Spørsmål og svar

Støtter dere CDS/CDNSKEY (RFC 8078)?

Ja. CDS/CDNSKEY, som er beskrevet i RFC 8078, er en standard for å signalisere via DNS at DNSSEC-parametre skal oppdateres. Dette gjør det enkelt for dem som administrerer navnetjenerne å skru på/av DNSSEC eller rullere nøkler uten å måtte involvere registraren, og uten å måtte laste opp DNSSEC-data via EPP eller et web-grensesnitt.

Domeneshop støtter CDS/CDNSKEY på to forskjellige måter:

1. For domener som bruker Domeneshops navnetjenere, men der Domeneshop ikke er registrar, publiserer vi automatisk CDS/CDNSKEY-records i DNS for å signalisere til foreldresonen hvilke DNSSEC-parametre (dvs. DS-records) som skal være aktive. Foreløpig er det bare en liten håndfull toppdomener (.ch, .li, .nu, .se og .sk) der registry'et aktivt scanner etter CDS/CDNSKEY-records, men flere andre (bl.a. .no og .dk) har planer om å tilby dette etter hvert.
2. For domener som ikke bruker Domeneshops navnetjenere, men der Domeneshop er registrar, sjekker vi daglig etter CDS/CDNSKEY-records i DNS. Dersom vi oppdager at navnetjenerne publiserer CDS/CDNSKEY-records som ikke samsvarer med de aktive DS/DNSKEY-records for sonen, så oppdaterer vi dette automatisk via EPP og sender en epost til kontoadministrator for domenet med beskjed om hvilke endringer som er utført. Mange store DNS-leverandører som Cloudflare, Wix og Google Domains vil automatisk publisere CDS/CDNSKEY-poster når DNSSEC er aktivert. Disse vil da bli plukket opp av systemet vårt, noe som gjør DNSSEC-administrasjon trygt og enkelt.

For domener som både bruker Domeneshops navnetjenere og der Domeneshop er registrar, benyttes ikke CDS/CDNSKEY. Her oppdateres DNSSEC direkte via EPP i stedet.