DNSSEC: problème d'enregistrement de record DS

system · April 3, 2026, 9:01pm

Bonjour,

J'essaye d'activer DNSSEC sur deux de mes domaines .be dont les serveurs NS ne sont pas chez OVH.

Tout est créé sur les serveurs DNS mais OVH n'arrive pas à valider le Key Tag de la création du record DS.

Message d'erreur :

Le domaine semble pourtant bien configuré au niveau du DNSSEC et il ne manque donc que l'entrée DS au niveau du TLD qu'OVH doit configurer.

https://dnssec-analyzer.verisignlabs.com/sandrineetarnaud.be

# dig +dnssec +multi sandrineetarnaud.be DNSKEY
; <<>> DiG 9.20.22 <<>> +dnssec +multi sandrineetarnaud.be DNSKEY

;; global options: +cmd

;; Got answer:

;; ->>HEADER<<- opcode: QUERY, status: NOERROR, id: 38148

;; flags: qr aa rd ra; QUERY: 1, ANSWER: 3, AUTHORITY: 0, ADDITIONAL: 1
;; OPT PSEUDOSECTION:

; EDNS: version: 0, flags: do; udp: 1232

; COOKIE: f783cde31c48c6cd0100000069d026c96600744af4a35b8c (good)

;; QUESTION SECTION:

;sandrineetarnaud.be.	IN DNSKEY
;; ANSWER SECTION:

sandrineetarnaud.be.	600 IN DNSKEY 256 3 13 (

dz/J9aztGyR0/88qKI5QrZzbg3PdGwE3dIg2Qz2MdhiT

QNCUrldcgPOPcUMffgvBv63iOL4pSIbMX8RpQZfzjA==

) ; ZSK; alg = ECDSAP256SHA256 ; key id = 38160

sandrineetarnaud.be.	600 IN DNSKEY 257 3 13 (

yNt9uALbgOmmDcoHQifjTqf950OpMXt/6igBM3bJW3Cd

avJpkvkS/+hboB8Sgd7XGzcoCjx/2HFdb6zh8BtveQ==

) ; KSK; alg = ECDSAP256SHA256 ; key id = 18229

sandrineetarnaud.be.	600 IN RRSIG DNSKEY 13 2 600 (

20260418204255 20260403194255 18229 sandrineetarnaud.be.

iVZMec4pOD+T5lI70wJfXsQpw7/8HqFOHv/HDqOi4VJ4

9wpBK0MX57fFF+bdmhFiMqKflZLMleA6r6c/1Dvu3A== )
;; Query time: 0 msec

;; SERVER: 127.0.0.1#53(127.0.0.1) (UDP)

;; WHEN: Fri Apr 03 22:44:57 CEST 2026

;; MSG SIZE  rcvd: 351

=> La clé KSK correspond à la clé # 18229, d'où je dérive le DS :

# dnssec-dsfromkey /usr/local/etc/namedb/working/Ksandrineetarnaud.be.+013+18229.key 
sandrineetarnaud.be. IN DS 18229 13 2 27DC0E5176E9C6F1E49397DBB3685F7BA2E19F2FB3837E20589C989979C2B10

Et encodé en B64:

MjdEQzBFNTE3NkU5QzZGMUU0OTM5N0RCQjM2ODVGN0JBMkUxOUYyRkIzODM3RTIwNTg5Qzk4OTk3OUMyQjEwMQ==

Guide suivi: https://codilime.com/blog/practical-implementation-dnssec/

Est-ce que j'aurais raté qqch ou alors serait-ce un bug côté OVH comme j'ai pu le lire ici e.a.:

https://community.ovhcloud.com/t/6046

Merci d'avance !

a.

system · April 4, 2026, 2:15pm

Résolu !

OVH ne s'attends pas à obtenir le clé à partir de la commande dnssec-dsfromkey:

# dnssec-dsfromkey /usr/local/etc/namedb/working/Ksandrineetarnaud.be.+013+18229.key 
sandrineetarnaud.be. IN DS 18229 13 2 27DC0E5176E9C6F1E49397DBB3685F7BA2E19F2FB3837E20589C989979C2B10

Mais bien de la concaténation en une ligne du résultat du dig brut (ce qui explique aussi pourquoi le digest type n'est pas nécéssaire):

# dig +dnssec +multi sandrineetarnaud.be DNSKEY
; <<>> DiG 9.20.22 <<>> +dnssec +multi sandrineetarnaud.be DNSKEY

;; global options: +cmd

;; Got answer:

;; ->>HEADER<<- opcode: QUERY, status: NOERROR, id: 38148

;; flags: qr aa rd ra; QUERY: 1, ANSWER: 3, AUTHORITY: 0, ADDITIONAL: 1
;; OPT PSEUDOSECTION:

; EDNS: version: 0, flags: do; udp: 1232

; COOKIE: f783cde31c48c6cd0100000069d026c96600744af4a35b8c (good)

;; QUESTION SECTION:

;sandrineetarnaud.be.	IN DNSKEY
;; ANSWER SECTION:

sandrineetarnaud.be.	600 IN DNSKEY 256 3 13 (

dz/J9aztGyR0/88qKI5QrZzbg3PdGwE3dIg2Qz2MdhiT

QNCUrldcgPOPcUMffgvBv63iOL4pSIbMX8RpQZfzjA==

) ; ZSK; alg = ECDSAP256SHA256 ; key id = 38160

sandrineetarnaud.be.	600 IN DNSKEY 257 3 13 (

yNt9uALbgOmmDcoHQifjTqf950OpMXt/6igBM3bJW3Cd

avJpkvkS/+hboB8Sgd7XGzcoCjx/2HFdb6zh8BtveQ==

) ; KSK; alg = ECDSAP256SHA256 ; key id = 18229

sandrineetarnaud.be.	600 IN RRSIG DNSKEY 13 2 600 (

20260418204255 20260403194255 18229 sandrineetarnaud.be.

iVZMec4pOD+T5lI70wJfXsQpw7/8HqFOHv/HDqOi4VJ4

9wpBK0MX57fFF+bdmhFiMqKflZLMleA6r6c/1Dvu3A== )
;; Query time: 0 msec

;; SERVER: 127.0.0.1#53(127.0.0.1) (UDP)

;; WHEN: Fri Apr 03 22:44:57 CEST 2026

;; MSG SIZE  rcvd: 351

=> rentrer :

yNt9uALbgOmmDcoHQifjTqf950OpMXt/6igBM3bJW3CdavJpkvkS/+hboB8Sgd7XGzcoCjx/2HFdb6zh8BtveQ==

Et dans l'interface:

Ce qui donne:

J'attends maintenant que cette clé KSK se propage au niveau du TLD afin d'obtenir un bulletin entièrement vert ici:

https://dnssec-analyzer.verisignlabs.com/sandrineetarnaud.be

Voilà, j'espère que ça pourra en aider d'autres qui auront autant séché que moi sur ce DNSSEC.

@++

a.