DNSSEC

Was geprüft

DNSSEC (signierte DNS-Antworten) lässt sich nur mit einem eigenen validierenden Resolver prüfen. Der Check hat an diesem Messstandort keinen und misst DNSSEC deshalb nicht; das Ergebnis lautet immer „nicht geprüft“.

Wie relevant

Zählt nicht zum Gesamtwert: Die Kategorie DNS und Technologien fließt nicht in die Wertung ein. Ohne Messung gibt es weder Auffälligkeit noch Lob.

Warum

DNSSEC sorgt dafür, dass DNS-Antworten unterwegs nicht unbemerkt verändert werden können, etwa um Besucher oder E-Mails auf einen fremden Server umzulenken. Validierende Resolver verwerfen veränderte Antworten.

Wie beheben

Aktivieren Sie DNSSEC bei Ihrem DNS-Anbieter. Liegen DNS-Anbieter und Registrar getrennt, tragen Sie den angezeigten DS-Eintrag beim Registrar ein.

Nebenwirkung: Ein DS-Eintrag, der nicht zur Zone passt, macht die Domain für validierende Resolver vollständig unauflösbar. Beim Umzug zu einem anderen DNS-Anbieter entfernen Sie deshalb zuerst den DS-Eintrag und warten dessen TTL ab, oder Sie stimmen den Schlüsselwechsel mit beiden Anbietern ab.

Codebeispiel

Prüfen mit dig

dig +dnssec +multi beispiel.de SOA
dig DS beispiel.de +short

Weiterführende Quellen

Quellen der Methodik

docs/SCORING.md — Status und Schweregrade (§2), Kategoriescore und Abdeckung (§3), Gesamtwert (§4), keine Doppelabzüge (§5), Prüfkatalog mit Gewichten (§6), Versionierung (§8), Formulierungsregeln (§9), bewusst nicht geprüft (§10)
docs/KALIBRIERUNG.md — Abgleich der Schwerefaktoren und Kappen mit externen Ankern (Web Almanac, Lighthouse, MDN HTTP Observatory, SSL Labs), Entscheidung scoring@1.4.0