DNSSEC et DoH : sécuriser le DNS de vos VPS en 2026

DNSSEC et le DNS chiffré couvrent des risques différents : DNSSEC authentifie les réponses DNS, tandis que DoH et DoT chiffrent les échanges entre le client et le résolveur. Pour un domaine public, sécurisez d’abord la délégation avec DNSSEC ; pour les requêtes sortantes d’un VPS ou des postes nomades, choisissez ensuite un résolveur validateur accessible en DoT ou DoH selon vos besoins.

Un déploiement DNSSEC incorrect peut rendre le domaine inaccessible pour les résolveurs validateurs. Traitez donc le DNS comme un composant de production : contrôlez les accès au registrar et aux zones, testez les changements depuis l’extérieur et surveillez les signatures comme la chaîne de confiance.

Ce que protègent DNSSEC, DoT et DoH

Le DNS relie un nom de domaine à une adresse IP, à un serveur mail ou à d’autres services. Une réponse falsifiée peut détourner des visiteurs, intercepter un flux applicatif ou bloquer une API, même si le VPS est correctement durci.

DNSSEC ajoute des signatures cryptographiques aux données DNS. Un résolveur validateur peut vérifier que la réponse provient de la zone attendue et n’a pas été modifiée, à condition que la chaîne de confiance soit complète jusqu’à la racine DNS ; les requêtes restent toutefois visibles sur le réseau.

DNS over TLS (DoT) chiffre les échanges DNS sur TLS. DNS over HTTPS (DoH) vise le même objectif au travers de HTTPS, ce qui peut faciliter son usage lorsque le trafic web sortant est autorisé.

Domaine public : déployez DNSSEC auprès de l’opérateur DNS et du registrar.
VPS résolvant des noms Internet : utilisez un résolveur validateur ou un résolveur de confiance accessible en DoT ou DoH.
Postes nomades : DoH ou DoT limitent l’exposition des requêtes sur les réseaux non maîtrisés.
Réseau interne : gardez une résolution interne maîtrisée ; un DoH public peut contourner les politiques DNS locales s’il n’est pas encadré.

DoH et DoT ne remplacent pas DNSSEC : un résolveur DoH peut fournir une réponse non validée si DNSSEC n’est pas activé côté résolveur. Inversement, une réponse DNSSEC validée reste lisible si elle circule en DNS classique ; vérifiez aussi le chemin DNS réel des conteneurs, agents de sauvegarde et services système, qui peut différer de celui des navigateurs.

Déployer et contrôler DNSSEC

La zone doit être signée chez l’hébergeur DNS, puis le registrar doit publier l’enregistrement DS dans la zone parente. Ce DS relie la délégation du domaine aux clés de la zone enfant ; sa cohérence avec la clé active est indispensable.

Identifiez d’abord l’hébergeur réel de la zone autoritaire : le registrar et l’opérateur DNS peuvent être différents. Le VPS n’a à héberger BIND, Knot DNS, NSD ou PowerDNS que si vous exploitez vos propres serveurs autoritaires.

Vérifiez que l’opérateur DNS signe la zone et renouvelle les signatures automatiquement, ou prévoyez ces opérations si vous gérez les serveurs.
Confirmez que le registrar accepte la publication d’un DS pour l’extension concernée.
Activez DNSSEC, récupérez les valeurs DS générées pour la KSK et publiez-les chez le registrar.
Évitez de modifier en même temps le DS et les serveurs de noms.
Après chaque migration DNS, rotation de KSK ou restauration de zone, vérifiez le DS et la validation depuis plusieurs résolveurs validateurs.

Avec un DNS managé, le fournisseur automatise souvent les rotations de clés et les signatures. Avec des serveurs DNS sur vos VPS, vous devez gérer le stockage des clés, les signatures, les rotations KSK et ZSK, la distribution de zone et la publication du DS.

Utilisez dig pour inspecter les enregistrements et le drapeau AD d’un résolveur validateur. L’outil delv permet aussi d’examiner la validation DNSSEC ; un SERVFAIL chez un résolveur validateur, alors que la réponse fonctionne sans validation, doit être investigué.

Surveillez l’expiration des signatures, les échecs de signature ou de transfert de zone et la résolution applicative : le nom public doit renvoyer la bonne adresse, le certificat TLS rester valide et l’application répondre. Documentez un retour arrière, y compris le retrait contrôlé du DS si la zone ne peut plus être validée, et conservez des sauvegardes de zone exportées.

DNSSEC ne protège ni un compte registrar compromis ni une zone modifiée par un compte administrateur volé. Activez le MFA chez le registrar, limitez les accès d’écriture aux zones DNS et complétez la surveillance avec les outils open source de monitoring serveur et les mesures pour sécuriser un serveur Linux.