DNSSEC : à quoi ça sert et comment l'activer sur votre domaine

Par Mouhamed BANKOLE, CEO chez ITNET Technologies · Mis à jour le 22 octobre 2026 · Lecture : 9 min

Quand un visiteur tape l'adresse de votre site, son ordinateur interroge une chaîne de serveurs DNS qu'il ne voit jamais. Si l'un d'eux enregistre une fausse réponse, le visiteur peut atterrir sur une copie piégée de votre site, et rien dans la barre d'adresse ne l'en avertit. DNSSEC a été conçu pour fermer cette porte. Ce guide explique ce que protège DNSSEC, comment fonctionnent ses signatures, ce qu'il ne fait pas, et comment l'activer sur votre nom de domaine sans rendre votre zone DNS inaccessible.

En résumé

• DNSSEC est une extension de sécurité du DNS qui signe les réponses DNS pour prouver qu'elles viennent bien du gestionnaire de la zone et qu'elles n'ont pas été modifiées.
• Il protège contre l'empoisonnement de cache et l'usurpation de réponses DNS, qui redirigent les visiteurs vers un faux serveur.
• Il ne chiffre rien : il garantit l'authenticité des réponses, pas leur confidentialité, et ne remplace ni HTTPS ni la sécurité de votre compte.
• Son activation tient en deux gestes : signer la zone chez l'hébergeur DNS, puis publier l'enregistrement DS chez le registre via votre bureau d'enregistrement.
• Le principal risque est une erreur de clé : un enregistrement DS qui ne correspond plus à la zone rend le domaine injoignable pour les résolveurs qui valident.

Sommaire

1. Qu'est-ce que DNSSEC ?
2. Contre quelles attaques DNSSEC protège-t-il ?
3. Comment fonctionne DNSSEC : signatures et chaîne de confiance ?
4. Quels enregistrements DNS DNSSEC ajoute-t-il à votre zone ?
5. Que ne protège pas DNSSEC ?
6. Comment activer DNSSEC sur son nom de domaine ?
7. Comment vérifier que DNSSEC fonctionne ?
8. Quelles erreurs rendent un domaine inaccessible avec DNSSEC ?
9. Faut-il activer DNSSEC sur tous ses domaines ?

Qu'est-ce que DNSSEC ?

DNSSEC (Domain Name System Security Extensions) est un ensemble d'extensions qui ajoute des signatures cryptographiques aux réponses du DNS, afin qu'un résolveur puisse vérifier qu'une réponse est authentique et intacte. Il est décrit par l'IETF dans la RFC 4033, complétée par les RFC 4034 et 4035.

Pour situer DNSSEC, rappelons le rôle du DNS :

• le DNS traduit un nom de domaine (votresite.fr) en adresse IP de serveur ;
• chaque domaine possède une zone DNS, l'ensemble de ses enregistrements (A, MX, CNAME, TXT…) ;
• à l'origine, le protocole ne prévoyait aucun moyen de prouver qu'une réponse venait bien du bon serveur.

DNSSEC comble ce manque sans changer le fonctionnement du DNS : les enregistrements restent les mêmes, ils sont simplement accompagnés de signatures. L'ICANN présente DNSSEC comme le moyen de garantir que l'internaute atteint bien le site ou le service qu'il demande.

Contre quelles attaques DNSSEC protège-t-il ?

DNSSEC protège avant tout contre l'empoisonnement de cache DNS et contre toute réponse DNS falsifiée en chemin, deux attaques qui détournent les visiteurs vers un serveur contrôlé par l'attaquant.

Les principaux scénarios couverts :

• empoisonnement de cache : l'attaquant injecte une fausse réponse dans le cache d'un résolveur, qui la sert ensuite à tous ses utilisateurs ;
• usurpation de réponse (spoofing) : une réponse forgée arrive avant la vraie et est acceptée par le résolveur ;
• interception sur le réseau : un équipement intermédiaire modifie les réponses DNS d'un réseau Wi-Fi public, par exemple ;
• détournement de messagerie : un faux enregistrement MX peut rediriger vos e-mails entrants vers un autre serveur.

Le risque n'est pas théorique : la faille d'empoisonnement de cache publiée en 2008 et référencée CVE-2008-1447 par l'ISC touchait la plupart des logiciels DNS de l'époque et a relancé le déploiement de DNSSEC.

Conseil de pro : DNSSEC protège la réponse, pas le compte qui gère le domaine. Activez aussi la double authentification chez votre bureau d'enregistrement et le verrou de transfert : un attaquant qui prend la main sur votre compte peut modifier la zone, et DNSSEC signera alors ses changements.

Comment fonctionne DNSSEC : signatures et chaîne de confiance ?

DNSSEC fonctionne avec des paires de clés : le gestionnaire de la zone signe ses enregistrements avec une clé privée, et les résolveurs vérifient ces signatures avec la clé publique publiée dans la zone. La confiance dans cette clé publique est elle-même garantie par la zone parente.

Le mécanisme se déroule ainsi :

1. le gestionnaire DNS signe chaque groupe d'enregistrements de la zone ;
2. il publie la clé publique de la zone dans un enregistrement DNSKEY ;
3. une empreinte de cette clé (l'enregistrement DS) est déposée dans la zone parente, par exemple le registre du .fr ;
4. la zone parente est signée à son tour, jusqu'à la racine du DNS ;
5. le résolveur part de la clé de la racine, qu'il connaît d'avance, et vérifie chaque maillon jusqu'à votre domaine.

C'est cette chaîne de confiance qui rend DNSSEC solide : falsifier une réponse supposerait de casser une signature à chaque niveau. La racine du DNS est signée depuis juillet 2010, selon l'historique de lancement publié par l'IANA, ce qui a permis de construire cette chaîne de bout en bout. Cloudflare détaille le même principe avec des schémas pas à pas.

Quels enregistrements DNS DNSSEC ajoute-t-il à votre zone ?

DNSSEC ajoute quatre types d'enregistrements DNS à votre zone (DNSKEY, RRSIG, NSEC ou NSEC3) et un enregistrement DS chez le registre. Vos enregistrements habituels ne changent pas.

On distingue en pratique deux clés :

• la KSK (Key Signing Key), qui signe les clés et dont l'empreinte part chez le registre ;
• la ZSK (Zone Signing Key), qui signe les enregistrements et peut être changée sans toucher au registre.

Avec un hébergeur DNS qui gère DNSSEC pour vous, ces clés sont créées, utilisées et renouvelées automatiquement.

Que ne protège pas DNSSEC ?

DNSSEC ne chiffre pas les requêtes DNS et ne protège ni le contenu de votre site, ni votre compte, ni les échanges entre le navigateur et le serveur. Il garantit seulement que la réponse DNS est authentique.

Ce qui reste hors de son périmètre :

• la confidentialité : les requêtes restent lisibles ; c'est le rôle d'autres protocoles comme DNS over HTTPS ;
• le chiffrement du site : HTTPS et son certificat restent indispensables ;
• le vol de compte : un accès frauduleux à votre bureau d'enregistrement permet de modifier la zone légitimement signée ;
• les attaques par déni de service sur vos serveurs DNS ;
• les résolveurs qui ne valident pas : un utilisateur dont le résolveur ignore DNSSEC ne bénéficie pas de la vérification.

Le guide des bonnes pratiques DNS de l'ANSSI recommande d'ailleurs de combiner DNSSEC avec la sécurisation du compte chez le bureau d'enregistrement et la surveillance des modifications de zone.

Comment activer DNSSEC sur son nom de domaine ?

Pour activer DNSSEC, il faut signer la zone chez l'hébergeur DNS, puis publier l'enregistrement DS correspondant chez le registre de l'extension, en passant par votre bureau d'enregistrement. Quand les deux sont chez le même prestataire, l'opération se résume souvent à un bouton.

La marche à suivre :

1. vérifiez que votre extension accepte DNSSEC (c'est le cas du .fr, du .com et de la plupart des extensions courantes) ;
2. activez la signature de la zone dans l'interface de votre hébergeur DNS ;
3. récupérez l'enregistrement DS (ou la clé DNSKEY) qu'il génère ;
4. déposez-le chez votre bureau d'enregistrement, qui le transmet au registre ;
5. attendez que la nouvelle configuration soit visible, puis testez la chaîne complète.

Chez Wayhost, la page nom de domaine Wayhost indique « Sécurité DNSSEC incluse », une gestion DNS complète des enregistrements A, MX, CNAME et TXT, et un verrouillage de transfert (constaté le 22 octobre 2026 sur la page nom de domaine).

Si votre domaine est enregistré ailleurs et que vous voulez regrouper domaine et DNS au même endroit, le transfert de domaine permet de le faire sans coupure de service. Attention dans ce cas : désactivez ou reprenez DNSSEC proprement pendant le changement d'hébergeur DNS (voir la section sur les erreurs).

Comment vérifier que DNSSEC fonctionne ?

Pour vérifier DNSSEC, interrogez votre domaine avec un outil de test de la chaîne de confiance ou avec la commande dig, et contrôlez que la réponse est marquée comme authentifiée. Un test visuel est le plus simple pour commencer.

Trois méthodes complémentaires :

• un analyseur en ligne comme DNSViz, qui dessine la chaîne de la racine jusqu'à votre domaine et signale chaque maillon en erreur ;
• la commande dig +dnssec votresite.fr : la présence d'enregistrements RRSIG et du drapeau ad (authenticated data) côté résolveur validant confirme la signature ;
• un test de cohérence : comparez l'enregistrement DS publié chez le registre avec la clé DNSKEY de votre zone.

Refaites ce contrôle après chaque changement d'hébergeur DNS, de serveurs de noms ou de clé.

Quelles erreurs rendent un domaine inaccessible avec DNSSEC ?

L'erreur la plus grave est un enregistrement DS chez le registre qui ne correspond plus aux clés de la zone : les résolveurs qui valident considèrent alors toutes les réponses comme fausses et le domaine devient injoignable. Le site, les e-mails et tous les services du domaine tombent en même temps.

Les situations à risque :

• changement d'hébergeur DNS sans retirer l'ancien DS ni publier le nouveau ;
• signatures expirées : une zone signée à la main dont personne ne renouvelle les signatures ;
• changement de clé KSK sans mise à jour du DS chez le registre ;
• transfert de domaine vers un prestataire qui ne reprend pas la configuration DNSSEC ;
• modification manuelle de la zone sur un serveur secondaire non signé.

Conseil de pro : avant de changer d'hébergeur DNS, retirez l'enregistrement DS, attendez l'expiration de sa durée de cache, migrez la zone, puis réactivez DNSSEC chez le nouvel hébergeur. Cette séquence évite toute coupure.

Ce point compte aussi pour les agences qui gèrent de nombreux domaines clients : notre guide VPS pour agence web détaille comment organiser l'hébergement de plusieurs sites, et une zone DNS bien tenue en fait partie.

Faut-il activer DNSSEC sur tous ses domaines ?

Oui, dès que votre hébergeur DNS gère la signature et le renouvellement des clés automatiquement, DNSSEC mérite d'être activé sur tous vos domaines, y compris ceux qui ne servent qu'aux e-mails. Le risque d'erreur vient surtout des configurations manuelles.

Les domaines à traiter en priorité :

• le domaine principal de votre site et de votre boutique ;
• le domaine de vos e-mails, dont les enregistrements MX, SPF et DKIM orientent votre messagerie ; avec une adresse e-mail professionnelle sur votre domaine, une zone signée protège aussi l'acheminement de vos courriels ;
• les domaines d'API et d'applications, souvent appelés par des machines qui ne vérifient pas l'apparence d'une page : notre article héberger une application IA rappelle l'importance de sécuriser chaque point d'entrée ;
• les domaines de redirection qui protègent votre marque.

À l'inverse, si vous gérez vous-même un serveur DNS sans automatisation, prévoyez une procédure écrite de renouvellement des clés avant d'activer DNSSEC.

Questions fréquentes

DNSSEC, c'est quoi en quelques mots ?

DNSSEC est une extension de sécurité du DNS qui ajoute des signatures numériques aux réponses DNS. Elle permet de vérifier qu'une réponse vient bien du gestionnaire du domaine et n'a pas été modifiée. Elle protège ainsi les visiteurs contre les redirections vers de faux serveurs.

DNSSEC chiffre-t-il les requêtes DNS ?

Non, DNSSEC authentifie les réponses mais ne les chiffre pas. Les requêtes restent lisibles par les intermédiaires du réseau. Le chiffrement relève d'autres protocoles comme DNS over HTTPS ou DNS over TLS.

DNSSEC ralentit-il mon site ?

L'effet est négligeable pour le visiteur, car les réponses signées sont mises en cache comme les autres. Les réponses DNS sont un peu plus volumineuses à cause des signatures. Le temps de chargement d'une page n'en est pas sensiblement affecté.

Faut-il un enregistrement DS pour activer DNSSEC ?

Oui, l'enregistrement DS publié chez le registre relie votre zone signée à la chaîne de confiance. Sans lui, la zone est signée mais aucun résolveur ne peut la valider. Il se dépose via le bureau d'enregistrement du domaine.

Que se passe-t-il si DNSSEC est mal configuré ?

Si l'enregistrement DS ne correspond plus aux clés de la zone, les résolveurs qui valident rejettent les réponses. Le domaine devient alors injoignable pour une grande partie des internautes, site et e-mails compris. Il faut corriger le DS ou le retirer pour rétablir l'accès.

Peut-on transférer un domaine qui utilise DNSSEC ?

Oui, mais il faut préparer la bascule pour éviter une coupure. Le plus sûr est de retirer l'enregistrement DS, d'attendre l'expiration du cache, de transférer le domaine puis de réactiver DNSSEC chez le nouveau prestataire. Certains prestataires savent aussi reprendre les clés existantes.

DNSSEC protège-t-il contre le phishing ?

Il protège contre une forme précise de phishing, celle qui détourne les réponses DNS de votre propre domaine. Il ne protège pas contre un domaine imitant le vôtre avec une faute de frappe. Pour cela, réservez les variantes proches de votre nom.

Comment savoir si un domaine utilise DNSSEC ?

Il suffit de tester le domaine avec un analyseur en ligne comme DNSViz ou avec la commande dig et l'option dnssec. L'outil indique si des signatures et un enregistrement DS existent. Il signale aussi chaque maillon de la chaîne en erreur.

Ce qu'il faut retenir

• DNSSEC signe les réponses DNS pour prouver leur origine et leur intégrité.
• Il bloque l'empoisonnement de cache et l'usurpation de réponses, sans chiffrer les requêtes.
• Son activation passe par deux étapes : signer la zone, puis publier l'enregistrement DS chez le registre.
• La seule vraie erreur à craindre est un DS qui ne correspond plus aux clés, surtout lors d'un changement d'hébergeur.
• Un hébergeur DNS qui automatise les clés rend DNSSEC simple à activer sur tous vos domaines.

Pour sécuriser votre domaine avec DNSSEC inclus et une gestion DNS complète, découvrez l'offre nom de domaine Wayhost.

Article rédigé par Mouhamed BANKOLE, CEO chez ITNET Technologies.