Il tuo dominio ha DNSSEC attivo?

Controlla se il dominio aziendale è protetto da DNSSEC e se la catena di fiducia è valida: impedisce che le risposte DNS vengano falsificate.

Verifica DNSSEC del tuo dominio

Inserisci il dominio aziendale: controlliamo record DS, chiavi DNSKEY, firme e validazione lungo la catena di fiducia.

La verifica DNSSEC controlla se il dominio aziendale firma le proprie risposte DNS e se la catena di fiducia, dalla radice di Internet fino al dominio, è integra. È il controllo da fare prima di attivare DNSSEC, dopo un cambio di provider DNS e ogni volta che sito o posta diventano irraggiungibili senza un motivo apparente.

Cos'è DNSSEC

DNSSEC (Domain Name System Security Extensions) è un insieme di estensioni del DNS che aggiunge una firma digitale alle risposte, così chi le riceve può verificare che provengano davvero dal dominio e non siano state alterate lungo il percorso. Non cifra i dati: ne garantisce autenticità e integrità.

Senza DNSSEC, un attaccante che riesce a inserirsi tra l'utente e il server DNS può restituire un indirizzo falso e dirottare il traffico verso un sito clone o un server di posta controllato da lui. È la tecnica del DNS spoofing o dell'avvelenamento della cache: chi la subisce non se ne accorge, perché nella barra del browser vede il nome giusto.

Come leggere i risultati

Lo strumento interroga resolver validanti pubblici e mette a confronto record DS, chiavi DNSKEY e firme del dominio.

Esito o dato	Cosa significa	Cosa fare
DNSSEC attivo e valido	Le risposte sono firmate e la catena di fiducia è completa.	Nessun intervento. Ricontrollare dopo ogni cambio di provider DNS o di registrar.
DNSSEC non attivo	Il dominio non pubblica DS né firma le risposte.	Valutare l'attivazione, soprattutto per domini che gestiscono posta, e-commerce o accessi a servizi aziendali.
Attivazione incompleta	La zona è firmata ma il record DS non è stato pubblicato presso il registro.	Inviare il DS al registrar: finché manca, la protezione non è attiva.
Configurazione non valida	Le firme non corrispondono al DS o sono scadute: i resolver validanti scartano le risposte.	Intervenire subito: correggere o rimuovere il DS presso il registrar.
KSK e ZSK	La KSK firma le chiavi ed è collegata al DS; la ZSK firma i record della zona.	Controllare che il key tag della KSK corrisponda a quello del DS.
Algoritmo	Il metodo crittografico delle firme. Oggi si consigliano ECDSA P-256 (13), Ed25519 (15) o RSA/SHA-256 (8).	Migrare gli algoritmi basati su SHA-1, considerati obsoleti.
Scadenza della firma	Le firme hanno una validità limitata e vengono rinnovate dal provider DNS.	Se la data è vicina o passata, verificare il rinnovo automatico delle firme.

DNSSEC attivo e valido

Cosa significa: Le risposte sono firmate e la catena di fiducia è completa.
Cosa fare: Nessun intervento. Ricontrollare dopo ogni cambio di provider DNS o di registrar.

DNSSEC non attivo

Cosa significa: Il dominio non pubblica DS né firma le risposte.
Cosa fare: Valutare l'attivazione, soprattutto per domini che gestiscono posta, e-commerce o accessi a servizi aziendali.

Attivazione incompleta

Cosa significa: La zona è firmata ma il record DS non è stato pubblicato presso il registro.
Cosa fare: Inviare il DS al registrar: finché manca, la protezione non è attiva.

Configurazione non valida

Cosa significa: Le firme non corrispondono al DS o sono scadute: i resolver validanti scartano le risposte.
Cosa fare: Intervenire subito: correggere o rimuovere il DS presso il registrar.

KSK e ZSK

Cosa significa: La KSK firma le chiavi ed è collegata al DS; la ZSK firma i record della zona.
Cosa fare: Controllare che il key tag della KSK corrisponda a quello del DS.

Algoritmo

Cosa significa: Il metodo crittografico delle firme. Oggi si consigliano ECDSA P-256 (13), Ed25519 (15) o RSA/SHA-256 (8).
Cosa fare: Migrare gli algoritmi basati su SHA-1, considerati obsoleti.

Scadenza della firma

Cosa significa: Le firme hanno una validità limitata e vengono rinnovate dal provider DNS.
Cosa fare: Se la data è vicina o passata, verificare il rinnovo automatico delle firme.

Come attivare DNSSEC sul dominio aziendale

L'attivazione coinvolge due soggetti: il provider che gestisce i record DNS e il registrar presso cui è registrato il dominio (lo indica il whois). Spesso coincidono, ma non sempre.

1
Verifica che l'estensione supporti DNSSEC. Le principali estensioni, tra cui .it, .com, .eu, .net e .org, sono firmate: lo strumento lo indica nella riga dedicata all'estensione.
2
Attiva la firma della zona presso il provider DNS. Il provider genera le chiavi KSK e ZSK, firma i record e da quel momento rinnova le firme in automatico.
3
Pubblica il record DS tramite il registrar. Il provider fornisce i dati del DS (key tag, algoritmo, tipo di digest e digest) o la chiave pubblica; il registrar li trasmette al registro dell'estensione.
4
Attendi la propagazione e verifica. Dopo qualche ora ripeti la verifica: l'esito deve essere "DNSSEC attivo e valido" e il DS deve corrispondere alla KSK.
5
Cambio di provider DNS: rimuovi prima il DS. Prima di spostare i nameserver, rimuovi il DS presso il registrar o sostituiscilo con quello del nuovo provider. Se i nameserver cambiano e il vecchio DS resta pubblicato, la catena si rompe e il dominio diventa irraggiungibile.
6
Programma i controlli. Inserisci la verifica DNSSEC nella checklist delle modifiche al DNS e nei controlli periodici dei domini aziendali.

Come funziona: la catena di fiducia

DNSSEC si basa su una catena di fiducia. La radice del DNS firma le estensioni (.it, .com, .eu), ogni estensione firma i domini registrati e ogni dominio firma i propri record DNS.

Un resolver validante, come quelli di molti provider e delle reti aziendali, ripercorre la catena a ogni richiesta: se tutto torna, segna la risposta come validata; se una firma non corrisponde, la scarta e il dominio risulta irraggiungibile. Gli anelli della catena sono due record:

il DNSKEY, pubblicato nella zona del dominio, contiene le chiavi pubbliche con cui verificare le firme (RRSIG) dei record;
il DS (Delegation Signer), pubblicato nella zona dell'estensione tramite il registrar, contiene l'impronta della chiave principale del dominio e la collega all'anello superiore.

Cosa vediamo più spesso nelle aziende

Il problema tipico non è l'assenza di DNSSEC, ma un DNSSEC rimasto a metà dopo una migrazione: il dominio passa a un nuovo provider DNS, il vecchio record DS resta presso il registrar e da quel momento sito e posta funzionano solo per una parte degli utenti. È difficile da diagnosticare, perché da molte reti tutto sembra regolare. Per questo, nei passaggi di provider che gestiamo, il DS è il primo dato che controlliamo e l'ultimo che verifichiamo a lavoro concluso.

Domande frequenti

DNSSEC rallenta il sito o la posta aziendale?

No, in modo percepibile. Le risposte DNS sono un po' più grandi per via delle firme, ma vengono memorizzate dai resolver come le altre. Le prestazioni di sito e posta non cambiano.

DNSSEC cifra il traffico come HTTPS?

No. DNSSEC garantisce che la risposta DNS sia autentica e integra, ma non la rende riservata. La cifratura delle comunicazioni resta compito di HTTPS, con un certificato SSL valido, e dei protocolli di posta sicuri: le due protezioni si completano.

Cosa succede se la configurazione DNSSEC è sbagliata?

I resolver validanti scartano le risposte del dominio: per chi li usa, sito, posta e ogni altro servizio legato al dominio risultano irraggiungibili. Per questo una configurazione errata è più rischiosa di una configurazione assente.

DNSSEC è obbligatorio per un dominio .it?

No, è facoltativo. Il registro .it supporta DNSSEC e molti provider lo attivano su richiesta. È consigliato per i domini usati per posta, servizi ai clienti e accessi a piattaforme aziendali.

Ogni quanto vanno sostituite le chiavi?

Le firme dei record vengono rinnovate in automatico dal provider. La sostituzione della chiave principale (KSK) è meno frequente e, se cambia, richiede di aggiornare il DS presso il registrar: va pianificata con il provider.

Lo strumento funziona anche con i sottodomini?

Sì. Se il nome inserito non è una zona a sé, come www.azienda.it, la verifica riguarda la zona a cui appartiene e lo strumento lo indica nei risultati.

Fonti e approfondimenti

A cura del team tecnico di VAY· Aggiornato il 28 ottobre 2026

Guide collegate

Cambiare provider DNS senza fermare sito e posta

Tutti gli strumenti →