DNSSEC på .dk-domæner: beskyttelsen, du bør have tændt

Kort svar: DNSSEC signerer dine DNS-svar kryptografisk, så ingen kan forfalske dem undervejs – beskyttelsen mod, at besøgende og mail stille omdirigeres til en angribers server. .dk-zonen understøtter DNSSEC fuldt ud, og nøglerne registreres hos Punktum dk via selvbetjening eller via den, der administrerer dine navneservere. Tjek status med et dig-opslag (ad-flaget) eller et onlineværktøj, og husk, at DNSSEC skal sættes op igen hos den nye DNS-udbyder, når du skifter.

Fagligt gennemgået: 2. oktober 2026

DNS blev designet i en tillidsfuld tid: Svar blev taget for gode varer. DNSSEC føjer beviset til – en signaturkæde fra rodzonen over .dk ned til dit domæne, så forfalskede svar afvises. For danske domæner er det moden teknologi. Denne guide viser, hvad DNSSEC beskytter imod, hvordan du tjekker din status, hvordan det kommer på – og de situationer, hvor DNSSEC kræver rettidig omhu.

Hvad DNSSEC beskytter imod

Uden DNSSEC kan en angriber, der lykkes med cache-forgiftning eller manipulerede svar, sende dine besøgende til en falsk kopi af sitet – eller dine mails til en fremmed server – uden at nogen opdager det. Domænenavnet i adresselinjen er jo “rigtigt”.

Med DNSSEC bærer hvert svar en signatur, som validerende resolvere kontrollerer mod kæden op til rodzonen. Forfalskninger kasseres automatisk. Mange store offentlige resolvere og internetudbydere validerer DNSSEC.

DNSSEC krypterer ikke trafikken – det gør SSL/TLS. DNSSEC garanterer, at opslaget er ægte. De to beskytter hver sin del af rejsen og hører sammen.

Sådan virker signaturkæden

Kæden består af tre slags oplysninger:

Record	Hvor	Funktion
DNSKEY	I din egen zone	De offentlige nøgler, din zone er signeret med
RRSIG	I din egen zone	Signaturen på hver gruppe af records (A, MX, TXT osv.)
DS	I .dk-zonen hos Punktum dk	Et fingeraftryk af din nøgle, som binder din zone til .dk

En validerende resolver følger kæden oppefra: Rodzonen går i god for .dk, .dk går i god for din nøgle via DS-recorden, og din nøgle går i god for svarene. Brydes ét led – for eksempel fordi DS peger på en nøgle, zonen ikke længere bruger – kan svaret ikke valideres, og resolveren svarer med en fejl i stedet for at give et svar, den ikke kan stole på.

Sådan tjekker du din status

Kør et opslag mod en validerende resolver:

dig +dnssec ditdomæne.dk @1.1.1.1
dig DS ditdomæne.dk +short

Ser du ad (authenticated data) i flag-linjen og en RRSIG-record i svaret, er kæden hel. Returnerer DS-opslaget ingenting, er domænet ikke signeret i .dk-zonen.

Onlineværktøjer som DNSViz eller Verisigns DNSSEC Debugger tegner hele kæden og udpeger et eventuelt brækket led. Brug dem, hvis terminalen ikke er din hjemmebane.

Sådan kommer DNSSEC på

To roller skal spille sammen:

• DNS-værten signerer zonen og holder nøglerne friske.
• Nøglerne registreres hos Punktum dk, så kæden fra .dk ned til din zone er ubrudt.

Ifølge Punktum dk kan registranten (eller en fuldmagtshaver) håndtere DNSSEC for et .dk-domæne via Punktum dk’s selvbetjening, mens den, der administrerer navneserverne, også kan gøre det via registratorsystemet. Hos mange DNS-udbydere sker det hele automatisk, når udbyderen både står for navneserverne og registreringen.

Bor domænets registrering og DNS hvert sit sted, skal nøgleoplysningerne fra DNS-værten registreres hos Punktum dk. Det er en engangsopgave ved opsætningen – og en, der skal gentages, hvis nøglen skiftes uden automatik. Spørg din DNS-vært, hvordan de håndterer det.

Nøgler, algoritmer og rotation

De fleste DNS-værter arbejder med to slags nøgler: en nøgle, der signerer selve zonens records (ofte kaldt ZSK), og en nøgle, der signerer nøglesættet og er den, DS-recorden hos .dk peger på (ofte kaldt KSK). Nogle udbydere bruger én samlet nøgle. Som domæneejer behøver du sjældent at forholde dig til opdelingen – men du skal vide, hvem der roterer nøglerne, og om rotationen også opdaterer registreringen hos Punktum dk.

Algoritmen er også værd at kende. Moderne opsætninger bruger typisk ECDSA (algoritme 13), som giver små signaturer og dermed mindre DNS-svar. Ældre RSA-baserede opsætninger virker stadig, men giver større svar.

Spørg din DNS-vært om tre ting: Hvilken algoritme bruges? Roteres nøglerne automatisk? Og opdateres nøgleoplysningerne hos Punktum dk automatisk ved rotation, eller skal det gøres manuelt?

Skift af DNS-udbyder: den kritiske situation

For .dk-domæner gælder en særlig regel: Når navneserverne skiftes for et domæne med DNSSEC-nøgler, fjerner Punktum dk de eksisterende nøgler. DNSSEC er derefter afbrudt, indtil den nye navneserveradministrator registrerer nye nøgler.

Det beskytter mod det klassiske nedbrud, hvor .dk-zonen peger på den gamle udbyders nøgler, mens en ny udbyder serverer zonen. Men det betyder også:

1. Domænet kører usigneret efter skiftet, indtil DNSSEC er sat op hos den nye udbyder. Det sker ikke af sig selv alle steder – tjek det.
2. Andre domæner følger ikke samme regel. For eksempel .com, .eu eller .se kan stå med en gammel DS-record, der får domænet til at fejle for validerende resolvere. Afklar DNSSEC FØR skiftet: enten koordineret nøgleoverdragelse eller midlertidig deaktivering, flytning og ny signering.
3. Fejl kan også opstå uden navneserverskifte, hvis DNS-værten slår signering fra eller skifter nøgle, uden at registreringen hos Punktum dk følger med.

Læs mere om selve flytningen i guiden om at flytte et .dk-domæne.

Når DNSSEC er gået i stykker

Et brækket DNSSEC-led har et genkendeligt mønster: Sitet og mailen virker for nogle og er døde for andre – afhængigt af, om deres resolver validerer. Det kan ligne en NXDOMAIN-fejl, men en validerende resolver svarer typisk SERVFAIL.

Et hurtigt tjek viser, om DNSSEC er årsagen:

dig ditdomæne.dk @1.1.1.1
dig ditdomæne.dk @1.1.1.1 +cd

+cd beder resolveren springe valideringen over. Giver det første opslag SERVFAIL, mens det andet giver et normalt svar, er det DNSSEC-kæden, der er brudt. Kør derefter et DNSViz-tjek, og kontakt din DNS-vært med resultatet – eller Hostious’ support, hvis domænet ligger hos os.

Vigtigt: Løsningen på en brudt kæde er at få nøglerne hos Punktum dk til at matche zonen – eller midlertidigt fjerne DNSSEC – ikke at ændre dine A- og MX-records. De er sandsynligvis korrekte; det er beviset for dem, der fejler.

Verifikation

Din DNSSEC er sund, når:

• dig-opslaget viser ad-flag fra en validerende resolver;
• DS-opslaget returnerer en record;
• et DNSViz-tjek viser en ubrudt kæde;
• status er noteret i driftsdokumentationen, for eksempel “DNSSEC: aktiv, signeres af X, nøgler registreret hos Punktum dk via Y”.

Den notits er hele pointen: Næste gang nogen planlægger et udbyderskifte, er DNSSEC på tjeklisten fra start – og aldrig årsagen til et mystisk nedbrud bagefter. Se også guiden om driftsdokumentation.

Læs også

• Hub: Domæner, DNS og SSL
• Sådan flytter du et .dk-domæne til en ny udbyder
• Registrant og registrator – hvem ejer egentlig domænet?
• Hvad er DNS? Internettets adressebog forklaret
• TTL forklaret: sæt den rigtigt før ændringer
• WordPress hosting hos Hostious – gratis SSL og dansk support døgnet rundt

Ofte stillede spørgsmål om DNSSEC

Gør DNSSEC mit site langsommere?

Ikke mærkbart. Signaturvalideringen sker i resolverne, og resultatet caches som andre DNS-svar. Svarene bliver lidt større, men det har ingen praktisk betydning for besøgsoplevelsen.

Er DNSSEC lovpligtigt for .dk-domæner?

Nej – det er frivilligt, men anbefalet. For virksomheder med mail og betalingsflows på domænet er det en beskyttelse, man først savner den dag, den manglede.

Beskytter DNSSEC mod phishing?

Mod forfalskede DNS-svar for dit eget domæne, ja – men ikke mod tvillingedomæner og falske afsendernavne. Den del håndteres med DMARC og opmærksomhed; DNSSEC og DMARC supplerer hinanden.

Hvad sker der med DNSSEC, når jeg skifter navneservere på et .dk-domæne?

Punktum dk fjerner de eksisterende DNSSEC-nøgler, når navneserverne skiftes. Domænet virker derefter usigneret, indtil den nye navneserveradministrator registrerer nye nøgler – så husk at få DNSSEC sat op igen.