Ogni volta che qualcuno visita il tuo sito o ti invia un’email, il suo computer chiede al DNS: “qual è l’indirizzo di questo dominio?”. Il DNSSEC serve a garantire che la risposta sia quella giusta.
Il problema: risposte DNS falsificate
Il DNS è nato quando internet era una rete piccola e fidata, e non prevede verifiche: chi riceve una risposta non ha modo di sapere se è autentica. Questo apre la porta ad attacchi come il cache poisoning, in cui un aggressore inserisce risposte false nelle cache dei resolver DNS. Risultato: chi digita il tuo dominio può finire su un sito clone, oppure le email destinate a te possono essere deviate.
La soluzione: firme digitali
Il DNSSEC aggiunge una firma digitale alle risposte DNS del tuo dominio. Il resolver che riceve la risposta verifica la firma e, se non corrisponde, la scarta.
La fiducia funziona a catena: la zona radice di internet garantisce la zona .eu, che garantisce il tuo dominio. Per questo il DNSSEC va attivato sia sui server DNS del dominio sia presso il registro, ed è il registrar a collegare i due anelli.
Cosa protegge e cosa no
Il DNSSEC garantisce che l’indirizzo restituito dal DNS sia autentico. Non cifra il traffico (quello è il compito di HTTPS) e non protegge da un account violato presso il tuo registrar. È un livello in più, non un sostituto delle altre misure di sicurezza.
Rallenta il sito?
No. La verifica delle firme avviene nei resolver DNS ed è leggerissima. Chi visita il sito non nota alcuna differenza.
Come attivarlo con WeRegister
Il registro .eu supporta il DNSSEC. Se usi il DNS di WeRegister, lo attivi dal pannello senza configurare chiavi a mano: firma della zona e pubblicazione presso EURid sono gestite per te.
Scopri cosa puoi configurare nella pagina gestione DNS e DNSSEC.