DNSSEC : sécurité DNS, risques pour le cadenas du navigateur et solutions

Montrer le sommaire Cacher le sommaire

• Pourquoi l’activation de DNSSEC bloque parfois le renouvellement d’un certificat SSL
• Quels sont les scénarios réels que j’ai vu en production
• Comment diagnostiquer rapidement si DNSSEC est la cause
• Que signifie secure, insecure et bogus quand on teste la chaîne DNSSEC
• Quelles erreurs de configuration produisent le plus de problèmes
• Que faire en 10 minutes pour remettre le système en marche
• Comment organiser un rollover de clés sans interruption
• Que faut-il savoir sur ACME, CAA et DNSSEC
• Quand faut-il faire appel à un hébergeur DNS ou un prestataire spécialisé
• Quelles limites et nuances faut-il garder en tête
• Ressources et outils de vérification que j’utilise le plus
• FAQ

Activer DNSSEC donne l’impression d’ajouter une serrure de sécurité robuste à votre nom de domaine, mais quand la configuration n’est pas parfaite cela peut couper la distribution des certificats SSL au moment le plus mal choisi, et vous retrouver avec un cadenas cassé dans le navigateur.

Pourquoi l’activation de DNSSEC bloque parfois le renouvellement d’un certificat SSL

Quand une autorité de certification (AC) ou un système d’émission automatise les contrôles DNS utilisés pour prouver la propriété d’un domaine, il va désormais vérifier la chaîne de confiance DNSSEC si des enregistrements DNSSEC existent. Si la validation échoue, les réponses DNS deviennent inutilisables pour les vérifications CAA ou ACME. Concrètement cela veut dire que l’AC refuse l’émission du certificat plutôt que de prendre le risque d’émettre sur des données DNS potentiellement falsifiées.

Quels sont les scénarios réels que j’ai vu en production

Dans la pratique, les pannes liées à DNSSEC ne sont presque jamais du sabotage. Voici des situations courantes observées chez des clients et sur des incidents publics. Premièrement, un propriétaire signe sa zone puis oublie de mettre à jour la fiche DS chez le bureau d’enregistrement. Deuxièmement, une rotation de clés mal planifiée où la nouvelle clé est publiée sans attendre la propagation complète de l’ancienne. Troisièmement, des serveurs secondaires qui reçoivent une zone sans RRSIG après un transfert. Enfin, des déploiements multi-cloud où deux fournisseurs DNS servent des ensembles différents de données signées. Dans chaque cas le résultat est le même: la validation DNSSEC retombe en mode échec.

Comment diagnostiquer rapidement si DNSSEC est la cause

Ne devinez pas, testez. Voici une mini méthode pratique à suivre avant d’ouvrir un ticket AC ou panique générale.
– Interrogez le domaine avec delv et dig pour voir si la validation retourne secure, insecure ou bogus.
– Contrôlez la présence et l’exactitude des enregistrements DS côté registrar.
– Vérifiez la cohérence des RRSIG et la date d’expiration des signatures.
– Comparez la réponse de plusieurs serveurs autoritatifs pour détecter des incohérences.
Commandes utiles que vous pouvez exécuter en local
delv @ns1.votredomaine.tld votredomaine.tld +dnssec
dig @ns1.votredomaine.tld votredomaine.tld +dnssec

Que signifie secure, insecure et bogus quand on teste la chaîne DNSSEC

Résultat	Interprétation
secure	La chaîne de confiance est valide et les signatures sont correctes
insecure	La zone n’est pas signée ou la parenté n’inclut pas de DS pour cette zone
bogus	Validation DNSSEC échouée; signatures invalides, DS erroné ou clé manquante

Quelles erreurs de configuration produisent le plus de problèmes

Les erreurs que je vois le plus souvent et qui provoquent des rejets de certificats sont: DS incorrect au registrar, signatures RRSIG expirées, rollovers KSK/ZSK mal orchestrés, serveurs autoritatifs qui ne servent pas tous les mêmes en-têtes et enfin, horloges serveur désynchronisées. Chaque cas a sa logique opérationnelle: un champ DS tapé à la main devient obsolète après un changement de clé; un job d’auto-signing oublié fait expirer les signatures; un transfert AXFR mal configuré oublie d’inclure les enregistrements signés.

Que faire en 10 minutes pour remettre le système en marche

Si un renouvellement échoue et que vous devez remettre le site en ligne rapidement, voici une checklist d’urgence à appliquer dans l’ordre:
– Vérifiez l’état DNSSEC avec delv et notez le message précis.
– Comparez le DS coté registrar et le KSK dans la zone.
– Redémarrez le service de signature si vous gérez les clés localement.
– Forcez une re-signature si les RRSIG sont expirés.
– Inspectez les serveurs secondaires pour qu’ils servent la zone signée.
– Si vous utilisez un CDN ou un fournisseur DNS managé, contactez leur support en fournissant le rapport delv.
Désactiver temporairement DNSSEC peut rétablir rapidement l’émission, mais c’est une solution corrective à usage limité car elle expose votre zone à des attaques de type cache poisoning pendant le laps de temps où elle reste désactivée.

Comment organiser un rollover de clés sans interruption

Les rollovers exigent méthode et patience. Une bonne séquence respecte toujours la propriété TTL pour laisser le temps de propagation. Les étapes essentielles sont: publier la nouvelle clé publique en parallèle, signer la zone avec la nouvelle clé, attendre au moins un TTL complet pour que tout le monde voie la nouvelle clé, mettre à jour le DS au parent et enfin retirer l’ancienne clé après une seconde fenêtre TTL. Si vous ne respectez pas ces fenêtres, certaines autorités verront l’ancienne clé et d’autres la nouvelle, ce qui produit l’état bogus.

Que faut-il savoir sur ACME, CAA et DNSSEC

Les mécanismes modernes de validation de possession de domaine se reposent sur DNS pour certaines méthodes. ACME permet le défi dns-01 qui écrit des enregistrements TXT dans la zone; si la chaîne DNSSEC est invalide, l’autorité ne peut pas faire confiance à ces TXT. De même, les entrées CAA contrôlent quelles AC peuvent émettre pour un domaine. Une validation DNSSEC défectueuse empêche la vérification des CAA et bloque l’émission. Donc même si votre méthode de validation n’utilise pas directement DNS, CAA et d’autres contrôles peuvent dépendre de réponses DNS jugées fiables.

Quand faut-il faire appel à un hébergeur DNS ou un prestataire spécialisé

Vous gagnez du temps et de la fiabilité en confiant la gestion de DNSSEC à un fournisseur qui automatise la signature et les rollovers. Contactez un prestataire si vous constatez des erreurs répétées, si votre déploiement est multi-fournisseur ou si vous manquez d’outillage pour monitorer les RRSIG et les DS. Un bon prestataire fournit des logs de signature, des alertes sur expiration et une procédure de rollover transparente. En revanche, gardez à l’esprit que déléguer ne supprime pas la responsabilité finale: vous devez vérifier que le registrar possède bien le DS correct.

Quelles limites et nuances faut-il garder en tête

DNSSEC élève la sécurité mais augmente aussi la surface d’erreurs opérationnelles. Certaines tailles d’algorithme ou combinaisons KSK/ZSK ne sont pas prises en charge par tous les validateurs; le déploiement international peut rencontrer des résolveurs qui ne gèrent pas les algorithmes récents. De plus, les environnements de split-horizon où la vue interne diffère de la vue publique provoquent souvent des incohérences. Enfin, la suppression totale de DNSSEC pour «faciliter» l’émission d’un certificat masque une faiblesse de configuration plutôt que de la corriger.

Ressources et outils de vérification que j’utilise le plus

– delv pour une validation précise en ligne de commande
– dig +dnssec pour inspecter RRSIG et DNSKEY
– DNSViz et Zonemaster pour une visualisation et des rapports exploitables
– tableaux d’audit de vos TTL KSK/ZSK et dates d’expiration RRSIG
Ces outils vous aideront à transformer un problème indéterminé en liste d’actions à exécuter.

FAQ

Mon certificat a échoué à être renouvelé après l’activation de DNSSEC que faire en premier
Exécutez delv et dig +dnssec pour obtenir l’état de la validation; vérifiez ensuite que le DS côté registrar correspond bien à la KSK publique de votre zone.

Puis-je désactiver temporairement DNSSEC pour permettre l’émission d’un certificat
Oui mais seulement en dépannage. Désactiver expose votre zone à des risques et il faut réactiver dès que la cause racine est corrigée.

Les fournisseurs DNS gèrent-ils automatiquement DNSSEC pour moi
Beaucoup oui. Les bons fournisseurs automatisent la signature, la re-signature et proposent des rollovers gérés. Vérifiez les SLA et les options de notification avant de vous engager.

Quelle différence entre une erreur bogus et insecure dans delv
Bogus signifie que la validation DNSSEC a échoué et qu’il y a une incohérence; insecure signifie que la zone n’est pas signée ou n’a pas de DS côté parent.

Les rollovers de clés doivent-ils suivre une durée minimale
Oui, respectez au minimum une fenêtre égale au plus grand TTL en jeu plus un buffer pour garantir la synchronisation mondiale avant de retirer une ancienne clé.

Est-ce que SC-085v2 change quelque chose pour moi
SC-085v2 impose aux AC de valider la chaîne DNSSEC si elle existe; pour les propriétaires de domaine cela signifie qu’une configuration DNSSEC défectueuse peut désormais bloquer l’émission de certificats là où avant l’AC aurait ignoré le DNSSEC.`