Co robi ten tool
Ten walidator przechodzi przez lancuch zaufania DNSSEC dla dowolnej domeny i pokazuje, poziom po poziomie, czy jest on poprawnie podpisany. Widzisz root (.), TLD (np. `.com`) oraz Twoja domene, kazdy z rekordami DNSKEY, rekordem DS u rodzica, algorytmem (RSASHA256, ECDSAP256, ED25519, ...) i key tagiem.
Sama weryfikacja kryptograficzna jest robiona przez walidujacy resolver Cloudflare 1.1.1.1: my pytamy go z prosba o sprawdzenie podpisow i czytamy zwrocona flage AD (Authenticated Data). Zielone = podpisana i zweryfikowana. Zolte = poziom po prostu nie uzywa DNSSEC. Czerwone = podpisy albo DS nie pasuja i lancuch jest uszkodzony.
Jak uzywac
- Wpisz domene np. `cloudflare.com` (bez `https://`, bez sciezki).
- Kliknij Sprawdz DNSSEC. Odpytujemy DoH o DNSKEY na kazdym poziomie i o DS u rodzica.
- Czytaj karte lancucha z gory na dol: root, potem TLD, na koncu Twoja domena. Kazda karta jest kolorowana.
- Zielony = podpisana i zweryfikowana. Zolty = brak DNSSEC na tym poziomie (nie blad, po prostu bez ochrony). Czerwony = uszkodzony lancuch, klienci moga odrzucic domene.
- Zajrzyj do tabel DS / DNSKEY: key tagi musza sie zgadzac miedzy DNSKEY dziecka a DS rodzica. Algorytm i typ digestu mowia ci, jaka kryptografia jest uzywana.
- Wyprobuj przyklady: cloudflare.com, paypal.com, ietf.org sa w pelni podpisane. example.com sama jest podpisana ale jej podstrefa nie, wiec ladzie w "czesciowo".
Kiedy sie przydaje
Szesc miejsc, gdzie walidator lancucha DNSSEC bije czytanie surowego `dig +trace +dnssec`:
- Audyt domeny, na ktorej wlasnie wlaczyles DNSSEC. Klikneles przelacznik u rejestratora, wkleiles DS u rodzica, teraz musisz potwierdzic, ze obie strony sie zgadzaja. Wizualizacja lancucha ujawnia niedopasowanie key tagow w kilka sekund.
- Debug bledow "DNSSEC validation failure". Uzytkownicy widza nagly `SERVFAIL` tylko na walidujacych resolverach (Cloudflare, Google, Quad9). Czerwona karta wskazuje poziom, ktory pekl, a komunikat tlumaczy dlaczego.
- Checklist pre-launch dla domen bankowych, rzadowych i kazdej innej domeny o wysokim zaufaniu. Pelny DNSSEC blokuje cala klase atakow (cache poisoning, on-path DNS spoofing). Sprawdz przed startem.
- Porownanie dwoch domen. Odpal `twojbank.pl` obok konkurencji i zobacz kto faktycznie wdraza DNSSEC.
- Weryfikacja rotacji u rodzica. Wymieniles KSK w rejestrze, wyslales nowy DS, chcesz potwierdzic, ze propagacja sie skonczyla i flaga AD wrocila do true.
- Nauka DNSSEC. Trzypoziomowy lancuch (root, TLD, SLD) plus rekordy na kazdym poziomie to najczystszy sposob wyjasnienia delegacji i zaufania komus, kto nigdy tego nie widzial.
Powiazane narzedzia: DNS lookup, reverse DNS PTR, email DNS checker, WHOIS lookup, generator par kluczy DKIM.