Defaults.Exposed › Zprávy
Funguje povinný DNSSEC? Co odhaluje zavádění řízené registry (2026)
Publikováno 2026-06-29
Údaje k 2026-06-29 · metodika v7. Agregovaná censová data o 261 milionech ohodnocených domén, podle národní koncovky domény (jde o ukazatel politiky registru, nikoli o sídlo firmy). „Hnané registrem” = registr dané koncovky aktivně prosazuje DNSSEC prostřednictvím pobídek nebo požadavků — většinou pobídek pro registrátory, nikoli zákonných příkazů. „Platný” = řetězec DNSSEC, který se ověří; „rozbitý” = podepsaný, ale selhávající při ověření. Viz jak hodnotíme.
Pohne přimění registrátorů k prosazování DNSSEC skutečně s adopcí? Ano — rozhodně — ale je v tom háček. Na koncovkách, jejichž registry DNSSEC pohánějí, má 9.1% domén platný podpis, oproti pouhým 1.3% na koncovkách, které to nechávají na vlastnících — zhruba 7× více. Politika funguje tam, kde dobrovolná adopce uvázne. Háček: i u lídrů rozbije DNSSEC více domén, než kolik ho má správně — takže tlak registru řeší zapnutí, nikoli správné provedení.
Zvyšuje prosazování DNSSEC adopci?
Jednoznačně. Národní koncovky hnané registrem se shlukují kolem 10–18 % platného DNSSEC; koncovky podle zásady laissez-faire leží blízko globálního dna 1.99%. Vyšší procento platných je lepší; procento rozbitých je cena za chybu. K 2026-06-29:
| Koncovka | Postoj registru | DNSSEC platný | Rozbitý |
|---|---|---|---|
| .se (Švédsko) | Hnaný (pobídky pro registrátory) | 18.38% | 30.35% |
| .no (Norsko) | Hnaný | 16.59% | 25.24% |
| .sk (Slovensko) | Hnaný | 16.61% | 25.59% |
| .cz (Česko) | Hnaný (pobídky pro registrátory) | 14.62% | 26.28% |
| .nl (Nizozemsko) | Hnaný (pobídky pro registrátory) | 11.86% | 22.98% |
| .fr (Francie) | Hnaný | 5.13% | 9.54% |
| .com | Laissez-faire | 1.62% | 2.44% |
| .de (Německo) | Laissez-faire | 0.92% | 1.60% |
| .uk (Spojené království) | Laissez-faire | 1.06% | 1.72% |
Švédských 18.38% je více než desetinásobek 1.62% domény .com. Rozdíl není o technologii — všude jde o tentýž protokol — ale o to, zda měl někdo v řetězci důvod jej nasadit.
Háček: víc rozbitého než funkčního
Tady je ta nepříjemná půlka. V každé výše uvedené koncovce hnané registrem je míra rozbitých vyšší než míra platných — Švédsko vykazuje 30.35% rozbitých proti 18.38% platných; Nizozemsko 22.98% proti 11.86%. Napříč všemi hnanými koncovkami je to 15.7% rozbitých proti 9.1% platných.
To je důležité, protože rozbitý DNSSEC není neškodný: ověřující resolver odmítne přeložit doménu, jejíž podpisy nesedí, takže chybná konfigurace může doménu uvést offline — web i e-mail — pro část internetu. Pohánět adopci bez pohánění správnosti škáluje výpadky souběžně s ochranou. Je to tentýž problém s provedením, který celý web ukazuje v paradoxu DNSSEC, jen zesílený tam, kde se o něj pokouší více domén.
Proč politika registru poráží ponechání na vlastnících
DNSSEC nemá pro jednotlivého vlastníka žádnou vynucující událost: nic se nerozbije ani nevaruje, když ho vynecháte, takže na koncovce podle zásady laissez-faire jako .com zůstává adopce neomezeně plochá blízko 1.62%. Registry, které se z toho vymanily, to dokázaly skrze ekonomiku, ne edikty — typicky pobídky pro registrátory (slevy nebo bonusy za podepisování zón) plus automatizaci poskytovatele, čímž severské, český a nizozemský registr pozvedly celou svou populaci. Je to čistý přirozený experiment: tentýž protokol, tatáž obtížnost, velmi odlišné výsledky — a tím rozdílem je politika registru.
Příkaz, nebo pobídka — co skutečně pohne ručičkou?
Většinou pobídka. Navzdory „povinnému” rámování, v němž se otázka obvykle klade, koncovky s vysokou adopcí zde DNSSEC zpravidla podporují, místo aby ho zákonně vyžadovaly; tvrdé příkazy jsou vzácnější (některé vlády ho vyžadují pro domény veřejného sektoru). Poučení pro jakýkoli registr: zarovnání ekonomiky registrátorů a automatizace směrem k podepisování funguje — ale mělo by se to spárovat se spravovaným podepisováním a obměnou klíčů, jinak prostě vyrobíte víc rozbitých zón.
Často kladené otázky
Zvyšuje vyžadování nebo motivování k DNSSEC skutečně adopci? Ano — v našich datech zhruba 7×: 9.1% platných na koncovkách hnaných registrem proti 1.3% na koncovkách laissez-faire, k 2026-06-29.
Která země nebo TLD má nejvíce DNSSEC?
Mezi velkými koncovkami vede Švédsko (.se) s 18.38% platných — přes desetinásobek 1.62% domény .com.
Pokud je adopce vyšší, je DNSSEC prováděn správně? Často ne. V každé koncovce s vysokou adopcí převyšuje rozbitý DNSSEC ten platný (15.7% proti 9.1% napříč hnanými koncovkami) — a rozbitý DNSSEC může doménu uvést offline.
Měl by malý podnik DNSSEC zapnout? Jen pokud je správně spravován — rozbitý podpis je horší než žádný. Použijte poskytovatele, který zvládá podepisování a obměnu klíčů, a ověřte, že se to ověří. Viz jak opravit DNSSEC.
Zkontrolujte DNS své domény
Zjistěte, zda je váš DNSSEC platný, rozbitý nebo chybí — a zbytek vašeho zabezpečení — soukromě a zdarma.
Zkontrolujte svou doménu → · Paradox DNSSEC → · Kdo provozuje DNS internetu? → · Opravit DNSSEC → · Pouze agregovaná data. Data uložena a zpracovávána v EU.