DNSSEC診断
利用方法
- ドメイン名を指定すると、DNSSEC（DNSの応答に電子署名を付けて、改ざんを検出できるようにする仕組み）の設定を診断します。
- DNSSECはゾーン単位で署名されるため、サブドメイン（www.example.com など）を入力すると、そのサブドメインが含まれるゾーン（example.com など）のDS・DNSKEYを表示し、検証の結果は入力した名前そのもの（Aレコードなど）で確かめます。存在しない名前を入力したときは、DNSSECの判定は行わず「この名前は存在しません」と表示します。
- DSレコードは、親のゾーン（.com など）に登録する、鍵の指紋です。DNSKEYは、ドメインのDNSサーバーが公開する鍵です。この2つが揃って一致して初めて、DNSSECが機能します。
- 検証の結果は、DNSSECを検証するCloudflare・Googleの公開DNSで、実際に名前解決を行った結果です。検証に失敗すると、該当のDNSを使っている利用者は、サイトに接続できなくなります。
- 検証に失敗したときは、検証を無効にした問い合わせも行い、「DNSSECの設定不備が原因」なのか「単なるDNSの障害」なのかを区別します。
- DSレコードだけがあってDNSKEYが無い、鍵を更新したのにDSを更新していない、署名の期限が切れている、といった状態が、名前解決の失敗の典型的な原因です。
- DNSSECを止めるときは、先に親ゾーンのDSレコードを削除してから、DNSKEYを消してください。順序を逆にすると、名前解決に失敗します。
- 署名の有効期限は、DNSKEYに対する署名で確認します。ゾーン内のほかのレコードの署名は確認していません。
- ここでの検証は、DSとDNSKEYの一致・署名の期限・検証を行うDNSでの結果を確認するものです。署名の暗号的な検証そのものは、公開DNS側の結果に基づきます。
- DNSの全般的な診断は本サイトの「DNS総合診断」、変更の反映確認は「DNS伝播チェッカー」をご利用ください。
- 入力したドメイン名・URLなどは、次に入力するときの候補として、このブラウザに保存されます。共用のパソコン・スマートフォンでご利用の場合は、使い終わったら「入力履歴消去」を押してください（シークレットモード・プライベートブラウズでは、閉じると自動で消えます）。候補の右端の「×」で1件ずつ消せます。消した候補は、同じ種類の欄を持つほかのツールからも消えます。
免責事項
当サイトをご利用したことによる、またはご利用になれないことにより生じるトラブルや損害には、当方は一切の責任を負いません。