DNSSEC voor bedrijven: wat het doet en hoe u het regelt

DNSSEC zorgt ervoor dat bezoekers en mailservers die uw domeinnaam opzoeken ook echt bij uw website en mailserver uitkomen, en niet bij een vervalst adres van een aanvaller. Het voegt een digitale handtekening toe aan de DNS-gegevens van uw domein, zodat iedere validerende resolver kan controleren of het antwoord echt is. Voor een bedrijf, en zeker voor een webshop, is het advies dus kort: zet DNSSEC aan op al uw domeinnamen, kies een modern algoritme en zorg dat iemand het beheer ervan bewaakt. Hieronder leest u wat DNSSEC precies doet, waar het ophoudt, hoe het instellen werkt, wat het kost en hoe u controleert of alles goed staat.

Kort samengevat

• DNSSEC ondertekent de DNS-records van uw domein digitaal, zodat een resolver kan controleren dat een IP-adres niet onderweg is vervalst.
• Het Forum Standaardisatie adviseert organisaties om DNSSEC altijd in te stellen voor hun domeinnamen.
• DNSSEC werkt het best samen met andere maatregelen: versleuteling van DNS-verkeer, bescherming tegen overbelasting en e-mailbeveiliging zoals SPF, DKIM en DANE.
• De kosten zijn sterk gedaald; het echte werk zit in goed beheer: sleutels vernieuwen, handtekeningen bewaken en voorzichtig omgaan met een verhuizing.
• Controleer niet alleen óf uw domein ondertekend is, maar ook met welk algoritme: moderne algoritmen zoals ECDSA hebben de voorkeur.

Inhoudsopgave

• Wat is DNSSEC precies?
• Waarom DNSSEC voor uw bedrijf telt
• Waar DNSSEC u tegen beschermt, en wat u ernaast regelt
• Zo wordt DNSSEC ingesteld
• Wat er mis kan gaan, en hoe u dat voorkomt
• Wat kost DNSSEC?
• Controleren of DNSSEC goed werkt
• Onze kijk op DNSSEC
• Uw domein en DNS in vertrouwde handen
• Veelgestelde vragen over DNSSEC
• Bronnen

Wat is DNSSEC precies?

Om DNSSEC te begrijpen, begint u bij DNS zelf. DNS is het adresboek van het internet: het vertaalt een naam als uwbedrijf.nl naar het IP-adres van de server waar uw website of mail draait. Wilt u daar eerst meer over weten, dan legt ons artikel wat DNS is en hoe het werkt de basis uit.

Het oorspronkelijke DNS is ooit ontworpen zonder beveiliging. Een resolver (de server die voor uw computer de opzoeking doet, meestal die van uw internetprovider) vraagt een adres op en gelooft het antwoord dat terugkomt. Wie erin slaagt een vals antwoord tussen te voegen, kan verkeer ongemerkt omleiden.

DNSSEC (Domain Name System Security Extensions) lost precies dat op. Volgens het Forum Standaardisatie voorziet DNSSEC DNS-informatie van een digitale handtekening, waardoor de ontvanger de echtheid en integriteit van het antwoord kan controleren. Het Forum adviseert daarom om DNSSEC altijd in te stellen voor uw domeinnamen, en voor de Nederlandse overheid staat de standaard op de lijst van open standaarden die verplicht worden toegepast.

In de praktijk werkt dat met een vertrouwensketen:

• Uw DNS-zone wordt ondertekend met een sleutelpaar. Elk record krijgt een handtekening (een RRSIG-record).
• De publieke sleutel van uw zone wordt via een DS-record vastgelegd bij de registry van uw extensie, voor .nl is dat SIDN.
• De registry is op haar beurt weer ondertekend door de root van het internet.

Zo kan een validerende resolver van boven naar beneden controleren dat het antwoord over uwbedrijf.nl echt van u komt. Klopt de handtekening niet, dan weigert de resolver het antwoord, in plaats van uw bezoeker naar een vervalst adres te sturen.

Waarom DNSSEC voor uw bedrijf telt

Stel: u heeft een webshop. Een klant typt uw domeinnaam in, maar door een vervalst DNS-antwoord komt hij op een nagemaakte versie van uw site uit. Hij logt in, rekent af en u hoort er pas van als de klachten binnenkomen. Zonder DNSSEC kan de resolver die vervalsing niet herkennen. Met DNSSEC wel.

Hetzelfde geldt voor e-mail. Mailservers zoeken via DNS op waar mail voor uw domein naartoe moet. Wie die opzoeking manipuleert, kan mail onderscheppen. Voor e-mail is DNSSEC bovendien de basis onder DANE, een standaard waarmee mailservers versleutelde verbindingen kunnen afdwingen. In ons artikel over DANE, DKIM en SPF voor zakelijke e-mail leest u hoe die maatregelen samenwerken.

ICANN wijst erop dat organisaties die DNSSEC niet invoeren hun gebruikers blootstellen aan DNS-spoofing, terwijl de kosten en risico’s van invoering de afgelopen jaren sterk zijn afgenomen. Voor een mkb-bedrijf is DNSSEC daarmee een van de maatregelen met de beste verhouding tussen moeite en bescherming. Het past in een bredere aanpak van websitebeveiliging en klantvertrouwen: klanten moeten erop kunnen rekenen dat uw domein echt naar u leidt.

Waar DNSSEC u tegen beschermt, en wat u ernaast regelt

DNSSEC doet één ding heel goed: het garandeert dat DNS-antwoorden echt zijn. Het is bewust geen alles-in-één-oplossing, en dat hoeft ook niet. Een goed beveiligd domein combineert DNSSEC met een paar andere maatregelen.

Eén punt verdient extra aandacht: de bescherming werkt alleen als de hele keten meedoet. De DNSSEC-FAQ van DNSSEC.nl legt uit dat validatie door resolvers nodig is om echt van DNSSEC te profiteren, inclusief de caching-servers van de internetprovider. Uw kant van de keten, het ondertekenen van uw domein, heeft u zelf in de hand. Hoe meer resolvers valideren, hoe meer bezoekers die ondertekening beschermt.

Wilt u ook beschikbaarheid goed regelen? Lees dan hoe zakelijke DNS-failover uw domein bereikbaar houdt als een server uitvalt.

Zo wordt DNSSEC ingesteld

Hoe het instellen precies gaat, hangt af van waar uw DNS wordt beheerd. Het principe is overal hetzelfde. In vier stappen:

1. Uw DNS-zone ondertekenen. De partij die uw nameservers beheert, maakt sleutels aan en ondertekent alle records in uw zone. Meestal zijn dat twee sleutels: een Key Signing Key (KSK) en een Zone Signing Key (ZSK).
2. Het DS-record publiceren. Van de KSK wordt een DS-record afgeleid. Dat gaat via uw registrar naar de registry, voor .nl dus naar SIDN. Pas dan is de vertrouwensketen compleet. ICANN beschrijft deze stap als een eenmalige proceswijziging aan de publicatiekant.
3. Handtekeningen automatisch vernieuwen. RRSIG-handtekeningen hebben een houdbaarheid. Moderne DNS-software vernieuwt ze automatisch, zodat er nooit een verlopen handtekening online staat.
4. Sleutels op tijd vervangen. Sleutels worden periodiek vervangen (een rollover). Bij de ZSK gebeurt dat binnen de zone, bij de KSK moet ook het DS-record bij de registry mee veranderen.

Zitten uw domeinregistratie en uw DNS-beheer bij dezelfde partij, dan lopen stap 1 en 2 vaak in één beweging. Zijn ze verdeeld over twee partijen, dan moet het DS-record netjes van de ene naar de andere worden doorgegeven. Meer over hoe registratie en beheer in elkaar grijpen, leest u in hoe zakelijke domeinregistratie werkt.

Kies een modern algoritme

Niet elke ondertekening is even sterk. SIDN Labs wijst op het belang van moderne algoritmen zoals ECDSA, die DNS-antwoorden klein houden en zo prestatieproblemen voorkomen. Oudere varianten zoals RSA met SHA-1 gelden niet langer als veilig. SIDN beloont .nl-registrars inmiddels alleen nog voor domeinen die met moderne, veilige algoritmen zijn ondertekend. Een goed teken: de markt beweegt mee naar de veilige standaard.

NLXS

Bespreek DNS en domeinbeveiliging

Kom langs om uw hosting- en ICT-behoeften te bespreken en ontdek hoe NLXS infrastructuuroplossingen op uw organisatie kan afstemmen.

NLXS

Lage Mosten 51, 4822 NK Breda

Bekijk de route

© OpenStreetMap contributors

Wat er mis kan gaan, en hoe u dat voorkomt

DNSSEC is betrouwbaar zolang het beheer klopt. De risico’s zitten vrijwel altijd in handmatig werk of in een overdracht die niet goed is afgestemd. Dit zijn de drie situaties om op te letten.

Verlopen handtekeningen

Handtekeningen hebben een einddatum. Onderzoek naar kwetsbaarheden in DNS en DNSSEC noemt het bewaken van die houdbaarheid een belangrijke beheertaak: bij handmatig beheer kunnen verlopen handtekeningen ertoe leiden dat uw domein niet meer wordt gevonden. Validerende resolvers behandelen een verlopen handtekening namelijk als onbetrouwbaar. De oplossing is automatisch ondertekenen en monitoring die alarm slaat ruim voordat een handtekening verloopt.

Een sleutelwissel die niet aansluit

Wordt de KSK vervangen, maar blijft het oude DS-record bij de registry staan, dan past de keten niet meer. Ook dan weigeren validerende resolvers uw domein. Bij goed beheer verloopt een rollover in stappen: de nieuwe sleutel eerst publiceren, dan het DS-record aanpassen, en pas daarna de oude sleutel weghalen.

Verhuizen van domein of DNS

Gaat u met uw website, mail of DNS naar een andere partij, dan is dit het moment waarop het vaakst iets misgaat. Het DS-record bij de registry verwijst naar de sleutel van de oude DNS-beheerder. Zet de nieuwe partij de zone live zonder dat de keten wordt bijgewerkt, dan klopt de handtekening niet meer en is uw domein voor een deel van het internet tijdelijk onbereikbaar. Een zorgvuldige verhuizing stemt het DS-record af op de nieuwe nameservers, of neemt de ondertekening gecontroleerd over.

Precies hierom kiezen veel bedrijven ervoor het DNS-beheer niet zelf te doen. In ons stuk over wanneer DNS-beheer uitbesteden slim is zetten we de afwegingen op een rij.

Wat kost DNSSEC?

DNSSEC zelf is een open standaard; u betaalt niet voor de techniek, maar voor de dienst van uw registrar of DNS-beheerder. In een analyse van RIPE Labs uit 2018 rekenden Nederlandse registrars die DNSSEC aanboden toen tussen € 7,49 en € 30,00 per jaar voor een .nl-domein, tegenover gemiddeld € 4,00 per jaar bij registrars zonder DNSSEC. Een enkele aanbieder rekende DNSSEC destijds als betaalde extra optie.

Sindsdien zijn de kosten verder gedaald. Volgens ICANN automatiseren moderne DNS-software en registratiesystemen het ondertekenen, en zijn de kosten aan de opzoekzijde verwaarloosbaar zolang de software redelijk modern is. Voor een mkb-bedrijf komt de rekensom dan ook neer op een paar euro per domein per jaar tegenover het risico dat klanten op een vervalste site uitkomen.

Let bij het vergelijken vooral op wat er bij de prijs hoort:

• Wordt de ondertekening automatisch vernieuwd?
• Wie regelt een sleutelwissel en het bijwerken van het DS-record?
• Welk algoritme wordt gebruikt?
• Wie houdt bij een verhuizing de keten in de gaten?
• Kunt u iemand direct bellen als er toch iets niet klopt?

Controleren of DNSSEC goed werkt

Of uw domein goed is beveiligd, kunt u op een paar manieren nagaan.

1. Online test. Er zijn gratis webtools waarin u uw domeinnaam invult en die laten zien of de vertrouwensketen van root tot uw zone klopt.
2. Opdrachtregel. Een technische collega kan met het commando dig +dnssec uwbedrijf.nl zien of er RRSIG-records meekomen, en met dig DS uwbedrijf.nl of het DS-record bij de registry staat.
3. Algoritme nalopen. SIDN Labs adviseert om bij metingen niet alleen naar ondertekening te kijken, maar ook naar het gebruikte algoritme en de juiste configuratie van de nameservers. Een domein met RSA SHA-1 is wel ondertekend, maar niet meer volgens de huidige stand van zaken.
4. Na elke wijziging opnieuw. Test opnieuw na een verhuizing, een wissel van nameservers of een sleutelwissel. Dat zijn de momenten waarop een keten kan breken.

Zie u in een test meldingen als “bogus” of “insecure”, of staat er een verouderd algoritme? Neem dan contact op met de partij die uw DNS beheert, voordat u zelf records aanpast. Een verkeerd verwijderd DS-record of een halve rollover maakt het probleem groter in plaats van kleiner.

Onze kijk op DNSSEC

We merken vaak dat ondernemers DNSSEC zien als iets technisch voor grote organisaties. Dat begrijpen we, maar het klopt niet. Juist een kleine webshop of een adviesbureau met een handvol medewerkers heeft er baat bij dat klanten altijd op de echte website en het echte mailadres uitkomen.

Voor ons is DNSSEC geen losse vinkje-actie, maar een onderdeel van goed DNS-beheer. Aanzetten is het makkelijke deel. Wat het verschil maakt, is wat er daarna gebeurt: handtekeningen die op tijd worden vernieuwd, een sleutelwissel die netjes aansluit en een verhuizing waarbij niemand de keten vergeet. Daar gaat het in de praktijk mis, en daar willen we klanten juist van ontzorgen.

Daarom vinden we persoonlijke bereikbaarheid zo belangrijk. Als er iets niet klopt met uw domein, wilt u niet in een ticketwachtrij belanden. U wilt iemand aan de lijn die uw omgeving kent en het probleem dezelfde dag oplost. Met een vast maandbedrag zonder verrassingen weet u bovendien vooraf waar u aan toe bent.

Ken

Uw domein en DNS in vertrouwde handen

Bij NLXS regelen we domeinregistratie, DNS-beheer, webhosting en ICT-beheer voor mkb-bedrijven, webshops en organisaties die hun ICT volledig willen uitbesteden. U heeft één aanspreekpunt, bent direct telefonisch bij ons terecht en betaalt een transparant maandbedrag. Wilt u weten hoe uw domeinnamen en DNS ervoor staan, of wilt u uw domein met de zekerheid van goed beheer onderbrengen? Bekijk wat we doen op nlxs.nl of lees meer over DNS-beheer voor bedrijven zonder gedoe.

Draait uw website op WordPress? Met onze WordPress-webhosting zitten hosting en domein bij één partij, zodat er bij een verhuizing of wijziging niets tussen wal en schip valt. Neem contact met ons op, we denken graag met u mee.

Veelgestelde vragen over DNSSEC

Is DNSSEC verplicht voor bedrijven?

Voor bedrijven in Nederland is DNSSEC niet wettelijk verplicht. Voor de overheid staat het op de lijst van verplichte open standaarden, en het Forum Standaardisatie adviseert iedere organisatie om het voor haar domeinnamen in te stellen. Voor een bedrijf met een website, webshop of zakelijke mail is het daarmee een vanzelfsprekende basismaatregel.

Merken mijn bezoekers iets van DNSSEC?

Nee. De controle gebeurt op de achtergrond door de resolver van de bezoeker. Ze zien geen extra slotje of melding; ze komen simpelweg op uw echte website uit. Alleen als iemand een antwoord probeert te vervalsen, grijpt DNSSEC in.

Maakt DNSSEC mijn website trager?

Bij een goede inrichting merkt u daar in de praktijk niets van. Moderne algoritmen zoals ECDSA houden de DNS-antwoorden klein, en resolvers bewaren gecontroleerde antwoorden tijdelijk, zodat de controle niet bij elk bezoek opnieuw volledig hoeft.

Wat gebeurt er met DNSSEC als ik mijn domein verhuis?

De vertrouwensketen moet mee verhuizen. Het DS-record bij de registry moet aansluiten op de sleutels van de nieuwe DNS-beheerder, anders kan uw domein tijdelijk onbereikbaar zijn voor validerende resolvers. Laat een verhuizing daarom uitvoeren door een partij die de DNSSEC-stappen in het verhuisplan meeneemt.

Beschermt DNSSEC ook mijn zakelijke e-mail?

DNSSEC zorgt ervoor dat mailservers de juiste mailserver voor uw domein vinden, en het is de basis voor DANE. Voor volledige e-mailbeveiliging combineert u het met SPF, DKIM en DMARC, zodat ook vervalste afzenders worden tegengehouden.

Bronnen

• Forum Standaardisatie: DNSSEC
• DNSSEC.nl: veelgestelde vragen over DNSSEC
• ICANN: DNSSEC, Securing the DNS
• SIDN Labs: SIDN waarschuwt voor kwetsbare DNSSEC-instellingen
• SIDN Labs: DNSSEC-metingen, de state of the art en aanbevelingen
• Security vulnerabilities in DNS and DNSSEC
• RIPE Labs: Bang for the Buck, the Adoption of DNSSEC and Return on Investment

Aanbevelingen

• DNS beheer voor bedrijven zonder gedoe
• Beste zakelijke DNS-oplossing voor het mkb