Verificare il DNSSEC di un dominio

Cos’è DNSSEC, come firma crittograficamente la tua zona DNS per fermare l’avvelenamento della cache e lo spoofing, come verificare se un dominio lo ha attivo e l’avviso indispensabile: un’attivazione sbagliata — un record DS che non corrisponde alla tua chiave — lascia il dominio irraggiungibile con SERVFAIL. Con spiegazione passo dopo passo.

STRUMENTO GRATUITO · SENZA REGISTRAZIONE

Controlla la sicurezza della posta del tuo dominio

Il nostro analizzatore gratuito verifica in pochi secondi l’autenticazione della posta del tuo dominio (SPF, DKIM, DMARC e MX), la base che impedisce di impersonare il tuo marchio via email. DNSSEC agisce su un altro livello — la firma della zona DNS — e si valida in modo diverso, con una query dig +dnssec o un validatore specializzato, come spieghiamo più sotto. Registrati se vuoi un monitoraggio continuo della tua superficie DNS e di posta.

Che cos’è DNSSEC?

DNSSEC (DNS Security Extensions, definito negli RFC 4033, 4034 e 4035) è un insieme di estensioni che aggiungono firme crittografiche ai record DNS. Il DNS classico risponde senza alcuna prova di autenticità: un resolver non può sapere se la risposta ricevuta proviene davvero dalla zona legittima o se qualcuno l’ha manomessa lungo il percorso. DNSSEC lo risolve firmando ogni insieme di record con una chiave privata e pubblicando la chiave pubblica nel DNS stesso, così che un resolver validante possa verificare matematicamente che la risposta è autentica e non alterata. A questo scopo introduce diversi nuovi tipi di record: DNSKEY (le chiavi pubbliche), RRSIG (la firma di ogni insieme di record), DS (il collegamento di fiducia verso la zona genitore) e NSEC/NSEC3 (la prova autenticata che un nome non esiste).

Perché conta: ferma l’avvelenamento e lo spoofing del DNS

Senza DNSSEC, il DNS è vulnerabile all’avvelenamento della cache (cache poisoning) e ad attacchi man-in-the-middle che iniettano risposte false: un attaccante può fare in modo che tuodominio.com si risolva verso il suo server e reindirizzare i tuoi utenti a un sito fraudolento, intercettare la posta o rubare credenziali senza che la vittima si accorga di nulla. Il classico attacco di Kaminsky (2008) ha dimostrato quanto sia pratico. Con DNSSEC, qualsiasi risposta manomessa fallisce la validazione della firma e il resolver la scarta. Una sfumatura importante: DNSSEC garantisce autenticità e integrità (che la risposta è quella reale e non è cambiata), ma non riservatezza: non cifra le tue query DNS. Per cifrare il traffico DNS si usano altre tecnologie (DNS over HTTPS o DNS over TLS), complementari a DNSSEC.

La catena di fiducia: DS, DNSKEY e RRSIG

DNSSEC funziona come una catena che parte dalla radice del DNS e scende fino al tuo dominio. Ogni zona firma i propri record con la sua chiave privata; la chiave pubblica viaggia nel record DNSKEY (di solito c’è una KSK, la chiave di firma delle chiavi, e una ZSK, la chiave di firma della zona) e ogni insieme di record porta la sua firma in un RRSIG. L’anello che lega la tua zona al suo genitore (il TLD, per esempio .com) è il record DS: è un digest (hash) della tua chiave e si pubblica nella zona genitore tramite il tuo registrar di domini, non nel tuo DNS. Così la radice garantisce per il TLD, il TLD garantisce per il tuo dominio tramite il DS, e il tuo dominio garantisce per i suoi record. Un esempio di record DS:

example.com. 3600 IN DS 12345 13 2 A1B2C3D4E5F6...

Come verificare se un dominio ha DNSSEC

Puoi interrogarlo direttamente con dig. Il record DS presso il genitore e il DNSKEY nella tua zona confermano che le chiavi sono pubblicate:

dig DS example.com +short
dig DNSKEY example.com +short

Per sapere se la validazione funziona da un capo all’altro, interroga un resolver validante (come 1.1.1.1 o 8.8.8.8) e cerca l’indicatore ad (Authenticated Data) nei flag della risposta:

dig +dnssec example.com
;; flags: qr rd ra ad;   (il flag "ad" = risposta validata)

Per una diagnosi visiva dell’intera catena di fiducia è ideale un validatore specializzato come DNSViz o il debugger DNSSEC di Verisign. Nota: il nostro analizzatore di posta gratuito copre SPF, DKIM, DMARC e MX; DNSSEC si verifica con queste query DNS, non da quello scanner.

⚠️ Avviso: attivarlo male può mandare giù il tuo dominio

DNSSEC è una delle poche configurazioni DNS che, fatta male, lascia il tuo dominio completamente irraggiungibile. Se pubblichi presso il registrar un record DS che non corrisponde alla DNSKEY reale della tua zona — per una rotazione di chiavi mal coordinata, o migrando fornitore DNS senza rimuovere prima il DS —, tutti i resolver validanti (Google, Cloudflare, molti operatori) restituiranno SERVFAIL e i tuoi utenti smetteranno di risolvere il dominio: sito e posta giù, senza preavviso. Per questo lo trattiamo come una porta a senso unico: attivalo con cautela, coordina qualsiasi cambio di chiave (rollover) rispettando il suo periodo di sovrapposizione, non migrare mai il DNS con DNSSEC attivo senza disattivarlo prima (rimuovi il DS, attendi la scadenza del TTL, migra e ri-firma), e valida sempre il risultato con uno strumento come DNSViz prima di considerarlo concluso. Tieni pronto un piano di ripristino.

Domande frequenti su DNSSEC

Che cos’è DNSSEC e a cosa serve?

DNSSEC (DNS Security Extensions) aggiunge firme crittografiche ai record DNS così che un resolver possa verificare che una risposta è autentica e non è stata manomessa. Serve a fermare l’avvelenamento della cache e lo spoofing del DNS, che altrimenti permetterebbero di reindirizzare i tuoi utenti verso server fraudolenti.

DNSSEC cifra le mie query DNS?

No. DNSSEC garantisce autenticità e integrità (che la risposta è quella legittima e non è cambiata), ma non riservatezza: non nasconde né cifra il contenuto delle query. Per cifrare il traffico DNS si usano DNS over HTTPS (DoH) o DNS over TLS (DoT), complementari a DNSSEC.

Come faccio a sapere se il mio dominio ha DNSSEC attivo?

Verifica se esiste un record DS presso il dominio genitore e un DNSKEY nella tua zona (per esempio con dig DS tuodominio.com e dig DNSKEY tuodominio.com). Per confermare che la validazione funziona, esegui una query dig +dnssec verso un resolver validante e controlla che compaia il flag "ad". Un validatore come DNSViz ti mostra l’intera catena di fiducia.

DNSSEC può rendere il mio dominio irraggiungibile?

Sì. Se il record DS del registrar non corrisponde alla chiave DNSKEY della tua zona — per una rotazione di chiavi sbagliata o per una migrazione di fornitore DNS senza rimuovere il DS — i resolver validanti restituiscono SERVFAIL e il dominio smette di risolversi, mandando giù sito e posta. Per questo conviene attivarlo con cautela e con un piano di ripristino.

Fonti e riferimenti

Aggiornato: luglio 2026 · Contenuto informativo; non costituisce consulenza.

Continua a imparare

Monitora in continuo la tua superficie DNS e di posta

Registrati gratis su OCIRIA Security e ricevi avvisi quando la tua configurazione DNS, DNSSEC o di autenticazione della posta cambia e smette di proteggere il tuo dominio.

Registrati gratis Parla con noi