Co je DNSSEC – a opravdu ho potřebujete? (2026)

Publikováno 2026-07-01

Údaje k 2026-06-29 · metodika v7. Souhrnná data z censu napříč 261 miliony oznámkovaných domén. DNSSEC přidává k DNS kryptografické podpisy, takže resolver může ověřit, že odpověď skutečně pochází od vás a nebyla pozměněna. Viz jak známkujeme.

DNSSEC opatří každou DNS odpověď pro vaši doménu podpisem, takže útočník nemůže nenápadně podstrčit falešnou odpověď a poslat vaše návštěvníky jinam. Patří k nejméně nasazovaným prvkům na webu: platný podepsaný řetězec má jen 1.99 % z 261 milionů domén. Je také jedním z mála případů, kdy je špatné nastavení horší než žádné – 3.02 % domén je podepsaných, ale nefunkčních, což je může učinit nedostupnými. Zde je, co dělá a zda ho potřebujete.

Před čím DNSSEC vlastně chrání

Prosté DNS nemá jak prokázat, že je odpověď pravá. To otevírá dveře otravě cache a DNS spoofingu na cestě přenosu – útočník podstrčí resolveru zfalšovaný záznam a nasměruje vaše návštěvníky nebo vaši poštu na svůj server, aniž by to prozradilo jakékoli varování o certifikátu. DNSSEC tuto mezeru uzavírá tím, že záznamy podepisuje, takže ověřující resolver odmítne vše, co se neověří.

Co naopak nedělá: nešifruje DNS, nezabezpečuje samotný web a nenahrazuje HTTPS, DMARC ani CAA. Je to jedna vrstva – integrita DNS odpovědí.

Jak vypadá nasazení

1.99 % je podepsáno a platných.
3.02 % je podepsaných, ale nefunkčních – podpis, který selže při ověření, což může doménu vyřadit pro každého, kdo používá ověřující resolver. To je riziko, které lidi činí obezřetnými.
Tam, kde registr DNSSEC aktivně propaguje, je jeho využití mnohem vyšší: koncovky zemí řízené registrem dosahují 9.1 % platných, oproti 1.3 % napříč ostatními zemskými koncovkami. Nasazení je otázkou politiky, nikoli technického limitu. Viz funguje povinný DNSSEC a paradox DNSSEC.

Podle koncovky domény se podíl platného DNSSEC značně liší: 18.38 % u .se, 11.86 % u .nl, 14.62 % u .cz – oproti pouhým 1.62 % u .com.

Potřebujete ho?

Domény s vyšší hodnotou nebo cílem útoku – banky, státní správa, infrastruktura, cokoli, kde je přesměrování uživatelů či pošty vážnou kořistí – z něj těží nejvíce.
Organizace řízené shodou (compliance) – DNSSEC se stále častěji objevuje v bezpečnostních dotaznících a některých oborových pravidlech.
Všichni ostatní – je to rozumný krok ke zpevnění zabezpečení, pokud to váš DNS hosting umožňuje jedním kliknutím a spravuje za vás výměny klíčů. Pokud by jeho zapnutí znamenalo ruční správu klíčů, kterou byste mohli pokazit, je riziko nefunkčního podpisu reálné – dělejte to tam, kde je to automatizované.

Jak ho bezpečně zapnout

Použijte DNS hosting, který DNSSEC automatizuje – podepisování a výměny klíčů vyřízené za vás (většina hlavních poskytovatelů to dnes zvládne jedním kliknutím). Viz oprava DNSSEC.
Zapněte podepisování a poté zveřejněte záznam DS u svého registrátora, čímž dokončíte řetězec důvěry.
Ověřte, že se řetězec vyřeší, než odejdete – podepsaná, ale nefunkční doména je horší než nepodepsaná.
Nikdy nespravujte klíče ručně, pokud nemáte nástroje pro jejich spolehlivou rotaci.

Časté dotazy

Co je DNSSEC jednoduše řečeno? Je to sada digitálních podpisů vašich DNS záznamů, díky nimž mohou resolvery ověřit, že je odpověď pravá a nebyla při přenosu zfalšována.

Opravdu potřebuji DNSSEC? Nejcennější je pro vysoce cílené domény a tam, kde ho vyžaduje shoda (compliance). Pro všechny ostatní je to dobrý krok ke zpevnění zabezpečení, pokud ho váš DNS hosting automatizuje – hlavním rizikem je chybné nastavení, které aktuálně má 3.02 % domén.

Šifruje DNSSEC moje DNS? Ne. Dokládá integritu (odpověď je pravá), ale neskrývá dotaz. To je jiná technologie (DoH/DoT).

Může DNSSEC rozbít můj web? Nefunkční nebo prošlý podpis může způsobit, že vaše doména nebude vyřešitelná pro každého, kdo používá ověřující resolver. Proto je automatizované podepisování a výměna klíčů důležitá.

Je DNSSEC zdarma? Na většině moderních DNS hostingů ano – je to nastavení, nikoli nákup.

Zkontrolujte DNSSEC své domény zdarma

Zjistěte, zda je vaše doména podepsaná, platná a správně zřetězená – soukromě a jen pro vlastníka.

Zkontrolujte svou doménu → · Opravit DNSSEC → · Funguje povinný DNSSEC? → · Jak známkujeme → · Pouze souhrnná data. Data ukládána a zpracovávána v EU.