Die DNSSEC-Signatur deiner Domain lässt sich nicht prüfen. Internetanbieter, die DNSSEC prüfen, verwerfen darum die Antworten für deine Domain: Für ihre Kunden ist deine Website nicht erreichbar, und E-Mails an deine Adressen kommen nicht an. Wer einen Anbieter ohne diese Prüfung nutzt, merkt nichts, weshalb der Fehler oft lange unentdeckt bleibt.
Das DNS übersetzt deinen Domainnamen in die Adresse des Servers. DNSSEC versieht diese Einträge mit einer digitalen Signatur, damit niemand unterwegs gefälschte Antworten unterschieben kann. Der passende Schlüssel ist als sogenannter DS-Eintrag bei der Registry hinterlegt, für .ch-Domains bei SWITCH. Der DNS-Server deines Internetanbieters (Resolver) vergleicht bei jeder Abfrage die Signatur mit diesem Schlüssel.
Passen Signatur und DS-Eintrag nicht mehr zusammen, behandelt der Resolver die Antwort als gefälscht und gibt keine Adresse zurück. Das passiert typischerweise nach einem Wechsel des Hosters oder der Nameserver, wenn der alte DS-Eintrag bei der Registry stehen bleibt.
Wir prüfen täglich, ob deine Domain signiert ist. Ist sie es, fragen wir die Adresse deiner Website bei zwei öffentlichen, prüfenden Resolvern ab, bei Google und bei Cloudflare, und zusätzlich einmal ohne Prüfung. Ein Hinweis entsteht nur, wenn beide Resolver die Antwort mit einem DNSSEC-Fehler ablehnen, die Abfrage ohne Prüfung aber eine Adresse liefert. Dann liegt es an der Signatur und nicht an einem ausgefallenen Nameserver. Damit ein kurzer Aussetzer keinen Fehlalarm auslöst, wiederholen wir die Messung nach 15 Minuten und melden den Befund erst, wenn er sich bestätigt.
Ist deine Domain nicht signiert, ist dieser Check nicht anwendbar.
Der Befund erzeugt bei uns automatisch ein Ticket. Wir bringen Schlüssel und Signatur wieder in Einklang, indem wir den DS-Eintrag bei der Registry aktualisieren oder entfernen. Weil es sich um einen Betriebsfehler handelt, ist das für dich kostenlos. Liegt die Domain bei einem anderen Registrar, braucht es dafür dessen Zugang. Wieso sich die Verwaltung der Domain bei uns lohnt, steht im Beitrag Domain nicht bei INSOR registriert.
.svg)
