DNSSEC avec les algorithmes SHA-1 5 et 7 : pourquoi il ne protège plus votre zone
La réponse courte
RFC 9905 (novembre 2025) indique que les zones ne doivent plus être signées avec RSASHA1 (5) ou RSASHA1-NSEC3-SHA1 (7), et que les résolveurs validants doivent traiter ces signatures comme non prises en charge. Votre domaine se résout toujours, mais ses réponses ne sont plus validées : DNSSEC cesse de vous protéger, sans aucune erreur nulle part. La correction est un changement d'algorithme (rollover), généralement vers 13 (ECDSA P-256).
Les numéros d'algorithme, et ce que disent les RFC de la signature avec chacun
Trouvez le vôtre avec dig DNSKEY example.com +short : le troisième nombre de chaque enregistrement est l'algorithme. Sur l'enregistrement DS chez votre registrar (dig DS example.com +short), c'est le deuxième nombre, et le troisième est le type de condensé.
| Numéro | Nom | Usage pour la signature |
|---|---|---|
1 | RSAMD5 | MUST NOT |
3 | DSA | MUST NOT |
5 | RSASHA1 | MUST NOT (RFC 9905 ; auparavant NOT RECOMMENDED) |
6 | DSA-NSEC3-SHA1 | MUST NOT |
7 | RSASHA1-NSEC3-SHA1 | MUST NOT (RFC 9905 ; auparavant NOT RECOMMENDED) |
8 | RSASHA256 | MUST |
10 | RSASHA512 | NOT RECOMMENDED |
13 | ECDSAP256SHA256 | MUST |
14 | ECDSAP384SHA384 | MAY |
15 | ED25519 | RECOMMENDED |
16 | ED448 | MAY |
SkyQon signale 1, 3, 5, 6 et 7 comme faibles, ainsi qu'un enregistrement DS avec le type de condensé 1 (SHA-1), qui ne doit pas non plus être utilisé pour la délégation ; utilisez le type de condensé 2 (SHA-256). Sources : RFC 8624 §3.1 et §3.3, mis à jour par RFC 9905.
Ce qui casse, et qui s'en aperçoit
- Les résolveurs validants cessent de vérifier vos réponses. RFC 9905 leur demande de traiter RSASHA1 et RSASHA1-NSEC3-SHA1 comme non pris en charge, ce qui rend votre zone non sécurisée plutôt qu'en échec : les réponses sont acceptées, et une réponse falsifiée n'est plus détectée. RFC 9905 §2
- Aucune erreur, aucune panne. Rien ne cesse de se résoudre, donc personne ne s'en aperçoit. Une surveillance qui demande seulement « DNSSEC est-il activé ? » reste au vert.
- Certains systèmes refusent déjà SHA-1. RFC 9905 note que la prise en charge de la validation des signatures SHA-1 a été retirée de certains systèmes : votre zone n'est donc déjà plus protégée pour leurs utilisateurs.
- DANE tombe avec lui. Les enregistrements DANE de vos serveurs de messagerie ne comptent que dans une zone qui se valide. Dans une zone traitée comme non sécurisée, les expéditeurs les ignorent. RFC 7672 §2.2
Contrôlez votre algorithme DNSSEC
Le contrôle gratuit du domaine lit vos enregistrements DS et DNSKEY, vous indique si la chaîne depuis votre registrar se valide et nomme l'algorithme avec lequel vous signez.
Gratuit, sans compte. Nous lisons uniquement le DNS public et ce que vos serveurs montrent à quiconque s'y connecte.
Corriger, étape par étape
Regardez avec quoi vous signez aujourd'hui
Lancez dig DNSKEY example.com +short et dig DS example.com +short, ou le contrôle gratuit. Notez les numéros d'algorithme et le type de condensé du DS.
Demandez d'abord à votre fournisseur DNS
La plupart des fournisseurs DNS gérés changent l'algorithme pour vous, sur demande ou via un simple réglage. Si c'est le cas du vôtre, la seule étape qui vous reste est peut-être le nouveau DS chez votre registrar.
Signez avec les deux algorithmes
Ajoutez de nouvelles clés avec le nouvel algorithme, par exemple 13, et signez la zone avec les anciennes et les nouvelles clés. Publiez les deux jeux d'enregistrements DNSKEY.
Attendez les caches
Attendez au moins le TTL DNSKEY plus le TTL des signatures, afin que chaque résolveur ait vu les deux jeux de clés et de signatures.
Remplacez le DS chez votre registrar
Ajoutez le DS de la nouvelle clé avec le type de condensé 2 (SHA-256). Attendez que le TTL du DS chez le parent soit écoulé, puis supprimez l'ancien DS.
Retirez l'ancien algorithme
Une fois l'ancien DS expiré des caches, supprimez les anciennes clés et leurs signatures. Contrôlez ensuite à nouveau : le résultat doit nommer le nouvel algorithme et une chaîne qui se valide.
Erreurs fréquentes
Remplacer les clés en une seule étape
Publier uniquement les nouvelles clés alors que le parent détient encore l'ancien DS casse la chaîne. Les résolveurs validants refusent alors complètement de répondre pour votre domaine : c'est une panne.
Dans le résultat SkyQon : le constat « DNSSEC keys are published but our validating resolver did not return AD » quand la chaîne ne se valide pas.
Retirer DNSSEC dans le mauvais ordre
Retirer la signature de la zone alors que le DS est encore chez le registrar a le même effet : les résolveurs attendent des signatures et n'en trouvent aucune.
Dans le résultat SkyQon : le constat « DS published at the parent but no DNSKEY at the zone apex — broken DNSSEC chain ».
Garder un DS avec le type de condensé 1
Un DS qui utilise le condensé SHA-1 ne doit pas non plus être utilisé pour la délégation. Remplacez-le par le type de condensé 2 pendant le changement d'algorithme.
Dans le résultat SkyQon : un constat lorsqu'un enregistrement DS utilise le type de condensé 1 (SHA-1), même s'il en côtoie un en SHA-256. Il ne change pas votre score et n'envoie aucune alerte.
Passer à l'algorithme 10
RSASHA512 fonctionne, mais RFC 8624 le marque NOT RECOMMENDED pour la signature, et ses signatures sont volumineuses.
Dans le résultat SkyQon : 8 et 10 sont acceptés, avec une note indiquant qu'ECDSA P-256 ou Ed25519 est préférable pour les nouvelles zones. Choisissez 13 si votre fournisseur le prend en charge.
Ce que SkyQon fait et ne fait pas
Ce que ça trouve
Si votre zone est signée, si la chaîne depuis votre registrar se valide, quels numéros d'algorithme utilisent vos enregistrements DS et DNSKEY, et si un enregistrement DS utilise le condensé SHA-1. 1, 3, 5, 6 et 7 sont signalés comme faibles.
Ce que vous obtenez
Le constat dans le contrôle gratuit et à chaque analyse d'un domaine surveillé, avec l'algorithme nommé et les étapes du changement d'algorithme.
Ce que ce n’est pas
Nous ne modifions ni vos clés ni vos enregistrements DS : cela se fait chez votre fournisseur DNS et votre registrar. Le constat sur le condensé SHA-1 ne change pas votre score et n'envoie aucune alerte.
DNSSEC et SHA-1 : les questions fréquentes
Mon domaine est-il hors ligne s'il est signé avec l'algorithme 5 ou 7 ?
Vers quel algorithme passer ?
Quelle est la différence entre 5 et 7 ?
NSEC3 hache aussi les noms avec SHA-1. Est-ce également un problème ?
Combien de temps prend un changement d'algorithme ?
Puis-je simplement désactiver DNSSEC ?
Le contrôle DANE de SkyQon en dépend-il ?
Que change RFC 9905 pour les enregistrements DS ?
Sources
- RFC 9905 : dépréciation de l'usage de SHA-1 dans les algorithmes de signature DNSSEC (novembre 2025)
- RFC 8624 §3.1 : recommandations pour les algorithmes DNSKEY
- RFC 8624 §3.3 : recommandations pour les types de condensé DS
- RFC 6781 §4.1.4 : changements d'algorithme
- RFC 7583 : calendrier de renouvellement des clés DNSSEC
Pages associées
Voyez quel algorithme protège votre zone.
Le contrôle gratuit nomme votre algorithme DNSSEC et vous indique si la chaîne se valide. Ajoutez le domaine au plan Free et chaque analyse le vérifie à nouveau.