DNSSEC 設定の診断

機能

• 親ドメインの DS とゾーンの DNSKEY を突き合わせ、5 種類の判定を出します
• RFC 4034 に従って公開鍵から DNSKEY の key tag を計算し、DS の値と 1 件ずつ照合
• 5 つの状態を区別：有効、未設定、ゾーンに DNSKEY なし、親ドメインに DS なし、key tag 不一致
• 「未反映」（署名が無駄）と「設定不足」（現在名前解決できていない）を別々の説明に分けます
• DS / DNSKEY の全項目を分解：アルゴリズム番号を名前に変換、KSK と ZSK を区別、公開鍵はそのまま表示
• 自動的にゾーン頂点へ寄せて照会し、その旨を明記します
• リゾルバの AD ビットを表示し、連鎖が検証された傍証とします
• DNS 回線を切り替え可能。主回線が無応答なら自動で予備回線へ

使い方

1. ドメイン名を入力 —— サブドメインでも自動でゾーン頂点に寄せます
2. 「実行」を押す
3. 判定を読み、その下の DS と DNSKEY の詳細を確認する
4. 判定が異常なら、説明に従って登録業者か DNS 事業者側で残り半分を設定する

よくある質問

www.example.com と入力したのに、なぜ example.com を照会するのですか？

DNSSEC の鍵と署名はゾーン頂点、つまり `example.com` という名前そのものにしか存在しません。`www` には DS も DNSKEY もありません。入力どおりに照会すると「未設定」という結論になりますが、それは誤りです —— そのためツールは自動的に頂点へ寄せ、そのことを結果に明記します。

「未反映：親ドメインに DS がありません」とはどういう意味ですか？

DNS 事業者側で DNSSEC を有効にし、ゾーンも DNSKEY を公開しているのに、登録業者側に DS レコードが登録されていないという意味です。リゾルバは親ゾーン（`example.com` なら `.com`）から DS を読んで初めて検証すべきだと知ります。DS がなければ誰も教えてくれないため、署名は無駄になります。登録業者で DS レコードを追加してください。値は DNS 事業者の管理画面で確認できます。

「設定不足：ゾーンに DNSKEY がありません」でサイトが開かなくなることはありますか？

あります。この状態ではリゾルバは署名されるべきドメインだと判断しながら公開鍵を取得できないため、SERVFAIL を返します —— ドメインは落ちているように見えます。「未設定」とはまったく別の状況です。前者は早急な修正が必要で、後者は何もする必要がありません。

key tag とは何で、なぜ計算するのですか？

key tag は DNSKEY に対する 16 ビットのチェックサムです（RFC 4034 付録 B）。鍵の短い通し番号のような役割を果たし、DS がどの DNSKEY を指しているかを示せるようにします。ツールが公開鍵から実際に計算して DS と比べるのは、「鍵を交換したのに DS を更新していない」という、レコードを見ただけでは分からない問題を見つけるためです。

この診断は DNSSEC バリデータの代わりになりますか？

いいえ、それは目的ではありません。調べるのは設定が整合しているか（DS と DNSKEY が合っているか、両方が揃っているか）であり、署名そのものの検証ではありません。署名の検証には公開鍵で RRSIG を確かめる必要があり、それはリゾルバの仕事です。したがって「有効」という判定があっても、連鎖上の他の問題（署名の期限切れなど）を排除するものではありません。