DNSSEC est une protection supplémentaire de votre nom de domaine : les réponses DNS de votre domaine sont signées, ce qui permet aux résolveurs qui la contrôlent de refuser une réponse falsifiée. Pour un domaine enregistré chez SwissCenter et servi par nos serveurs de noms, la console des noms de domaines de votre console Apanel vous permet de l'activer, puis de le désactiver, en quelques clics.
Quand vous cliquez sur Activer DNSSEC, la console crée une clé de signature pour la zone DNS de votre domaine sur nos serveurs, puis publie la clé correspondante (l'enregistrement DS) auprès du registre du domaine. Vous n'avez aucune clé à saisir ni à copier vous-même.
Prérequis
- Être propriétaire du nom de domaine, ou en être le contact technique
- Que le domaine soit enregistré chez SwissCenter : seuls ces domaines apparaissent dans la console des noms de domaines
- Que le domaine soit délégué à nos serveurs de noms (
ns1.swisscenter.com à ns4.swisscenter.com) : voir l'article sur les serveurs de noms
- Que la zone DNS du domaine existe chez SwissCenter, c'est-à-dire que le domaine soit bien configuré sur votre hébergement avec le service DNS
Ce qu'il faut savoir avant de commencer
- Le bouton n'apparaît que dans les bons cas. Activer DNSSEC est proposé seulement si tous les serveurs de noms du domaine sont les nôtres et si la zone DNS du domaine existe chez nous. Si les serveurs de noms sont ceux d'un autre hébergeur, ou si aucun serveur n'est configuré, le bouton n'est pas affiché : commencez par déléguer le domaine à nos serveurs.
- Domaine enregistré ailleurs. Un domaine enregistré chez un autre registrar n'apparaît pas dans la console : la console SwissCenter ne peut pas y activer DNSSEC. Contactez-nous si vous avez besoin de DNSSEC dans ce cas.
- Vous ne pourrez plus modifier les serveurs de noms tant que DNSSEC est actif. La console vous en avertit avant l'activation, et le bouton Editer du bloc Serveurs de noms disparaît. Pour changer de serveurs de noms, il faut d'abord désactiver DNSSEC.
- Ne quittez jamais nos serveurs avec DNSSEC actif. La clé publiée auprès du registre correspond à la zone hébergée chez nous. Si le domaine est servi ailleurs alors que cette clé reste publiée, les résolveurs qui vérifient DNSSEC ne peuvent plus valider les réponses et le domaine devient injoignable pour eux. Désactivez DNSSEC avant de déléguer le domaine à un autre hébergeur DNS.
- Transfert vers SwissCenter. Si vous transférez un domaine chez nous, désactivez DNSSEC chez votre fournisseur actuel avant de lancer le transfert : un domaine protégé par DNSSEC ne peut pas être transféré tant que l'option reste active.
- Ce que fait la désactivation. Désactiver DNSSEC retire la clé publiée auprès du registre et rend l'option inactive dans la console. La clé de signature elle-même reste sur nos serveurs, programmée pour suppression 24 heures plus tard. Si vous réactivez DNSSEC avant cette suppression, la clé existante est reprise.
- Délai. La console ne donne aucun délai pour la prise en compte du changement par le registre ni par les résolveurs des internautes. Après une activation ou une désactivation, ne changez pas d'hébergeur DNS immédiatement.
Activer DNSSEC pour un domaine
- Connectez-vous à votre console Apanel.
- Dans le menu du haut, cliquez sur Console de gestion des noms de domaines. La console des domaines s'ouvre dans un nouvel onglet. Si l'entrée n'apparaît pas, vos noms de domaine ne sont pas rattachés à ce compte : contactez-nous.
- Dans le Tableau de bord, le bloc Liste des domaines affiche chaque domaine avec sa ligne DNSSEC (Activé ou Désactivé) quand il est servi par nos serveurs de noms. Cliquez sur le nom du domaine.
- Sur la page Tableau de bord du domaine, repérez le bloc Serveurs de noms. Vérifiez qu'il liste bien nos serveurs de noms.
- En haut du bloc, à côté de Editer, cliquez sur Activer DNSSEC. Si ce bouton n'apparaît pas, voir « En cas de problème ».
- Une fenêtre demande « Êtes-vous sûr de vouloir activer DNSSEC pour le domaine votresite.ch ? » et rappelle : « Attention : Vous ne pourrez plus modifier les serveurs de noms tant que DNSSEC est actif. » Cliquez sur Activer DNSSEC pour confirmer, ou sur Non pour renoncer.
- La fenêtre se ferme et la page se recharge. La console n'affiche pas de message de réussite : le bloc Serveurs de noms affiche maintenant « DNSSEC est activé pour ce domaine », avec les boutons Afficher les clés publiques et Désactiver DNSSEC, et la ligne DNSSEC de la Liste des domaines indique Activé.
Afficher les clés publiques
Quand DNSSEC est actif, le bouton Afficher les clés publiques ouvre la fenêtre DNSSEC : Clés publiques. Elle affiche un tableau avec les colonnes keytag, algo, digest type et digest : ce sont les valeurs de l'enregistrement DS publié auprès du registre. Vous n'en avez besoin que si un tiers vous demande de les vérifier. Ces valeurs sont relues auprès du registre et conservées 100 secondes en mémoire : si le tableau est vide, fermez la fenêtre et rouvrez-la un peu plus tard.
Désactiver DNSSEC
- Dans la console des noms de domaines, cliquez sur le nom du domaine, puis repérez le bloc Serveurs de noms, qui affiche « DNSSEC est activé pour ce domaine ».
- Cliquez sur Désactiver DNSSEC.
- La fenêtre demande « Êtes-vous sûr de vouloir désactiver DNSSEC pour le domaine votresite.ch ? » et affiche « Attention : cette opération est irréversible. » Cliquez sur Désactiver DNSSEC pour confirmer, ou sur Non pour renoncer.
- La page se recharge, sans message de réussite. Le bouton Editer et le bouton Activer DNSSEC reviennent dans le bloc Serveurs de noms (ce dernier seulement si le domaine est toujours servi par nos serveurs), et la ligne DNSSEC de la Liste des domaines indique Désactivé. Vous pouvez alors modifier les serveurs de noms : voir l'article sur les serveurs de noms.
En cas de problème
- Le bouton Activer DNSSEC n'apparaît pas : les serveurs de noms du domaine ne sont pas tous les nôtres (ou aucun n'est configuré), ou la zone DNS du domaine n'existe pas chez nous. Déléguez d'abord le domaine à
ns1.swisscenter.com à ns4.swisscenter.com (voir l'article sur les serveurs de noms) et vérifiez dans le Gestionnaire DNS que le domaine est configuré sur votre hébergement.
- Le bouton Editer n'apparaît pas : DNSSEC est actif sur le domaine. Cliquez sur Désactiver DNSSEC et confirmez, puis modifiez les serveurs de noms.
- La ligne DNSSEC n'apparaît pas dans la Liste des domaines : elle n'est affichée que pour les domaines servis par nos serveurs de noms.
- « Une erreur c'est produite lors de l'opération. Code d'erreur : … » : l'opération n'a pas abouti. Réessayez une fois ; si le message revient, contactez-nous en indiquant le code d'erreur affiché.
- Après un clic sur Activer DNSSEC, le bouton est toujours là : rien n'a été activé. Vérifiez les conditions ci-dessus, puis contactez-nous.
- Le domaine n'est pas accessible dans la console, ou la page refuse l'accès : c'est le cas quand le domaine est en statut « En attente de paiement », « Transfert en cours », « Erreur lors du transfert », « Suspendu » ou « Mises à jour bloquées ». Réglez la facture, attendez la fin du transfert, ou contactez-nous pour les autres cas.
- Votre site ou vos courriels ne sont plus joignables depuis quelques réseaux après un changement d'hébergeur DNS : DNSSEC était probablement encore actif. Si vous en avez encore la main, désactivez DNSSEC ; sinon contactez-nous.
- L'option s'affiche « activée » mais le domaine ne répond plus ou se comporte mal : désactivez DNSSEC, puis contactez-nous en précisant le nom du domaine et l'heure de l'activation.