DNSSEC kontrolleres på to sider: Er jeres egne domæner signeret, og validerer de navneservere, jeres brugere slår op i, signaturerne på andres domæner? Navneserverdesignet kontrolleres mod SAMSIK’s anbefalinger om adskilte roller, skjult primær og opdatering.
I staten er DNSSEC et krav. For alle andre er det en anbefaling. SAMSIK’s domænevejledning fra 2022 har et afsnit skrevet direkte til driften, og det er målestokken her.
Hvad staten kræver
De statslige tekniske minimumskrav (krav 18) siger, at DNSSEC tilknyttes alle myndighedens domænenavne. Håndteres indgående mail af en tredjepart, skal tredjepartens domæne også ligge i DNSSEC-signerede domæner. Vejledningen har et scenarie, der er nyttigt for alle: En DNSSEC-signeret CNAME, der peger på en leverandørs usignerede domæne, opfylder fortsat kravet. Staten kræver også .dk-domæner til internetvendte tjenester, med visse undtagelser.
Uden for staten er der intet krav, kun SAMSIK’s anbefaling.
Signering af jeres egne domæner
SAMSIK anbefaler DNSSEC på alle eksterne domæner, også dem, der kun er registreret for at beskytte navnet (punkt 2.1.15). Gennemgangen tager listen over domæner og kontrollerer for hvert:
- Er zonen signeret?
- Fornyes signaturerne automatisk og overvåget (2.2.3)?
- Fornyes nøglerne regelmæssigt og automatisk (2.2.5)?
- Bruges NSEC3 (2.2.4)?
- Genereres og opbevares nøglen til signering af nøgler (KSK) på en sikret enhed (2.2.6)?
- Hvilken algoritme bruges? Vejledningen fra 2022 anbefaler algoritme 13, ECDSAP256SHA256 (2.2.7).
DNSSEC skal være slået til på alle autoritative navneservere for zonen (2.2.2). Hostes zonen hos en udbyder, er det udbyderens opsætning, der skal læses, men det er jeres domæne.
Vejledningen nævner overvågningen sammen med fornyelsen. En fornyelse, ingen holder øje med, er et kontrolpunkt i sig selv.
Validering hos jer selv
Signering beskytter andre, der slår jeres navne op. Validering beskytter jeres egne brugere. SAMSIK anbefaler, at de rekursive navneservere, der betjener egne brugere, validerer DNSSEC (2.2.1). Gennemgangen læser opsætningen af de interne navneservere og eventuelle videresendere.
Netværksudstyret skal kunne håndtere DNSSEC-trafik (2.2.8). DNSSEC kan kræve større pakker og TCP, så firewallreglerne skal tillade det (2.1.7).
Navneserverdesignet
Vejledningens afsnit 2.1 lister en række anbefalinger til, hvordan navnetjenesten bygges:
- Autoritative navneservere tillader ikke rekursive forespørgsler, og der bruges separate rekursive navneservere kun for interne klienter (2.1.1).
- Eksterne navneservere indeholder ingen interne navne og adresser (2.1.2).
- Flere eksterne navneservere giver tilgængelighed (2.1.3), og navneserverne er dedikerede (2.1.4).
- En skjult primær navneserver bruges til administration (2.1.5), og sekundære står i et isoleret segment (2.1.6).
- Zoneoverførsel sikres med TSIG (2.1.8).
- Svarene oplyser ikke softwareversionen (2.1.10), og softwaren opdateres rettidigt (2.1.11).
Det første punkt vejer tungest. En navneserver, der både er autoritativ for jeres zoner og svarer på rekursive forespørgsler fra internettet, blander to roller, vejledningen vil have skilt ad. Gennemgangen konstaterer, om opsætningen tillader det, og går ikke videre end det.
Udtrækkene
- liste over alle domæner med status for signering
- opsætning af de autoritative navneservere, egne eller hos udbyder
- opsætning af de rekursive navneservere og deres validering
- overvågningen af signaturernes udløb
Hvem der kan ændre zonen og glemte poster står i DNS-gennemgang: glemte poster.
Det kan driften selv
Skriv domænerne op, også dem, der kun er købt for at beskytte navnet. Se i udbyderens portal, om signering er slået til for hvert. Mangler den, er det ofte en indstilling hos udbyderen. Læs også opsætningen af de interne navneservere, og se, om validering er slået til.
Sæt derefter en overvågning op, der advarer, før signaturer eller nøgler udløber, og skriv i driftshåndbogen, hvem der modtager advarslen.
Hvad det kræver, og hvad det koster at lade være
Det kræver en domæneliste og adgang til navneservernes opsætning. Ligger domænerne hos en udbyder, er det udbyderens opsætning, der skal læses og eventuelt ændres. Det tunge er overvågningen bagefter.
Uden validering hos jer bliver svarene på jeres brugeres opslag ikke kontrolleret. Uden signering kan andre ikke kontrollere svar om jeres domæne. Og en navneserver med blandede roller er netop den opsætning, vejledningen fraråder.
Det skal I lade være med
- At signere uden at overvåge fornyelsen · vejledningen anbefaler begge dele.
- At glemme de domæner, der kun beskytter navnet · vejledningen anbefaler DNSSEC også dér.
- At lade den autoritative server svare rekursivt · rollerne skal skilles ad.
Det skal gennemgangen kunne vise
- ☐ DNSSEC på alle eksterne domæner.
- ☐ Automatisk og overvåget fornyelse af signaturer og nøgler.
- ☐ Validering på de rekursive navneservere, jeres brugere bruger.
- ☐ Adskilte roller for autoritative og rekursive navneservere.
Kilder
- SAMSIK, Vejledning: Domænesikkerhed (revideret september 2022), afsnit 2.1 og 2.2, læst 13. november 2026.
- SAMSIK, Vejledning til de tekniske minimumskrav til it-sikkerhed i staten (september 2025), afsnit 3.7, læst 13. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Skriv jeres domæner op, og notér for hvert, om det er signeret, og hvem der driver navneserverne.
Læs også: sikkerpånettet.dk som hurtig egenkontrol · Transportkryptering af mail
→ Kontakt · Tlf. 70 13 63 23 · Teknisk sikkerhedsgennemgang hos Nielco IT
