ما هو DNSSEC — وهل تحتاجه فعلاً؟ (٢٠٢٦)

نُشر 2026-07-01

الأرقام حتى تاريخ 2026-06-29 · المنهجية الإصدار v7. بيانات إحصائية إجمالية عبر 261 مليون نطاق مصنّف. يضيف DNSSEC توقيعات تشفيرية إلى نظام DNS بحيث يستطيع المحلِّل (resolver) إثبات أنّ الإجابة صادرة منك فعلاً ولم يجرِ العبث بها. اطّلع على كيف نمنح الدرجات.

يختم DNSSEC كل إجابة DNS خاصة بنطاقك بتوقيع، بحيث لا يستطيع المهاجم أن يستبدلها خفيةً بإجابة مزيّفة ويوجّه زوّارك إلى مكان آخر. وهو من أقلّ ضوابط الأمان اعتماداً على الويب: إذ لا يمتلك سلسلة موقّعة صالحة سوى 1.99٪ من أصل 261 مليون نطاق. وهو أيضاً من الحالات القليلة التي يكون فيها الإعداد السيّئ أسوأ من عدم وجوده أصلاً — فنسبة 3.02٪ من النطاقات موقّعة لكنها معطوبة، ما قد يجعلها غير قابلة للوصول. إليك ما يفعله وما إذا كنت تحتاجه.

ما الذي يحميه DNSSEC فعلاً

لا يملك نظام DNS العادي أي وسيلة لإثبات أنّ الإجابة أصلية. وهذا يفتح الباب أمام تسميم الذاكرة المؤقتة (cache poisoning) وانتحال DNS على المسار (on-path spoofing) — إذ يزوّد المهاجم المحلِّل بسجلّ مزوّر ويوجّه زوّارك، أو بريدك، إلى خادمه، دون أي تحذير من الشهادة يفضح الأمر. يسدّ DNSSEC هذه الثغرة بتوقيع السجلات بحيث يرفض المحلِّل المُتحقِّق أي إجابة لا يمكن التحقق منها.

أمّا ما لا يفعله فهو: أنّه لا يشفّر DNS، ولا يؤمّن الموقع الإلكتروني نفسه، ولا يحلّ محلّ HTTPS أو DMARC أو CAA. فهو طبقة واحدة فحسب — سلامة إجابات DNS.

صورة الاعتماد

1.99٪ موقّعة وصالحة.
3.02٪ موقّعة لكنها معطوبة — أي توقيع يفشل في التحقق، ما قد يُسقط النطاق لكل من يستخدم محلِّلاً مُتحقِّقاً. وهذا هو الخطر الذي يجعل الناس حذرين.
وحيثما يروّج له السجلّ بفاعلية، يكون الإقبال أعلى بكثير: تبلغ لواحق الدول المدفوعة من السجلّات نسبة 9.1٪ صالحة، مقابل 1.3٪ عبر لواحق الدول الأخرى. فالاعتماد رافعة سياسية، لا قيد تقني. اطّلع على هل ينجح DNSSEC الإلزامي ومفارقة DNSSEC.

بحسب لاحقة النطاق، تتفاوت نسبة DNSSEC الصالحة تفاوتاً واسعاً: 18.38٪ على se.، و11.86٪ على nl.، و14.62٪ على cz. — مقابل 1.62٪ فقط على com.

هل تحتاجه؟

النطاقات عالية القيمة أو المستهدَفة — البنوك والحكومات والبنى التحتية، وكل ما يكون فيه توجيه المستخدمين أو البريد جائزة كبيرة — هي الأكثر استفادة.
المؤسسات المدفوعة بالامتثال — يظهر DNSSEC بازدياد في استبيانات الأمان وبعض قواعد القطاعات.
بقية الجميع — إنّه خطوة تحصين معقولة إذا كان مضيف DNS الخاص بك يجعله بنقرة واحدة ويدير تدوير المفاتيح نيابةً عنك. أمّا إذا كان تفعيله يعني إدارة المفاتيح يدوياً بما قد تخطئ فيه، فإنّ خطر التوقيع المعطوب حقيقي — ففعّله حيثما كان مؤتمتاً.

كيف تفعّله بأمان

استخدم مضيف DNS يؤتمت DNSSEC — يتولّى عنك التوقيع وتدوير المفاتيح (يتيح ذلك معظم المزوّدين الكبار الآن بنقرة واحدة). اطّلع على إصلاح DNSSEC.
فعّل التوقيع، ثم انشر سجلّ DS لدى المُسجِّل لإتمام سلسلة الثقة.
تحقّق من أنّ السلسلة تُحلّ قبل أن تمضي — فالنطاق الموقّع لكنه معطوب أسوأ من نطاق غير موقّع.
لا تُدِر المفاتيح يدوياً أبداً ما لم تكن لديك الأدوات لتدويرها بموثوقية.

الأسئلة الشائعة

ما هو DNSSEC بعبارات بسيطة؟ هو مجموعة من التوقيعات الرقمية على سجلات DNS الخاصة بك بحيث يستطيع المحلِّلون إثبات أنّ الإجابة أصلية ولم تُزوَّر أثناء النقل.

هل أحتاج DNSSEC فعلاً؟ هو الأكثر قيمة للنطاقات عالية الاستهداف وحيثما يطلبه الامتثال. أمّا لبقية الجميع فهو خطوة تحصين جيدة إذا كان مضيف DNS الخاص بك يؤتمته — والخطر الرئيسي هو الإعداد الخاطئ، الذي تعاني منه حالياً نسبة 3.02٪ من النطاقات.

هل يشفّر DNSSEC نظام DNS الخاص بي؟ لا. إنّه يثبت السلامة (أنّ الإجابة أصلية) لكنه لا يخفي الاستعلام. فذلك تقنية مختلفة (DoH/DoT).

هل يمكن لـ DNSSEC أن يعطّل موقعي؟ يمكن لتوقيع معطوب أو منتهي الصلاحية أن يجعل نطاقك غير قابل للحلّ لكل من يستخدم محلِّلاً مُتحقِّقاً. لهذا السبب يهمّ التوقيع المؤتمت وتدوير المفاتيح.

هل DNSSEC مجاني؟ نعم على معظم مضيفي DNS الحديثين — إنّه إعداد، لا عملية شراء.

افحص DNSSEC لنطاقك مجاناً

اطّلع على ما إذا كان نطاقك موقّعاً وصالحاً ومُسلسلاً بشكل صحيح — بخصوصية، ولمالكه وحده.

افحص نطاقك ← · أصلح DNSSEC ← · هل ينجح DNSSEC الإلزامي؟ ← · كيف نمنح الدرجات ← · بيانات إجمالية فقط. تُخزَّن البيانات وتُعالَج في الاتحاد الأوروبي.