DNSSEC

「Domain Name System Security Extensions」を表します。これは、ドメイン名をIPアドレスに変換する標準のドメインネームシステム(DNS）を拡張したものです。DNSSECは、DNSデータの真正性を検証することでセキュリティを向上させます。

元のドメインネームシステムは、セキュリティが最低限の状態で1980年代に開発されました。たとえば、ホストが標準のDNSクエリを使ってネームサーバーにIPアドレスを要求すると、そのネームサーバーが有効であるとみなします。しかし、ネームサーバーは、IPアドレスをスプーフィング（偽装）することで、別のサーバーになりすますことができます。偽のネームサーバーによって、ドメイン名が誤ったWebサイトにリダイレクトされる可能性があります。

DNSSECは、デジタル署名による認証を要求することで、セキュリティを強化します。各クエリと応答は、公開鍵と秘密鍵のペアを使って「署名」されます。秘密鍵はホストによって生成され、公開鍵はDNSゾーン、つまり信頼されたサーバーのグループによって生成されます。これらのサーバーは、互いの公開鍵を検証する信頼の連鎖を作成します。DNSSECに対応した各ネームサーバーは、ハッシュ化された「DNSKEY」DNSレコードに公開鍵を保存します。

DNSSECを有効にする

DNSSECはWebサーバーやメールサーバーに必須ではありませんが、多くのWebホストが使用を推奨しています。DNSSECを設定するには、PowerDNSやKnot DNSなど、DNSSECに対応したネームサーバーを使用する必要があります。次に、サーバーでDNSSECを有効にし、コントロールパネルのインターフェースで設定する必要があります。

パブリックネームサーバーを使用している場合、DNSSECの有効化は「DNSSECを有効にする」をクリックするだけで済むことがあります。カスタムネームサーバーを使用している場合は、1つ以上の委任署名者（DS）レコードを手動で作成する必要がある場合があります。DNSSECを有効にした後、サーバーがDNSゾーン内の他のサーバーとDSレコードを検証する必要があるため、有効になるまで数時間かかることがあります。