🔏 DNSSEC 検証
DNSSEC（DNS Security Extensions）が有効化されているかを確認します。Cloudflare DNS-over-HTTPS にクエリを投げ、応答の AD（Authenticated Data）フラグ・親ゾーンの DS レコード・DNSKEY をチェックします。
完全無料
登録不要
サーバー処理
ログ・DB 保存なし
レート制限あり
5 言語対応
ダークモード
📖 この診断で分かること
この診断は検証機能付きのリゾルバに問い合わせ、応答の AD フラグ（署名検証に成功したという印）、親ゾーンに登録された DS レコード、ゾーン自身の DNSKEY の 3 つを確認します。DNSSEC が保証するのは「返ってきた答えが改ざんされていないこと」だけで、通信の暗号化は一切しません。誰がどのドメインを引いたかは平文のまま流れます。そちらは DoH / DoT の担当です。
| 判定項目 | 何を見ているか | 引っかかったときの対処 |
|---|---|---|
| DNSKEY はあるが DS が無い | ゾーンに署名は付いているのに、親（レジストリ）が「この鍵を信じてよい」と宣言していない状態です。信頼の連鎖が途中で切れているため、検証リゾルバから見れば DNSSEC は無効と同じで、署名の手間だけが掛かっています。ドメイン移管の直後に最も多く発生します。 | レジストラの管理画面で DS レコード（またはそれを生成する DNSKEY）を登録します。項目はキータグ・アルゴリズム・ダイジェストタイプ・ダイジェストの 4 つで、DNS 事業者の画面からコピーできます。移管や NS 変更のときは、まず DS を外して署名を止め、移管後に付け直すのが安全な手順です。 |
| DS はあるのに AD フラグが false | 検証に失敗しています。原因はほぼ RRSIG の期限切れか、鍵ロールオーバーの失敗です。DNSSEC の障害は「ドメインが存在しない」ではなく SERVFAIL として現れ、検証リゾルバを使う利用者からはサイトもメールも完全に消えます。設定ミスの中でも影響が最も大きい部類です。 | 鍵の管理は手動でやらないでください。BIND なら inline-signing yes; auto-dnssec maintain;、Knot なら自動 KSK/ZSK ロールオーバー、権威 DNS が SaaS ならワンクリック有効化に任せます。署名の有効期限は既定でおおむね 2〜4 週間なので、再署名が止まると気付くまでに数週間の猶予しかありません。監視を入れてください。 |
| 有効化した直後から一部で名前が引けない | DNSSEC は署名を載せるぶん応答が大きくなります。UDP のパケットが断片化して途中の機器に落とされたり、TCP へのフォールバックがファイアウォールで塞がれていたりすると、応答だけが届かないという分かりにくい障害になります。「サイトは見えるがメールが届かない」といった片側だけの症状もこれが原因のことがあります。 | EDNS0 のバッファサイズを 1232 バイトに設定し（DNS Flag Day 2020 の推奨値）、ファイアウォールで TCP/53 を必ず通します。鍵のアルゴリズムは RSA ではなく ECDSA P-256（algorithm 13）を選ぶと、鍵も署名も小さくなりこの問題自体が起きにくくなります。 |
DNSSEC が守るのは DNS の応答だけで、Web サイトの安全性とは別の層の話です。有効にしても HTTPS は依然として必要ですし、逆に HTTPS があれば DNS を偽装されても証明書の検証で止まります。それでも DNSSEC に意味があるのは、証明書の発行そのものが DNS 認証で行われるため（ACME の DNS-01 チャレンジ、CAA レコードの参照）で、DNS を偽装できる攻撃者は正規の証明書を取得できてしまいます。