait changé. Surveillez ce point.

TTL ignorés et DS mal recopié

Le DS, les DNSKEY et les NS ont chacun un TTL ; une modification n’est effective partout qu’après expiration de l’ancien. Abaissez les TTL de votre zone quelques jours avant une opération et relevez celui du DS avec dig DS votredomaine.fr (sans +short). Enfin, un caractère manquant dans le condensat casse la chaîne : copiez-collez, ne retapez jamais.

Migrer un domaine .fr signé : procédure sûre en 5 étapes

Cette procédure couvre le changement d’hébergeur DNS, avec ou sans transfert du domaine. Elle suspend la protection DNSSEC pendant quelques jours pour garantir que le domaine reste joignable à chaque instant ; une migration sans interruption de la signature demande une coordination entre hébergeurs que peu de prestataires proposent.

Inventaire. Relevez le DS publié, les DNSKEY, les NS et le TTL du DS. Exportez l’intégralité de la zone depuis l’ancien hébergeur et abaissez ses TTL à quelques minutes.
Retrait du DS chez le registrar. Supprimez le DS ou demandez sa suppression. Attendez au minimum l’expiration de son TTL, en pratique un jour complet par sécurité, et vérifiez avec dig DS qu’il n’est plus renvoyé. Le domaine est non signé, mais joignable partout.
Bascule des serveurs de noms. Recréez la zone chez le nouvel hébergeur, comparez-la ligne à ligne avec l’export, puis changez les NS chez le registrar. Si un transfert de domaine fait partie de l’opération, lancez-le maintenant, en vérifiant que le nouveau registrar gère les DS pour le .fr.
Nouvelle signature. Une fois les NS propagés, activez DNSSEC chez le nouvel hébergeur et récupérez le nouveau DS.
Publication et vérification. Publiez le nouveau DS chez le registrar, attendez sa propagation, puis contrôlez avec dig +dnssec (drapeau ad) et DNSViz. Remontez les TTL.

Pour un domaine qui bascule ses DNS vers NovaHoster, le support peut prendre en charge les étapes 3 à 5 si le domaine y est aussi enregistré ; l’étape 2 reste de votre côté tant qu’il est chez l’ancien registrar.

Liste de contrôle DNSSEC pour un domaine .fr

Avant l’activation :

Registrar et hébergeur DNS identifiés, avec l’accès à chaque interface.
Aucun changement d’hébergeur, de registrar ou de serveurs de noms prévu dans le mois.
Résultat de dig DS votredomaine.fr noté.
Messagerie et services dépendants du domaine listés, pour les tester ensuite.

À l’activation :

Zone signée chez l’hébergeur DNS, DS récupéré par copier-coller.
DS publié chez le registrar seulement après la signature, jamais avant.
Identifiant de clé identique dans le DS et dans la DNSKEY de drapeau 257.
dig A votredomaine.fr +dnssec @1.1.1.1 renvoie des RRSIG et le drapeau ad.
DNSViz affiche la chaîne complète sans erreur.
Site, messagerie (envoi et réception) et sous-domaines testés depuis un résolveur validant.

En exploitation et avant toute migration :

Contrôle trimestriel de la chaîne avec DNSViz ou dig +dnssec.
Rotation de KSK planifiée en double DS, jamais par remplacement direct.
Mention « DNSSEC activé » et identifiant de clé notés dans votre documentation interne.
Procédure en 5 étapes appliquée à toute migration, DS retiré en premier, prestataire informé par écrit.
Vérification du DS le lendemain d’un transfert.

Si une vérification vous laisse un doute, ouvrez un ticket en joignant la sortie des commandes dig : le support traite bien plus vite une demande accompagnée de ces éléments.

Questions fréquentes

DNSSEC, c’est quoi exactement ?

DNSSEC est un ensemble d’extensions du DNS qui ajoute une signature cryptographique aux réponses d’un domaine. Un résolveur qui valide DNSSEC vérifie que la réponse reçue provient bien du titulaire de la zone et n’a pas été modifiée en chemin. La vérification repose sur une chaîne de confiance qui part de la racine du DNS, passe par le registre (l’AFNIC pour le .fr) et aboutit à votre domaine via l’enregistrement DS.

DNSSEC est-il obligatoire pour un domaine .fr ?

Non. L’AFNIC signe la zone .fr et accepte les enregistrements DS, mais rien n’oblige le titulaire à signer son propre domaine. En revanche, certains appels d’offres publics, cahiers des charges de grands comptes ou politiques de sécurité internes l’exigent. Dans ce cas, le registrar doit pouvoir déposer un DS auprès de l’AFNIC, ce que font les bureaux d’enregistrement accrédités.

Comment activer DNSSEC sur un domaine hébergé chez NovaHoster ?

Ouvrez un ticket depuis l’Espace client en demandant l’activation de DNSSEC sur le domaine concerné. Selon votre formule, l’extension DNSSEC de Plesk peut aussi être disponible dans votre abonnement : elle signe la zone et affiche le DS. Si le domaine est enregistré chez NovaHoster, la publication du DS auprès de l’AFNIC suit ; sinon, publiez le DS vous-même chez votre registrar.

Qu’est-ce qu’un enregistrement DS ?

L’enregistrement DS (Delegation Signer) est l’empreinte de la clé publique de signature de votre zone, publiée par le registre dans la zone parente, ici la zone .fr. Il se compose d’un identifiant de clé, d’un numéro d’algorithme, d’un type de condensat et du condensat lui-même. C’est lui qui relie votre domaine à la chaîne de confiance ; un DS erroné ou obsolète rend le domaine injoignable pour les résolveurs validants.

Comment vérifier que DNSSEC fonctionne sur mon domaine ?

Exécutez dig A votredomaine.fr +dnssec @1.1.1.1 : la réponse doit contenir des enregistrements RRSIG et le drapeau ad dans la ligne flags. Vérifiez aussi que dig DS votredomaine.fr +short renvoie un DS dont l’identifiant de clé correspond à votre KSK. Pour un diagnostic visuel complet, saisissez le domaine sur DNSViz : la chaîne de la racine à votre zone doit apparaître sans erreur.

Que signifie un domaine DNSSEC « bogus » ?

Un domaine est « bogus » lorsque la chaîne de confiance existe mais ne se vérifie pas : DS qui ne correspond plus à la clé, signatures expirées, zone déplacée sans mise à jour du DS. Les résolveurs validants répondent alors SERVFAIL pour tous les enregistrements du domaine. Le site, la messagerie et les sous-domaines deviennent injoignables pour ces utilisateurs, alors que les serveurs fonctionnent normalement.

Faut-il désactiver DNSSEC avant un transfert de domaine ?

Si le transfert s’accompagne d’un changement de serveurs DNS, oui : retirez le DS chez le registrar actuel, attendez l’expiration de son TTL, puis effectuez le transfert et la bascule, et signez à nouveau chez le nouvel hébergeur. Si les serveurs DNS ne changent pas, vérifiez simplement après le transfert que le DS est toujours publié et identique, car certains registrars le suppriment au passage.

DNSSEC remplace-t-il le certificat SSL ?

Non. DNSSEC garantit que l’adresse IP renvoyée pour votre domaine est authentique ; il ne chiffre ni les requêtes DNS ni le trafic web. Le certificat SSL chiffre les échanges entre le navigateur et le serveur et prouve l’identité du site. Les deux protections se complètent : HTTPS reste la priorité, DNSSEC vient fermer une porte supplémentaire, surtout si le domaine porte une messagerie.

Guides liés

Pour aller plus loin sur le même sujet, et sur ce qui l’entoure :

Sources techniques

[1] AFNIC — Office d’enregistrement du .fr : DNSSEC, dépôt des enregistrements DS et outils de test [2] ANSSI — Bonnes pratiques pour l’acquisition et l’exploitation de noms de domaine [3] Plesk — Documentation Plesk Obsidian : extension DNSSEC, signature de zone et enregistrement DS [4] DNSViz — Outil de visualisation et d’analyse de la chaîne de confiance DNSSEC [5] Verisign Labs — DNSSEC Analyzer, vérification pas à pas d’un domaine signé [6] IETF — RFC 4033, DNS Security Introduction and Requirements

Votre situation ne correspond pas exactement à ce guide ?

Les options visibles et les formules dépendent de votre abonnement. Faites vérifier le contexte depuis l’Espace client, sans transmettre de mot de passe.

Demander une vérification

DNSSEC sur un domaine .fr : ce que ça protège, comment l’activer et le vérifier