Инструменты сетевой диагностики
Подписан ли домен и проходит ли валидацию?
DNS и записи
Поиск DNS Все записи DNS для любого домена Поиск записи A Адреса IPv4 для домена Поиск записи AAAA Адреса IPv6 для домена Поиск MX Почтовые серверы домена Поиск NS Авторитетные серверы имён Поиск TXT Записи TXT, SPF, верификация Поиск CNAME Записи канонического имени (псевдонима) Поиск SOA Запись Start of Authority Поиск SRV Записи расположения сервисов Поиск CAA Какие УЦ могут выпускать сертификаты Обратный DNS (PTR) IP-адрес в имя хоста Проверка DNSSEC Подписан ли домен и проходит ли валидацию? Проверка здоровья DNS Полный отчёт о делегировании и состоянии DNSДоставляемость почты
Проверка SPF Проверьте вашу запись Sender Policy Framework Проверка DMARC Изучите и оцените вашу политику DMARC Проверка DKIM Найдите и проверьте ваш открытый ключ DKIM Проверка чёрных списков Проверьте IP по почтовым блок-листам (DNSBL) Тест SMTP Подключение к почтовому серверу и проверка STARTTLS Проверка MTA-STS Принудительная политика TLS для входящей почты Проверка BIMI Запись логотипа бренда для почты Проверка TLS-RPT Политика отчётности SMTP TLSСеть и веб
Проверка сертификата SSL Изучите сертификат TLS сайта и срок его действия Проверка HTTP-заголовков Изучите заголовки ответа, редиректы и безопасность Пинг (TCP) Доступность и задержка по TCP Проверка портов Какие распространённые порты открытыДомен
Поиск WHOIS Регистрационные данные для доменов, IP и ASNDNSSEC (DNS Security Extensions) криптографически подписывает DNS-записи, чтобы резолверы могли убедиться, что они не были подделаны, защищая от отравления кэша и спуфинга. Он добавляет цепочку доверия поверх обычного DNS, не меняя смысла записей. IPeek запрашивает проверяющий резолвер DNS-over-HTTPS и сообщает, подписан ли домен и аутентифицирован ли он.
DNSSEC работает, подписывая каждую зону закрытым ключом и публикуя соответствующий открытый ключ в DNS. Записи подписываются (RRSIG), ключи публикуются (DNSKEY), а отпечаток ключа зоны (запись DS) помещается в родительскую зону. Это связывает вашу зону с её родителем, который связан со своим родителем, и так до самого корня — непрерывная цепочка доверия. Проверяющий резолвер следует по этой цепочке от корня вниз, проверяя каждую подпись, и доверяет только ответам, чьи подписи проходят проверку.
IPeek сообщает, подписан ли домен DNSSEC и аутентифицирует ли его проверяющий резолвер. Аутентифицированный результат (часто показываемый как флаг AD, или Authenticated Data) означает, что цепочка доверия цела и записи проверены. Если домен не подписан, DNSSEC просто не включён — это распространено и не является ошибкой, но означает, что записи не защищены. Подписанный домен, не прошедший проверку, серьёзнее: он указывает на сломанную цепочку, обычно из-за отсутствующей или несоответствующей записи DS у регистратора.
Самый частый сбой — сломанная цепочка доверия, когда зона подписана, но запись DS в родительской зоне отсутствует, устарела или не соответствует текущему ключу. Это заставляет проверяющие резолверы возвращать SERVFAIL и может полностью увести домен в офлайн для пользователей за проверяющими резолверами. Обычно это происходит при ротации ключей или при включении DNSSEC без загрузки записи DS регистратору. Исправьте это, убедившись, что запись DS у регистратора соответствует активному ключу вашей зоны, и никогда не удаляйте старые ключи до распространения обновления DS.
У домена, подписанного DNSSEC, есть криптографические подписи на DNS-записях, позволяющие проверяющим резолверам убедиться, что ответы подлинны и не изменены. Однако одной подписи недостаточно: родительская зона также должна содержать соответствующую запись DS, чтобы цепочка доверия дошла до домена. Подписанный и правильно делегированный домен защищён от спуфинга и отравления кэша.
Нет, неподписанный домен — это не ошибка, многие домены не используют DNSSEC. Это просто означает, что записи не несут криптографической защиты и теоретически могут быть подделаны или отравлены в пути. Включение DNSSEC добавляет эту защиту, но оно опционально и требует правильной настройки как у вашего DNS-провайдера, так и у регистратора.
Запись DS (Delegation Signer) — это отпечаток подписывающего ключа вашей зоны, публикуемый в родительской зоне у регистратора. Она связывает вашу подписанную зону с цепочкой доверия над ней. Если запись DS отсутствует или не соответствует вашему текущему ключу, проверяющие резолверы не могут проверить домен и могут полностью его провалить, так что синхронизация DS критична.
AD расшифровывается как Authenticated Data. Когда проверяющий резолвер устанавливает флаг AD, он подтверждает, что подписи DNSSEC ответа были проверены и цепочка доверия успешно подтверждена. Его отсутствие на подписанном домене может указывать на сбой проверки или на то, что резолвер не выполнял проверку. IPeek использует проверяющий резолвер, так что флаг отражает подлинную аутентификацию.
Обычная причина — сломанная цепочка доверия: запись DS у регистратора отсутствует, устарела или не соответствует активному ключу зоны, часто после ротации ключей. Проверяющие резолверы тогда возвращают SERVFAIL, что может сделать домен недоступным для затронутых пользователей. Согласование записи DS у регистратора с текущим подписывающим ключом устраняет это.