DNSSEC : pourquoi il peut faire disparaître le cadenas HTTPS et comment le réparer

Montrer le sommaire Cacher le sommaire

• Pourquoi DNSSEC peut empêcher un certificat SSL de se renouveler
• Quels signes doivent vous alerter rapidement
• Comment diagnostiquer la chaîne de confiance sans perdre de temps
• Quelles erreurs reviennent le plus souvent et quelles solutions appliquer
  • Astuce pour les rollovers sans casse
• Que faire en urgence si votre certificat est bloqué et que le site tombe
• Comment prévenir ces incidents sur le long terme
• Qui doit prendre la main quand tout va mal
• FAQ

Activer DNSSEC pour votre domaine donne l’impression d’ajouter une serrure numérique bienvenue, mais parfois cette serrure complique la délivrance des certificats SSL et peut interrompre les renouvellements. Comprendre comment la validation DNS s’intègre aux contrôles des autorités de certification vous évitera de découvrir un cadenas cassé au moment où vos visiteurs arrivent sur le site.

Pourquoi DNSSEC peut empêcher un certificat SSL de se renouveler

Quand vous ajoutez des signatures DNSSEC à votre zone, les autorités de certification qui suivent les nouvelles règles valident la chaîne de confiance DNS avant d’utiliser les enregistrements pour des contrôles comme CAA ou la validation de propriété de domaine. Si un maillon de cette chaîne est cassé ou contradictoire, la réponse DNS est considérée comme non fiable et la demande de certificat est rejetée.

Cela ne veut pas dire que DNSSEC est mauvais. Au contraire. Mais ces nouvelles exigences signifient que des erreurs de configuration, autrefois tolérées, deviennent des causes d’échec directes lors de l’émission ou du renouvellement des certificats.

Quels signes doivent vous alerter rapidement

Les indices sont à la fois techniques et visibles par l’utilisateur. Si vous voyez un cadenas barré dans le navigateur ou un certificat non renouvelé dans votre tableau de bord, commencez par vérifier le statut DNS. Côté logs, cherchez des messages contenant validation failed, bogus, insecure ou des erreurs CAA.

Autres signes moins évidents mais fréquents

• des réponses DNS différentes selon le résolveur utilisé
• erreurs intermittentes lors des ACME challenges
• alertes d’outils de monitoring DNS montrant des signatures expirées

Comment diagnostiquer la chaîne de confiance sans perdre de temps

Commencez par des outils fiables. DNSViz et Zonemaster donnent une vue d’ensemble graphique, et delv fournit une validation DNSSEC précise en ligne de commande. Un simple test pratique pour comprendre

Exécutez une vérification avec delv ou dig pour voir si les RRSIG sont valides et si la réponse du parent contient le bon DS. Si delv indique bogus ou insecure, vous avez identifié la zone à corriger.

Interprétez les résultats en vérifiant trois éléments

• présence et exactitude du DS chez le registrar
• validité des RRSIG et dates d’expiration
• consistance des réponses entre tous les serveurs autoritatifs

Quelles erreurs reviennent le plus souvent et quelles solutions appliquer

Symptôme	Cause probable	Remède pratique
Échec de validation du parent	DS absent ou digest incorrect au registrar	Mettre à jour le DS avec le bon algorithme et digest puis attendre la propagation
Signatures expirées	Processus de re-signing non configuré	Configurer la rotation automatique des signatures ou automatiser la tâche dans votre DNS
Résultats divergents selon le serveur	Serveurs autoritatifs incohérents ou transfert de zone incomplet	Resynchroniser les serveurs et vérifier les transferts AXFR/IXFR
Échecs après changement de clé	Mauvais timing lors d’un KSK/ZSK rollover	Suivre une procédure de rollover standard et respecter les délais de TTL

Astuce pour les rollovers sans casse

Ne supprimez jamais une clé active avant que tout le monde ne voit la nouvelle. Publiez d’abord la nouvelle clé, mettez à jour le DS, attendez au moins la valeur de TTL majorée d’une marge, puis retirez l’ancienne clé. Les étapes inverses causent la majorité des incidents observés en production.

Que faire en urgence si votre certificat est bloqué et que le site tombe

S’il s’agit d’une panne immédiate vous pouvez choisir une solution temporaire pour restaurer l’accès tout en préparant une correction durable. Les options à envisager

• retirer provisoirement l’enregistrement DS au registrar pour permettre la délivrance d’un certificat puis réactiver DNSSEC après correction
• utiliser une méthode de validation alternative comme HTTP-01 si votre ACME provider le permet
• faire appel au support de votre fournisseur DNS pour un dépannage rapide

Attention, retirer le DS réduit la protection DNS et doit rester une mesure temporaire, documentée et planifiée.

Comment prévenir ces incidents sur le long terme

Les organisations qui évitent les pannes liées à DNSSEC partagent des pratiques communes. Voici une checklist concrète que vous pouvez appliquer dès maintenant

• Surveiller régulièrement la validité des RRSIG et les alertes de zone
• Automatiser la re-signature et les rollovers via un logiciel ou un fournisseur géré
• Documenter la procédure de rollover et les intervalles de TTL pour toute l’équipe
• Tester les changements dans un domaine non critique avant de les propulser en production
• Vérifier que votre registrar sait gérer les DS et qu’il ne tronque pas les algorithmes nouveaux

Dans la pratique, les fournisseurs DNS qui offrent un mode « intégré DNSSEC » avec mise à jour automatique du DS réduisent fortement le risque d’erreur humaine.

Qui doit prendre la main quand tout va mal

Les incidents DNSSEC croisent les responsabilités entre équipes. Le service hébergement ou DevOps doit coordonner les tests et corrections techniques, tandis que le support registrar doit confirmer la présence et l’exactitude du DS. En cas de doute, demandez au fournisseur de certificats les logs ACME et au fournisseur DNS les enregistrements bruts afin d’accélérer le diagnostic.

FAQ

Comment savoir si DNSSEC est activé pour mon domaine

Utilisez un outil comme DNSViz, Zonemaster ou exécutez un dig +dnssec pour voir si des RRSIG et un DS existent. Les consoles du registrar indiquent aussi souvent l’état DNSSEC.

Puis-je utiliser Let’s Encrypt avec DNSSEC

Oui, mais l’autorité de certification doit pouvoir valider la chaîne DNS. Si DNSSEC est mal configuré, les défis DNS-01 ou les vérifications CAA peuvent échouer. Les mêmes bonnes pratiques s’appliquent.

Que signifie l’erreur bogus dans delv

bogus indique que la validation DNSSEC a échoué. Cela peut venir d’un DS incorrect, de signatures expirées, ou d’une incohérence entre serveurs autoritatifs.

Est-il dangereux de supprimer temporairement le DS

Retirer le DS désactive la protection DNSSEC et expose votre domaine à des attaques de spoofing pendant cet intervalle. C’est acceptable à court terme si vous ne voyez pas d’alternative et que la correction est rapide et contrôlée.

Combien de temps faut-il pour que les changements DNSSEC se propagent

La propagation dépend du TTL des enregistrements mais prévoyez au minimum la valeur de TTL majorée d’une marge. Pour un rollover de clé, attendez souvent plusieurs heures à quelques jours selon la configuration.

Quel outil est le plus rapide pour diagnostiquer un problème DNSSEC

Pour une vue rapide et exploitable utilisez delv en local pour la validation, puis complétez par DNSViz pour la visualisation de bout en bout.