DNSSEC uitgelegd: wat het doet en wat niet
Kort antwoord: DNSSEC zet een digitale handtekening onder de DNS-antwoorden van je domein. Zo kan niemand onderweg een vals antwoord geven en je bezoekers of je e-mail naar een andere server sturen. DNSSEC versleutelt niets en beschermt niet als iemand inbreekt op het account bij je registrar. Het belangrijkste risico: verhuis je je DNS zonder het DS-record bij te werken, dan is je domein onbereikbaar voor iedereen die DNSSEC controleert.
Het probleem dat DNSSEC oplost
Als iemand je website bezoekt, vraagt zijn computer eerst aan een DNS-server: op welk IP-adres staat bakkerjansen.nl? Dat gaat meestal via een resolver van de internetprovider, die het antwoord ophaalt en een tijdje onthoudt. Zonder DNSSEC kan die resolver niet controleren of het antwoord echt is.
Een aanvaller kan daar misbruik van maken door een vals antwoord in het geheugen van de resolver te krijgen. Dat heet cache poisoning. Alle gebruikers van die resolver komen dan op een nagemaakte website of sturen hun mail naar de verkeerde server, terwijl in de adresbalk gewoon jouw domeinnaam staat.
Hoe het werkt, in gewone woorden
Je DNS-aanbieder ondertekent alle records van je domein met een geheime sleutel. Naast elk antwoord staat dan een handtekening (een RRSIG-record). De publieke sleutel om die handtekening te controleren staat ook in je DNS, in het DNSKEY-record.
Maar hoe weet een resolver dat die publieke sleutel zelf echt is? Daarvoor staat er een vingerafdruk van je sleutel, het DS-record, een niveau hoger: bij de registry van je extensie. Voor .nl is dat SIDN. De registry ondertekent op zijn beurt met een eigen sleutel, waarvan de vingerafdruk bij de rootzone van internet staat. Zo ontstaat een keten van vertrouwen, van de root tot jouw domein.
Een resolver die DNSSEC controleert (een validerende resolver) loopt die keten na. Klopt een handtekening niet, dan geeft hij geen antwoord. Een vals antwoord komt er dus niet meer door.
Wat DNSSEC niet doet
- Het versleutelt niets. DNS-vragen en -antwoorden blijven leesbaar; DNSSEC bewijst alleen dat ze echt zijn.
- Het beschermt niet tegen een overgenomen account. Komt iemand binnen bij je registrar of DNS-aanbieder, dan kan hij de records wijzigen en worden die gewoon netjes ondertekend. Beveilig die accounts daarom met een passkey of tweestapsverificatie.
- Het houdt een aanval op de bereikbaarheid niet tegen. Tegen een overbelastingsaanval (DDoS) helpt DNSSEC niet.
- Het vervangt https niet. Https beveiligt de verbinding met je website; DNSSEC zorgt dat je bij de juiste server uitkomt. Ze vullen elkaar aan.
Wat er mis kan gaan
Het DS-record bij de registry moet altijd passen bij de sleutel waarmee je DNS-aanbieder tekent. Gaat dat mis, dan vinden validerende resolvers dat je domein vervalst is en geven ze geen antwoord. Je website en e-mail zijn dan voor een groot deel van internet onbereikbaar, terwijl alles bij jou gewoon lijkt te werken.
Dat gebeurt vooral bij een verhuizing van je DNS. Je zet de nameservers om naar een nieuwe aanbieder, maar het oude DS-record blijft bij de registry staan. De nieuwe aanbieder tekent met een andere sleutel, of helemaal niet, en de keten breekt. Haal daarom bij een verhuizing eerst het oude DS-record weg, of vervang het in één keer door het nieuwe. Zie ook nameservers wijzigen.
Andersom kan ook: zet nooit een DS-record bij je registrar voordat je DNS-aanbieder echt tekent met die sleutel.
Hoe controleer je DNSSEC?
- Met onze DNSSEC-check zie je of je domein ondertekend is en of het DS-record bij de registry klopt.
- DNSViz tekent de hele keten van de root tot je domein en toont waar een fout zit. Handig als je het precies wilt weten.
Hoeveel .nl-domeinen gebruiken DNSSEC?
Volgens SIDN had in december 2022 bijna 60% van alle .nl-domeinen DNSSEC. Ongeveer 60% van de vragen aan de .nl-nameservers kwam toen van validerende resolvers. Actuele cijfers publiceert SIDN Labs op stats.sidnlabs.nl.
Zo regel je het bij CloudVikings
Bij CloudVikings staat DNSSEC standaard aan voor elke DNS-zone. We tekenen met een ECDSA-sleutel (algoritme 13) en regelen het in een veilige volgorde. Eerst wordt de zone ondertekend. Pas als al onze nameservers de sleutel uitgeven, gaat het DS-record naar de registry. In Mijn CloudVikings staat daarbij dat dat binnen enkele minuten gebeurt.
- Domein bij ons geregistreerd: we zetten het DS-record zelf bij de registry. Je hoeft niets te doen.
- Domein bij een andere registrar: je krijgt in Mijn CloudVikings het DS-record (of de publieke sleutel, als je registrar daarom vraagt) om daar in te vullen. We zien vanzelf wanneer het bij de registry staat.
- Sleutels vernieuwen: we vervangen de sleutel elk jaar. De nieuwe sleutel tekent eerst een tijd naast de oude, zodat er altijd een DS-record is dat past. Staat je domein elders, dan vragen we je het nieuwe DS-record toe te voegen; tot dan blijven beide sleutels tekenen.
- Verhuizen: zet je de nameservers van een bij ons geregistreerd domein ergens anders heen, dan halen we ons DS-record in dezelfde wijziging bij de registry weg. Zet je ze naar ons, dan halen we een achtergebleven DS-record van je vorige DNS-aanbieder in die wijziging weg en plaatsen we daarna ons eigen.
- Uitzetten: dat kan, maar we raden het af. We halen eerst het DS-record weg en stoppen pas twee dagen later met tekenen, zodat je domein bereikbaar blijft.
Meer over onze DNS lees je op DNS bij CloudVikings.
Veelgestelde vragen
Moet ik DNSSEC zelf aanzetten?
Bij CloudVikings niet: het staat standaard aan. Bij andere aanbieders verschilt dat; soms moet je het in het beheerscherm aanzetten.
Mijn domein is onbereikbaar sinds ik van DNS-aanbieder wissel. Ligt het aan DNSSEC?
Dat is een veelvoorkomende oorzaak. Controleer met de DNSSEC-check of DNSViz of er nog een oud DS-record bij de registry staat. Laat dat weghalen bij de partij waar je domein geregistreerd is, of vervang het door het DS-record van je nieuwe aanbieder.
Is DNSSEC hetzelfde als versleutelde DNS?
Nee. DNSSEC bewijst dat een antwoord echt is, maar versleutelt het niet. Versleuteling van DNS-vragen gebeurt met andere technieken, zoals DNS over HTTPS, tussen je apparaat en je resolver.
Bronnen (geraadpleegd 24 oktober 2026): RFC 4033 (DNSSEC: introductie en eisen); RFC 9364 (DNSSEC); SIDN: Majority of Dutch domains and internet users have DNSSEC security; DNSViz.