Defaults.Exposed

Defaults.Exposed › Báo cáo

DNSSEC là gì — và bạn có thực sự cần nó không? (2026)

Đã xuất bản 2026-07-01

Số liệu tính đến 2026-06-29 · phương pháp luận v7. Dữ liệu tổng điều tra tổng hợp trên 261 triệu tên miền đã được chấm điểm. DNSSEC bổ sung chữ ký mật mã vào DNS để một trình phân giải có thể chứng minh rằng một câu trả lời thực sự đến từ bạn và không bị can thiệp. Xem cách chúng tôi chấm điểm.

DNSSEC đóng dấu chữ ký lên mọi câu trả lời DNS cho tên miền của bạn, nhờ đó kẻ tấn công không thể lặng lẽ thay thế bằng một câu trả lời giả và đưa khách truy cập của bạn đến nơi khác. Đây là một trong những biện pháp kiểm soát ít được áp dụng nhất trên web: chỉ 1.99% trong số 261 triệu tên miền có một chuỗi được ký hợp lệ. Đây cũng là một trong số ít trường hợp mà một cấu hình sai còn tệ hơn là không có gì — 3.02% tên miền được ký nhưng bị lỗi, điều này có thể khiến chúng không thể truy cập được. Sau đây là những gì nó làm và liệu bạn có cần nó hay không.

DNSSEC thực sự bảo vệ chống lại điều gì

DNS thông thường không có cách nào để chứng minh một câu trả lời là chính xác. Điều đó mở ra cánh cửa cho đầu độc bộ nhớ đệm (cache poisoning) và giả mạo DNS trên đường truyền (on-path DNS spoofing) — kẻ tấn công đưa vào trình phân giải một bản ghi giả mạo và hướng khách truy cập của bạn, hoặc email của bạn, đến máy chủ của chúng, mà không có cảnh báo chứng chỉ nào để lộ ra điều đó. DNSSEC bịt lỗ hổng đó bằng cách ký các bản ghi để một trình phân giải xác thực từ chối bất cứ thứ gì không xác minh được.

Những gì nó không làm: nó không mã hóa DNS, không bảo mật chính trang web, và không thay thế HTTPS, DMARC hoặc CAA. Nó là một lớp — tính toàn vẹn cho các câu trả lời DNS.

Bức tranh về mức độ áp dụng

Theo đuôi tên miền, tỷ lệ DNSSEC hợp lệ dao động rất rộng: 18.38% trên .se, 11.86% trên .nl, 14.62% trên .cz — so với chỉ 1.62% trên .com.

Bạn có cần nó không?

Cách bật nó một cách an toàn

  1. Sử dụng một nhà cung cấp DNS tự động hóa DNSSEC — việc ký và luân chuyển khóa được xử lý cho bạn (hầu hết các nhà cung cấp lớn hiện nay đều làm điều này chỉ với một cú nhấp). Xem khắc phục DNSSEC.
  2. Bật việc ký, sau đó công bố bản ghi DS tại nhà đăng ký của bạn để hoàn tất chuỗi tin cậy.
  3. Xác thực rằng chuỗi phân giải được trước khi bạn rời đi — một tên miền được ký nhưng bị lỗi còn tệ hơn một tên miền chưa được ký.
  4. Không bao giờ quản lý khóa thủ công trừ khi bạn có công cụ để luân chuyển chúng một cách đáng tin cậy.

Các câu hỏi thường gặp

DNSSEC là gì một cách đơn giản? Đó là một tập hợp các chữ ký số trên các bản ghi DNS của bạn để các trình phân giải có thể chứng minh câu trả lời là chính xác và không bị giả mạo trên đường truyền.

Tôi có thực sự cần DNSSEC không? Nó có giá trị nhất đối với các tên miền là mục tiêu cao và ở nơi việc tuân thủ yêu cầu điều đó. Đối với tất cả những người khác, đó là một bước tăng cường bảo mật tốt nếu nhà cung cấp DNS của bạn tự động hóa nó — rủi ro chính là một cấu hình sai, mà 3.02% tên miền hiện đang gặp phải.

DNSSEC có mã hóa DNS của tôi không? Không. Nó chứng minh tính toàn vẹn (câu trả lời là xác thực) nhưng không che giấu truy vấn. Đó là một công nghệ khác (DoH/DoT).

DNSSEC có thể làm hỏng trang web của tôi không? Một chữ ký bị lỗi hoặc hết hạn có thể khiến tên miền của bạn không thể phân giải được đối với bất kỳ ai sử dụng trình phân giải xác thực. Đó là lý do tại sao việc ký và luân chuyển khóa tự động lại quan trọng.

DNSSEC có miễn phí không? Có, trên hầu hết các nhà cung cấp DNS hiện đại — đó là một cài đặt, không phải một khoản mua.

Kiểm tra DNSSEC của tên miền bạn miễn phí

Xem liệu tên miền của bạn có được ký, hợp lệ và tạo chuỗi đúng cách hay không — một cách riêng tư, và chỉ dành cho chủ sở hữu.

Kiểm tra tên miền của bạn → · Khắc phục DNSSEC → · DNSSEC bắt buộc có hiệu quả không? → · Cách chúng tôi chấm điểm → · Chỉ dữ liệu tổng hợp. Dữ liệu được lưu trữ và xử lý tại EU.