Defaults.Exposed › Rapporter

Fungerar obligatorisk DNSSEC? Vad registerdriven införsel avslöjar (2026)

Publicerad 2026-06-29

Siffror per 2026-06-29 · metodik v7. Aggregerade censusdata över 261 miljoner betygsatta domäner, efter nationell domänändelse (en approximation av registrets policy, inte företagets plats). ”Registerdrivet” = ändelsens register främjar aktivt DNSSEC genom incitament eller krav — mestadels incitament till registrarer, inte rättsliga påbud. ”Giltig” = en DNSSEC-kedja som validerar; ”trasig” = signerad men misslyckas med valideringen. Se hur vi betygsätter.

Får det verkligen fart på spridningen att tvinga registrarer att driva på DNSSEC? Ja — avgörande — men med en hake. På ändelser vars register driver DNSSEC har 9.1% av domänerna en giltig signatur, mot bara 1.3% på ändelser som överlåter det till ägarna — ungefär 7× högre. Policy fungerar där frivillig spridning planar ut. Haken: även hos de ledande är det fler domäner som har trasig DNSSEC än som får den rätt — så registertryck löser att slå på den, inte att göra den korrekt.

Höjer det spridningen att driva på DNSSEC?

Otvetydigt. Registerdrivna nationella ändelser klustrar runt 10–18 % giltig DNSSEC; laissez-faire-ändelser ligger nära det globala golvet på 1.99%. En högre andel giltiga är bättre; andelen trasiga är priset för att göra fel. Per 2026-06-29:

Sveriges 18.38% är mer än tio gånger .com:s 1.62%. Klyftan handlar inte om tekniken — det är samma protokoll överallt — utan om huruvida någon i kedjan hade ett skäl att rulla ut det.

Haken: mer trasigt än fungerande

Här kommer den obekväma hälften. I varje registerdriven ändelse ovan är andelen trasiga högre än andelen giltiga — Sverige har 30.35% trasiga mot 18.38% giltiga; Nederländerna 22.98% mot 11.86%. Över alla drivna ändelser är det 15.7% trasiga mot 9.1% giltiga.

Det spelar roll eftersom trasig DNSSEC inte är harmlös: en validerande resolver vägrar slå upp en domän vars signaturer inte stämmer, så en felkonfiguration kan ta domänen offline — webbplats och e-post — för en del av internet. Att driva spridning utan att driva korrekthet skalar upp avbrotten parallellt med skyddet. Det är samma exekveringsproblem som hela webben uppvisar i DNSSEC-paradoxen, bara förstärkt där fler domäner försöker sig på det.

Varför registerpolicy slår att överlåta det till ägarna

DNSSEC har ingen tvingande händelse för en enskild ägare: ingenting går sönder eller varnar om du hoppar över det, så på en laissez-faire-ändelse som .com ligger spridningen platt nära 1.62% i all oändlighet. De register som bröt sig loss gjorde det genom ekonomi, inte påbud — typiskt incitament till registrarer (rabatter eller återbäring för att signera zoner) plus leverantörsautomation, vilket är hur de nordiska, tjeckiska och nederländska registren lyfte hela sin population. Det är ett rent naturligt experiment: samma protokoll, samma svårighet, mycket olika utfall — och skillnaden är registerpolicyn.

Påbud eller incitament — vad rör egentligen nålen?

Mestadels incitament. Trots den ”obligatoriska” inramning som frågan brukar ställas i, så uppmuntrar de ändelser med hög spridning här i allmänhet DNSSEC snarare än att lagstadga om det; hårda påbud är ovanligare (vissa regeringar kräver det för offentliga domäner). Lärdomen för vilket register som helst: att rikta registrarernas ekonomi och automation mot signering fungerar — men det bör paras med hanterad signering och nyckelrotation, annars tillverkar du helt enkelt fler trasiga zoner.

Vanliga frågor

Ökar spridningen verkligen av att kräva eller ge incitament för DNSSEC? Ja — ungefär 7× i våra data: 9.1% giltiga på registerdrivna ändelser mot 1.3% på laissez-faire-ändelser, per 2026-06-29.

Vilket land eller vilken TLD har mest DNSSEC? Bland stora ändelser leder Sverige (.se) med 18.38% giltiga — över tio gånger .com:s 1.62%.

Om spridningen är högre, görs DNSSEC korrekt? Ofta inte. I varje ändelse med hög spridning överstiger trasig DNSSEC den giltiga (15.7% mot 9.1% över de drivna ändelserna) — och trasig DNSSEC kan ta en domän offline.

Bör ett litet företag slå på DNSSEC? Bara om den hanteras korrekt — en trasig signatur är värre än ingen. Använd en leverantör som sköter signering och nyckelrotation, och verifiera att den validerar. Se hur man fixar DNSSEC.

Kontrollera din domäns DNS

Se om din DNSSEC är giltig, trasig eller frånvarande — och resten av din säkerhetsställning — privat och gratis.

Kontrollera din domän → · DNSSEC-paradoxen → · Vem driver internets DNS? → · Fixa DNSSEC → · Endast aggregerade data. Data lagras och behandlas inom EU.