DNSSEC (DNS Security Extensions, phần mở rộng bảo mật DNS) bổ sung chữ ký số cho các bản ghi DNS của tên miền. Nhờ đó, các máy chủ phân giải (resolver) có kiểm tra DNSSEC có thể xác nhận rằng câu trả lời thật sự đến từ DNS của tên miền bạn và không bị can thiệp trên đường truyền, giúp chống lại các kiểu tấn công như giả mạo DNS (DNS spoofing) và đầu độc bộ nhớ đệm (cache poisoning). DNSSEC không mã hóa gì cả; nó chỉ chứng minh rằng các câu trả lời là thật.
Cách hoạt động
Dịch vụ vận hành DNS cho tên miền của bạn ký các bản ghi bằng một khóa riêng (private key) và công bố khóa công khai (public key) tương ứng. Một DS record, do cơ quan quản lý tên miền (registry) của đuôi tên miền nắm giữ (ví dụ .com), liên kết đến khóa đó. Nhờ vậy hình thành một chuỗi tin cậy từ gốc của internet xuống tận tên miền của bạn. Nếu chữ ký không hợp lệ, máy chủ phân giải sẽ từ chối câu trả lời.
Dùng DNSSEC với GUDHOST
DNSSEC được bật hoặc tắt tại nơi quản lý DNS của tên miền, thường là nhà đăng ký tên miền. Bạn không cần làm gì đặc biệt cho GUDHOST: việc thêm hoặc thay đổi A record cho website vẫn diễn ra bình thường khi DNSSEC đang bật, vì nhà cung cấp DNS của bạn tự động ký các bản ghi mới.
Hãy cẩn thận trong một trường hợp. Nếu bạn chuyển nameserver sang một dịch vụ DNS khác, hãy tắt DNSSEC trước (hoặc thiết lập lại với dịch vụ mới) và chờ thay đổi hoàn tất. Nếu không, DS record cũ sẽ không còn khớp, và các máy chủ phân giải có kiểm tra DNSSEC sẽ coi tên miền của bạn là bị lỗi, khiến website và email ngừng hoạt động với nhiều khách truy cập.
Nếu tên miền của bạn ngừng hoạt động ngay sau khi đổi nameserver trong lúc DNSSEC đang bật, hãy kiểm tra với nhà đăng ký, hoặc liên hệ hỗ trợ và chúng tôi sẽ giúp bạn xác định cần sửa gì.