Configurer la sécurité DNSSEC et DNS

Le système de noms de domaine (DNS) traduit les noms de domaine lisibles (comme "google.com") en adresses IP exploitables par des ordinateurs pour un site Web donné (par exemple, "172.217.3.206"). Pour prévenir les menaces telles que les attaques par empoisonnement du cache et le spoofing DNS, configurez le système DNSSEC (Domain Name System Security Extensions).

Activer DNSSEC pour votre domaine

Important :

Certains domaines de premier niveau (TLD) acceptent les enregistrements DNS de clé publique (DNSKEY) au lieu des enregistrements DS (Delegation Signer).
Si vous avez acheté votre nom de domaine auprès de Google Domains, il est possible que DNSSEC soit déjà configuré.
Si votre domaine dispose d'un enregistrement ALIAS, vous ne pouvez pas activer DNSSEC. En savoir plus sur les enregistrements d'alias

Pour configurer DNSSEC pour votre domaine, vous devez ajouter des enregistrements de ressources spécifiques à votre DNS ou à votre zone de signature, puis les publier pour votre domaine. Si vous utilisez la configuration DNSSEC automatique de Google Domains, nous gérons ces deux étapes pour vous. La prise en compte des modifications sur Internet et l'activation de DNSSEC peut prendre jusqu'à 24 heures.

Connectez-vous à Google Domains.
Sélectionnez votre domaine.
En haut à gauche, sélectionnez Menu DNS.
Sélectionnez Serveurs de noms par défaut ou Serveurs de noms personnalisés.
Faites défiler la page jusqu'à la fiche ou la boîte "DNSSEC".
- Pour les serveurs de noms par défaut : cliquez sur Activer. Si DNSSEC est déjà activé, le message "DNSSEC activé" s'affiche.
- Pour les serveurs de noms personnalisés : cliquez sur Gérer les enregistrements DS, puis saisissez les informations de votre fournisseur DNS.
  1. Saisissez les valeurs fournies par votre fournisseur DNS tiers pour le serveur de noms personnalisé DNSSEC ou DNSKEY.
  2. Pour ajouter plusieurs enregistrements en même temps, cliquez sur Créer un enregistrement.
  3. Cliquez sur Enregistrer.

Astuces :

Si vous ne souhaitez pas attendre que vos enregistrements DNSKEY soient publiés, développez la fiche DNSSEC, puis cliquez sur Publier les enregistrements.
Lorsque vous activez DNSSEC, Google Domains signe automatiquement votre zone DNS et publie vos enregistrements DS (Delegation Signer) dans un délai de deux heures.

Valeurs requises pour les DNSSEC de serveurs de noms personnalisés

Si vous utilisez des serveurs de noms personnalisés, vous devez contacter votre fournisseur DNS tiers pour signer la zone DNS de votre domaine. Procurez-vous les valeurs suivantes pour chaque DNSKEY auprès de votre fournisseur DNS :

Tag clé : valeur numérique faisant référence à un enregistrement DNSKEY existant.
Algorithme : algorithme de chiffrement utilisé pour créer la clé de sécurité dans l'enregistrement DNSKEY. Il est généralement associé à une fonction de hachage telle que RSA/SHA1.
Type de condensé : algorithme utilisé pour créer le condensé de l'enregistrement DNSKEY, également appelé "algorithme de condensé", "hachage de condensé" ou "fonction de hachage de condensé".
Condensé : valeur hachée de l'enregistrement DNSKEY qui l'identifie de manière unique, sans rendre publique la valeur de la clé. La longueur varie en fonction du type de condensé :
- SHA1 : 40 chiffres hexadécimaux
- SHA256 : 64 chiffres hexadécimaux
- SHA384 : 96 chiffres hexadécimaux

Valeurs requises pour les DNSKEY de serveurs de noms personnalisés

Si vous utilisez des serveurs de noms personnalisés, contactez votre fournisseur DNS pour qu'il signe les zones DNS pour votre domaine. Procurez-vous les valeurs suivantes pour chaque DNSKEY auprès de votre fournisseur DNS :

Indicateurs : informations qui expliquent au DNS et aux résolveurs comment interpréter l'enregistrement DNSKEY. Par défaut, cette valeur est définie sur 256 ou 257.
Protocole : indique la version de DNSSEC utilisée. Cette valeur est toujours définie sur 3.
Algorithme : indique le type d'algorithme cryptographique utilisé pour la paire de clés publique/privée.
Clé publique : clé que les résolveurs DNS utilisent pour confirmer que les enregistrements DNS n'ont pas été falsifiés.

Désactiver DNSSEC pour votre domaine

Connectez-vous à Google Domains.
Sélectionnez votre domaine.
Sélectionnez Menu DNS.
Faites défiler la page jusqu'à la fiche ou la boîte "DNSSEC".
- Pour les serveurs de noms par défaut : sélectionnez Désactiver.
- Pour les serveurs de noms personnalisés : à côté de chaque enregistrement, cliquez sur Supprimer .
Sélectionnez Enregistrer.

Astuces :

Pour les serveurs de noms personnalisés, vous pouvez aussi contacter directement votre fournisseur DNS afin qu'il supprime vos enregistrements de ressources associés à DNSSEC de votre zone.
Lorsque vous désactivez DNSSEC, Google Domains annule immédiatement la publication des enregistrements DS de votre domaine. Une fois cette modification prise en compte sur Internet, votre domaine n'est plus protégé par DNSSEC. Cette opération peut prendre jusqu'à 48 heures. Google Domains peut ensuite annuler la signature de votre zone DNS pour finaliser la désactivation de DNSSEC.

Utiliser le DNS dynamique

Important : Le DNS dynamique fonctionne avec les adresses IPv4 et IPv6, mais pas les deux en même temps.

Les DNS dynamiques vous permettent de rediriger votre domaine ou un sous-domaine vers une ressource située derrière une passerelle et possédant une adresse IP attribuée de manière dynamique. Pour utiliser le DNS dynamique, vous devez utiliser les serveurs de noms par défaut de Google Domains.

Configurez le DNS dynamique avec Google Domains pour :

créer un enregistrement A ou AAAA pour votre domaine ou sous-domaine qui permettra d'avertir les serveurs de noms Google de la présence d'une IP dynamique ;
générer un nom d'utilisateur et un mot de passe que votre hôte ou serveur utilisera pour communiquer la nouvelle adresse IP aux serveurs de noms Google.

Ensuite, vous devrez configurer un programme client sur votre hôte, votre serveur ou votre passerelle, qui :

détectera les modifications de l'adresse IP ;
utilisera le nom d'utilisateur et le mot de passe générés ;
communiquera la nouvelle adresse aux serveurs de noms Google.

Configurer le DNS dynamique

Sur votre ordinateur, connectez-vous à Google Domains.
Sélectionnez votre domaine.
Cliquez sur Menu DNS.
Sélectionnez Serveurs de noms Google Domains par défaut (actifs).

Conseil : Si l'option "Serveurs de noms personnalisés (actifs)" est sélectionnée, cela signifie que vous disposez déjà de serveurs de noms personnalisés et que vous ne pouvez pas utiliser le service de DNS dynamique Google Domains.

Cliquez sur Afficher les paramètres avancés.
Cliquez sur Gérer le DNS dynamique Créer un enregistrement.
Pour attribuer une adresse IP dynamique, saisissez le nom du sous-domaine ou du domaine racine.
Cliquez sur Enregistrer.

Autres options de gestion du DNS dynamique :

Pour afficher les valeurs de l'enregistrement, cliquez sur le triangle à côté de l'enregistrement.
Pour voir le nom d'utilisateur et le mot de passe créés pour un enregistrement, cliquez sur Afficher les identifiants.
Pour configurer votre passerelle ou votre logiciel client afin de contacter les serveurs de noms Google, utilisez le nom d'utilisateur et le mot de passe créés pour l'enregistrement.
Pour supprimer un enregistrement :
1. Accédez à "Enregistrements de ressources".
2. Cliquez sur le triangle à côté de "DNS dynamique".
3. Sélectionnez Supprimer.

Configurer un programme client sur votre passerelle, hôte ou serveur

De nombreux clients DNS dynamiques courants sont utilisés, tels que DDclient et INADYN. En outre, la plupart des routeurs intègrent un logiciel qui détecte les modifications d'IP et les communique aux serveurs de noms via leurs logiciels intégrés.

Configurez votre client DNS dynamique avec les éléments suivants :

Fournisseur/DNS/Service : nom de votre fournisseur DNS
Nom d'utilisateur/Identifiant : nom d'utilisateur généré dans l'enregistrement DNS dynamique
Mot de passe/Identifiant : mot de passe généré dans l'enregistrement DNS dynamique

Une fois que vous avez configuré votre logiciel client et créé l'enregistrement, testez ce dernier. Saisissez le sous-domaine et le domaine dans un navigateur ou un client approprié, puis vérifiez qu'ils se connectent à la ressource adéquate.

Conseil : Google Domains utilise le protocole dyndns2.

Examples

DDclient fonctionne désormais avec Google Domains.

Compatibilité de DDclient avec Google Domains

Entrées ddclient.conf :

ssl=yes

protocol=googledomains

login=generated_username

password=generated_password

your_resource.your_domain.tld

Exemples généraux de configurations client :

DDclient
sans Google Domains INADYN

Exemple d'entrées ddclient.conf :

protocol=dyndns2

use=web

server=domains.google.com

ssl=yes

login=generated_username

password=generated_password

your_resource.your_domain.tld

Ajouter les éléments suivants à inadyn.conf

system default@domains.google.com

username generated_username

password generated_password

alias sub.domain.tld

Utiliser l'API pour mettre à jour votre enregistrement DNS dynamique

Le logiciel client DNS dynamique met automatiquement à jour votre enregistrement DNS dynamique. Vous pouvez effectuer des mises à jour manuelles avec l'API. Pour cela, envoyez une requête POST ou GET à l'URL suivante :

domains.google.com/nic/update

L'API nécessite le protocole HTTPS. Voici un exemple de requête :

https://username:password@domains.google.com/nic/update?hostname=subdomain.yourdomain.com&myip=1.2.3.4

Définir un user-agent

Important : Vous devez également définir un user-agent dans votre requête.

Lors d'un test avec l'URL ci-dessus, domains.google.com/nic/update, les navigateurs Web ajoutent généralement un user-agent pour vous. La requête HTTP finale envoyée à nos serveurs doit être semblable à celle-ci :

Exemple de requête HTTP :

POST /nic/update?hostname=subdomain.yourdomain.com&myip=1.2.3.4 HTTP/1.1

      Host: domains.google.com

      Authorization: Basic base64-encoded-auth-string

      User-Agent: Chrome/41.0 your_email@yourdomain.com

Paramètres de requête :

Paramètre	Obligatoire ou facultatif	Description
`username:password`	Obligatoire	Nom d'utilisateur et mot de passe générés qui sont associés à l'hôte à mettre à jour.
`hostname`	Obligatoire	Nom d'hôte à mettre à jour.
`myip`	Facultatif pour IPv4 Obligatoire en cas d'adresse IPv6	Adresse IP sur laquelle l'hôte est défini. Si elle n'est pas précisée, nous utiliserons l'adresse IP de l'agent qui a envoyé la requête. Important : Si votre agent utilise une adresse IPv6, `myip` est obligatoire. Vous pouvez obtenir l'adresse IP de votre agent ici : https://domains.google.com/checkip.
`offline`	Facultatif	Configure l'hôte actuel sur un état hors connexion. Si une demande de mise à jour est effectuée sur un hôte hors connexion, celui-ci n'est plus considéré comme hors connexion. Valeurs autorisées : `yes [oui]` `no [non]`

Une fois la requête traitée, l'une des réponses suivantes est renvoyée.

Important : Assurez-vous de bien interpréter la réponse, sinon vous risquez de bloquer votre client dans notre système.

Réponse	État	Description
`good {adresse IP de l'utilisateur}`	Réussite	Mise à jour réussie. N'essayez pas de lancer une autre mise à jour tant que votre adresse IP ne change pas.
`nochg {adresse IP de l'utilisateur}`	Réussite	L'adresse IP indiquée est déjà définie pour cet hôte. N'essayez pas de lancer une autre mise à jour tant que votre adresse IP ne change pas.
`nohost`	Erreur	Le nom d'hôte n'existe pas, ou le DNS dynamique n'est pas activé pour celui-ci.
`badauth`	Erreur	La combinaison nom d'utilisateur/mot de passe n'est pas valide pour l'hôte spécifié.
`notfqdn`	Erreur	Le nom d'hôte indiqué n'est pas un nom de domaine complet valide.
`badagent`	Erreur	Votre client DNS dynamique envoie des requêtes incorrectes. Vérifiez que le user-agent est défini dans la requête.
`abus`	Erreur	L'accès au DNS dynamique pour le nom d'hôte a été bloqué en raison d'un échec d'interprétation des précédentes réponses.
`911`	Erreur	Une erreur s'est produite de notre côté. Patientez cinq minutes, puis réessayez.
`conflict A conflict AAAA`	Erreur	Un enregistrement de ressources personnalisé A ou AAAA est en conflit avec la mise à jour. Supprimez l'enregistrement de ressources indiqué sur la page des paramètres DNS, puis relancez la mise à jour.