Ce que fait cet outil
Cet outil parcourt la chaîne de confiance DNSSEC pour n'importe quel domaine et vous montre, niveau par niveau, s'il est correctement signé. Vous obtenez la racine (.), le TLD (comme `.fr` ou `.com`) et votre domaine, chacun avec ses enregistrements DNSKEY, l'enregistrement DS chez la zone parente, l'algorithme utilisé (RSASHA256, ECDSAP256, ED25519, ...) et le key tag.
La vérification cryptographique réelle est faite par le résolveur validant Cloudflare 1.1.1.1 : on configure le résolveur pour vérifier les signatures et on lit son flag AD (Authenticated Data). Vert = signé et validé, jaune = ce niveau n'utilise simplement pas DNSSEC, rouge = signatures ou enregistrements DS ne correspondent pas et la chaîne est cassée.
Mode d'emploi
- Tapez un domaine comme `cloudflare.com` (sans `https://`, sans chemin).
- Cliquez sur Valider DNSSEC. On interroge DoH pour DNSKEY à chaque niveau et DS chez le parent.
- Lisez la carte de chaîne de haut en bas : racine, puis TLD, puis votre domaine. Chaque carte est codée par couleur.
- Vert = signé et authentifié. Jaune = pas de DNSSEC à ce niveau (pas une erreur, juste non protégé). Rouge = chaîne cassée, les clients peuvent refuser le domaine.
- Inspectez les tables DS / DNSKEY : les key tags doivent correspondre entre un DNSKEY enfant et un DS parent. L'algorithme et le type de digest indiquent quelle crypto est utilisée.
- Essayez les exemples : cloudflare.com, paypal.com, ietf.org sont entièrement signés. example.com est signé mais sa sous-zone ne l'est pas, il atterrit donc en "partiel".
Quand cet outil est utile
Six situations où un validateur de chaîne DNSSEC bat la lecture brute de `dig +trace +dnssec` :
- Auditer un domaine que vous venez d'activer DNSSEC pour. Vous avez basculé l'interrupteur chez votre registrar, vous avez collé l'enregistrement DS chez le parent, maintenant vous devez confirmer que les deux côtés correspondent. La visualisation de la chaîne rend un mismatch de key tag évident en quelques secondes.
- Déboguer les erreurs "DNSSEC validation failure". Les utilisateurs finaux voient un `SERVFAIL` soudain uniquement sur les résolveurs validants (Cloudflare, Google, Quad9). La carte rouge pointe le niveau cassé et le message explique pourquoi.
- Checklist pré-lancement pour banque, gouvernement et tout domaine à forte confiance. Un DNSSEC entièrement signé bloque toute une classe d'attaques (cache poisoning, spoofing DNS on-path). Confirmez avant la mise en ligne.
- Comparer deux domaines côte à côte. Lancez `votre-banque.fr` contre un concurrent et voyez qui déploie réellement DNSSEC.
- Vérifier une rotation de zone parente. Vous avez tourné la KSK au registre, vous avez soumis un nouveau DS, vous voulez confirmer que la propagation est finie et que le flag AD est revenu à true.
- Enseigner DNSSEC. La chaîne à trois niveaux (racine, TLD, SLD) plus les enregistrements par niveau est la façon la plus propre d'expliquer la délégation et la confiance à quelqu'un qui n'a jamais vu ça.
Outils liés : consultation DNS, consultation DNS inverse PTR, vérificateur DNS email, consultation WHOIS, générateur de clés DKIM.