Co je to DNSSEC a proč ho zapnout u .cz domény ještě dnes (Návod na 1 kliknutí)

Když napíšete do prohlížeče adresu webu, překládá ji systém DNS na číselnou adresu serveru. Co když ale někdo tuto odpověď podvrhne a pošle vás na falešný web, který vypadá jako ten pravý? Právě proti tomu chrání DNSSEC. Je to jeden z nejlevnějších způsobů, jak zvýšit důvěryhodnost domény, a u domén .cz ho navíc podporuje velká část registrátorů prakticky jedním kliknutím.

Jak DNSSEC funguje, jednoduše

DNS bez zabezpečení funguje jako telefonní seznam, kterému se věří, aniž by se ověřovalo, kdo ho vydal. DNSSEC přidává digitální podpis k záznamům domény. Prohlížeč nebo DNS server si podpis ověří a pozná, zda odpověď opravdu pochází od správce domény a nebyla cestou změněna. Podvržená odpověď neprojde ověřením a není přijata.

• Klíče se uloží u správce DNS vaší domény a slouží k podpisu záznamů.
• Záznam DS se zveřejní v registru domény (u .cz ho spravuje CZ.NIC) a tvoří spojení důvěry mezi doménou a její koncovkou.
• Ověřující DNS servery pak mohou odpovědi zkontrolovat a podvržené zahodit.

Proč ho zapnout

• Chrání návštěvníky i vaše e-maily před podvrženými záznamy DNS.
• Zvyšuje důvěryhodnost domény, zvlášť u firem, bank, e-shopů a služeb s přihlášením.
• Doména .cz technicky DNSSEC dlouhodobě podporuje a správce koncovky ho aktivně propaguje.
• Zapnutí je obvykle zdarma a jednorázové.

Podpoř nás naskenováním QR kódu

Jak ho zapnout

Postup závisí na tom, kdo spravuje DNS vaší domény. Nejjednodušší je situace, kdy DNS i doménu spravuje stejný poskytovatel. Tehdy bývá v administraci přepínač DNSSEC a stačí ho zapnout.

• Přihlaste se do administrace registrátora a otevřete detail domény.
• Najděte sekci DNSSEC (někdy v nastavení DNS nebo zabezpečení) a zapněte ji.
• Pokud se DNS spravuje u jiné služby, například v samostatném DNS poskytovateli, zapněte nejdřív podpis zóny tam a získaný záznam DS vložte u registrátora.
• Počkejte několik hodin, než se změny rozšíří.

Jak ověřit, že funguje

Po zapnutí si ověřte nastavení. Použijte veřejné nástroje pro kontrolu DNSSEC, například analyzátory od CZ.NIC nebo služby typu DNSViz, kde zadáte jméno domény a dostanete přehled, zda je řetězec důvěry v pořádku. Zelený výsledek znamená, že je vše správně. Chyby, třeba nesoulad záznamu DS a klíče, se v nástroji zobrazí červeně a obsahují popis.

Čeho se vyvarovat

DNSSEC má jedno riziko: chybné nastavení může způsobit, že doména nebude pro ověřující servery dostupná. Proto změny dělejte v klidu a vždy po nich zkontrolujte výsledek.

• Před změnou DNS poskytovatele nejdřív DNSSEC vypněte, nebo klíče předejte novému poskytovateli. Jinak se doména na čas „ztratí“.
• Neměňte záznamy DS ručně, pokud přesně nevíte, k čemu slouží.
• Po každé změně DNS zkontrolujte stav v analyzátoru.

Co když DNSSEC zapnutý nemáte

Většina webů bez DNSSEC funguje bez potíží a útok podvržením DNS není každodenní. Rizikem ale je, že když se stane, návštěvník ho nepozná. U běžného blogu to bude spíš drobnost. U e-shopu, firemní komunikace nebo služby s přihlášením je rozumné doménu chránit, zvlášť když zapnutí nestojí nic.

Co ověřit u registrátora před zapnutím

• Zjistěte, zda registrátor DNSSEC podporuje a zda ho zapnete v administraci sami, nebo musíte požádat podporu.
• Ověřte, kdo spravuje DNS servery domény. Pokud jiný subjekt než registrátor, DNSSEC se řeší u něj.
• Zeptejte se, co se stane při převodu domény, aby po změně nezůstal neplatný podpis.

DNSSEC a e-maily

DNSSEC pomáhá i e-mailům, protože ověřuje záznamy MX, podle kterých se pošta doručuje. Nenahrazuje ale další ochrany e-mailu, tedy SPF, DKIM a DMARC. Kombinace všech čtyř tvoří rozumnou základní ochranu domény a snižuje riziko, že někdo zneužije vaše jméno k podvodným zprávám.

Jak pomůže AI

Pokud vám výsledek kontroly nedává smysl, vložte ho do ChatGPT, Claude nebo Gemini a požádejte: „Vysvětli mi lidsky tuto chybu DNSSEC a napiš, co mám zkontrolovat v administraci registrátora.“ AI pomůže pochopit hlášení, ale zásahy do záznamů dělejte opatrně a podle nápovědy svého registrátora.