Defaults.Exposed › रिपोर्ट

DNSSEC क्या है — और क्या आपको वास्तव में इसकी जरूरत है? (2026)

प्रकाशित 2026-07-01

आंकड़े 2026-06-29 तक · कार्यप्रणाली v7. 261 मिलियन ग्रेड किए गए domains में समग्र जनगणना डेटा। DNSSEC DNS में cryptographic signatures जोड़ता है ताकि एक resolver यह prove कर सके कि एक उत्तर वास्तव में आपसे आया और इसके साथ छेड़छाड़ नहीं हुई। देखें हम कैसे ग्रेड करते हैं।

DNSSEC आपके domain के हर DNS उत्तर पर एक signature stamp करता है, ताकि कोई attacker चुपचाप एक fake में swap नहीं कर सके और आपके visitors को कहीं और नहीं भेज सके। यह वेब पर सबसे कम-adopted controls में से एक है: केवल 1.99% 261 मिलियन domains के पास valid signed chain है। यह उन कुछ में से एक है जहाँ बुरा configuration कुछ भी नहीं से बुरा है — 3.02% domains signed हैं लेकिन broken हैं, जो उन्हें unreachable बना सकता है। यहाँ यह क्या करता है और क्या आपको इसकी जरूरत है।

DNSSEC वास्तव में क्या protect करता है

Plain DNS के पास यह prove करने का कोई तरीका नहीं है कि एक उत्तर genuine है। यह cache poisoning और on-path DNS spoofing का दरवाज़ा खोलता है — एक attacker एक resolver को एक forged record feed करता है और आपके visitors, या आपके email, को अपने server पर point करता है, बिना कोई certificate warning के। DNSSEC records sign करके वह gap बंद करता है ताकि एक validating resolver वह कुछ भी reject करे जो verify नहीं होता।

यह क्या नहीं करता: यह DNS encrypt नहीं करता, website को secure नहीं करता, और HTTPS, DMARC या CAA को replace नहीं करता। यह एक layer है — DNS उत्तरों के लिए integrity।

Adoption picture

• 1.99% signed और valid।
• 3.02% signed लेकिन broken — एक signature जो validation fail करती है।
• जहाँ एक registry actively इसे promote करती है, uptake बहुत higher है: registry-driven country endings 9.1% valid reach करती हैं, अन्य country endings में 1.3% के विरुद्ध।

Domain ending के अनुसार, valid DNSSEC widely ranges: .se पर 18.38%, .nl पर 11.86%, .cz पर 14.62% — .com पर केवल 1.62% के विरुद्ध।

क्या आपको इसकी जरूरत है?

• Higher-value या targeted domains — banks, government, infrastructure, कुछ भी जहाँ users या mail redirect करना serious prize है — सबसे अधिक benefit करते हैं।
• Compliance-driven organisations — DNSSEC तेजी से security questionnaires और कुछ sector rules में दिखाई देती है।
• बाकी सभी — यह एक reasonable hardening step है अगर आपका DNS host इसे one-click बनाता है। अगर इसे enable करने का मतलब है hand-managing keys जो आप गलत कर सकते हैं, तो broken-signature risk real है।

इसे safely कैसे चालू करें

1. एक DNS host उपयोग करें जो DNSSEC automate करे — signing और key rollovers आपके लिए handled। देखें DNSSEC ठीक करें।
2. Signing enable करें, फिर chain of trust complete करने के लिए DS record अपने registrar पर publish करें।
3. Validate करें कि chain चलने से पहले resolve होती है — एक signed-but-broken domain एक unsigned से बुरा है।
4. Keys को कभी hand-manage न करें जब तक कि आपके पास उन्हें reliably rotate करने का tooling न हो।

अक्सर पूछे जाने वाले प्रश्न

DNSSEC simple terms में क्या है? यह आपके DNS records पर digital signatures का एक set है ताकि resolvers prove कर सकें कि उत्तर genuine है और transit में forged नहीं हुआ।

क्या मुझे वास्तव में DNSSEC चाहिए? यह high-target domains और जहाँ compliance इसके लिए पूछती है वहाँ सबसे valuable है। बाकी सभी के लिए यह एक अच्छा hardening step है अगर आपका DNS host इसे automate करता है।

क्या DNSSEC मेरे DNS को encrypt करता है? नहीं। यह integrity prove करता है (उत्तर authentic है) लेकिन query hide नहीं करता।

क्या DNSSEC मेरी website break कर सकता है? एक broken या expired signature आपके domain को किसी के लिए भी unresolvable बना सकता है जो validating resolver उपयोग करता है।

क्या DNSSEC मुफ्त है? हाँ अधिकांश modern DNS hosts पर — यह एक setting है, खरीद नहीं।

मुफ्त में अपना domain का DNSSEC जाँचें

देखें कि क्या आपका domain signed, valid, और correctly chained है — निजी तौर पर, और owner-only।

अपना डोमेन जाँचें → · DNSSEC ठीक करें → · क्या mandatory DNSSEC काम करता है? → · हम कैसे ग्रेड करते हैं → · केवल समग्र डेटा। डेटा EU में संग्रहीत और संसाधित किया गया।