DNSSECチェック
親ゾーンのDSレコード、ゾーンのDNSKEYセットとその署名を問い合わせ、検証リゾルバーに応答が検証されるかを確認します。
DNSSEC は、DNS の回答が本当にゾーンの保有者から来たものかをリゾルバーが検証できるようにする仕組みです。信頼の連鎖として機能します。親ゾーン(たとえば .fi や .jp)がゾーンの鍵署名鍵のフィンガープリントである DS レコードを公開し、ゾーンは鍵を DNSKEY として公開してデータに RRSIG レコードで署名します。検証を行うリゾルバーはルートから連鎖をたどり、検証できた回答に AD フラグを立てます。
このチェックでは、親ゾーンの DS レコード、DNSKEY セットとその署名を問い合わせ、回答が検証されたかを当サイトのリゾルバーに確認します。また、各 DS レコードの鍵タグがゾーン内の鍵と一致するかも調べます。鍵の更新時や DNS 事業者の乗り換え時に最も壊れやすいのがこの部分です。
署名されていないドメインが壊れているわけではありません。偽装された回答から守られていないというだけです。
よくある質問
「署名済みだが検証されない」とはどういう意味ですか?
親ゾーンは DS レコードを公開していますが、リゾルバーがゾーンの署名を受け入れなかった状態です。検証を行うリゾルバーは SERVFAIL を返すため、その利用者からはドメインが見えなくなることがあります。よくある原因は、別の鍵を使う DNS 事業者に移った後も古い DS レコードが残っていることです。
DNSSEC は必要ですか?
偽装された DNS 回答(キャッシュポイズニング)を防ぎ、DANE などの仕組みの前提になります。DNS 事業者とレジストラの両方が対応している必要があります。
www.example.com の結果がなぜ example.com についてなのですか?
DNSSEC はゾーン単位で設定します。ゾーン内のホスト名はそのゾーンの鍵で保護されるため、チェックはその名前を含むゾーンについて報告します。