Comment savoir si le DNSSEC est activé ?

Cherchez un enregistrement DS du domaine dans sa zone parente et des enregistrements DNSKEY dans la zone du domaine lui-même. Ce vérificateur demande les deux et indique si un résolveur validant a accepté la chaîne.

Que se passe-t-il si le DNSSEC est cassé ?

Les résolveurs validants, dont Google Public DNS, Cloudflare 1.1.1.1 et Quad9, renvoient SERVFAIL pour le domaine, si bien que son site et sa messagerie cessent de fonctionner pour tous leurs utilisateurs. Retirer l’enregistrement DS périmé chez le registrar règle le problème une fois les caches expirés.

Où activer le DNSSEC ?

À deux endroits. Activez la signature chez votre hébergeur DNS (par exemple Cloudflare ou Route 53), puis copiez l’enregistrement DS qu’il vous donne dans les réglages DNSSEC de votre registrar. Si le registrar est aussi l’hébergeur DNS, c’est souvent un seul interrupteur.

Puis-je vérifier le DNSSEC de nombreux domaines à la fois ?

Oui. Collez jusqu’à 100 domaines par passe, ou 500 après une connexion gratuite avec Google, et téléchargez les résultats en CSV.

Le DNSSEC a-t-il un effet sur la délivrabilité des e-mails ?

Ne pas être signé ne nuit pas à la délivrabilité. Un DNSSEC cassé, si : les serveurs de messagerie validants ne peuvent pas consulter les enregistrements MX, SPF ou DKIM du domaine, donc les e-mails vers et depuis ce domaine échouent. Le vérificateur de domaine pour le cold email contrôle ces enregistrements.

Le vérificateur DNSSEC est-il gratuit ?

Oui. 100 domaines par passe sans compte et 500 après une connexion gratuite avec Google, sans carte.

Vérificateur DNSSEC : ce domaine est-il signé, et la signature est-elle validée ?

En bref : Collez un domaine ou une liste et voyez lesquels sont signés et validés, lesquels sont cassés (les résolveurs validants les refusent), lesquels ont des clés mais pas de DS au registre, et lesquels ne sont pas signés. Limite : Il interroge un seul résolveur public validant : il ne parcourt pas la chaîne lui-même, ne vérifie ni chaque serveur de noms séparément ni l’expiration des signatures, et ne regarde que le domaine enregistré.

Un vérificateur DNSSEC vous dit si un domaine est signé et si ses signatures sont validées. Collez un domaine, ou jusqu’à 100 (500 après connexion avec Google) : pour chacun, l’enregistrement DS au registre et les enregistrements DNSKEY chez l’hébergeur DNS sont demandés via un résolveur public validant, et le domaine revient en Signed and valid, Broken, Keys but no DS ou Not signed.

Domains, one per line (up to 100)

Upload a CSV or TXT fileDS and DNSKEY asked of a validating public resolver over HTTPS; nothing is sent to the domain. 100 domains a run, or 500 when you sign in.

L’outil est le même que sur la version anglaise : ses boutons et le motif de chaque résultat s’affichent en anglais (valid = valide, invalid = invalide, risky = risqué). Mis à jour le 5 novembre 2026 par l’équipe SimpleVerifier

Comment vérifier si le DNSSEC est activé pour un domaine

Collez un domaine, ou une liste à raison d’un par ligne : jusqu’à 100 par passe, ou 500 après une connexion gratuite avec Google. Les adresses e-mail et les URL fonctionnent ; les sous-domaines sont ramenés au nom enregistré.
Cliquez sur Check DNSSEC. Les enregistrements DS et DNSKEY de chaque domaine sont demandés à Google Public DNS via HTTPS, avec Cloudflare en secours.
Lisez le statut et les raisons : les key tags et algorithmes trouvés, si le DS correspond à une clé, et si le résolveur a validé la réponse.
Corrigez d’abord les Broken, car les résolveurs validants refusent ces domaines. Pour Keys but no DS, copiez l’enregistrement DS de votre hébergeur DNS dans les réglages DNSSEC de votre registrar.

Comment fonctionne la validation DNSSEC ?

Le DNSSEC ajoute des signatures aux réponses DNS pour qu’un résolveur puisse vérifier qu’elles n’ont pas été falsifiées (RFC 4033). L’hébergeur DNS du domaine signe la zone et publie ses clés publiques sous forme d’enregistrements DNSKEY. Le registre publie un enregistrement DS, une empreinte de la clé de signature de clés, dans la zone parente (.com, .org, etc.). Un résolveur validant suit la chaîne depuis la clé de la racine, à travers chaque DS, jusqu’aux clés du domaine (RFC 4035).

Ce vérificateur demande les deux enregistrements à un résolveur validant en demandant le drapeau AD (données authentifiées), comme le décrit la RFC 6840. Si le résolveur positionne AD, la chaîne est validée. S’il répond SERVFAIL mais répond normalement avec la vérification désactivée, la chaîne existe mais échoue : c’est Broken.

Que signifient les statuts ?

Signed and valid : DS au registre, DNSKEY dans la zone, et le résolveur a validé. Broken : un DS est publié, mais les clés ou les signatures de la zone ne lui correspondent pas, si bien que les résolveurs validants refusent complètement de répondre pour le domaine. C’est celui à corriger tout de suite ; la cause habituelle est un passage chez un nouvel hébergeur DNS sans retirer l’ancien DS chez le registrar.

Keys but no DS : l’hébergeur DNS signe la zone, mais le DS n’a jamais été ajouté chez le registrar, donc rien n’est validé. Signed, not validated : les deux sont publiés, mais le résolveur n’a pas validé, en général à cause d’un algorithme qu’il ne prend pas en charge. Not signed : aucun des deux enregistrements n’existe, ce qui reste le cas de la plupart des domaines.

Quels algorithmes DNSSEC un domaine doit-il utiliser ?

La RFC 8624 indique quels algorithmes les signataires et les validateurs doivent utiliser. ECDSAP256SHA256 (algorithme 13) et RSASHA256 (8) sont les deux que tout signataire doit prendre en charge ; RSAMD5, DSA et ECC-GOST ne doivent pas servir à signer, et RSASHA1 (5 et 7) est déconseillé. Pour les condensés DS, SHA-256 (type 2) est obligatoire et SHA-1 ne doit pas être utilisé pour les nouvelles délégations. Le vérificateur nomme chaque algorithme d’après le registre des algorithmes DNSSEC de l’IANA et signale les plus faibles.

Questions fréquentes

Comment savoir si le DNSSEC est activé ?: Cherchez un enregistrement DS du domaine dans sa zone parente et des enregistrements DNSKEY dans la zone du domaine lui-même. Ce vérificateur demande les deux et indique si un résolveur validant a accepté la chaîne.
Que se passe-t-il si le DNSSEC est cassé ?: Les résolveurs validants, dont Google Public DNS, Cloudflare 1.1.1.1 et Quad9, renvoient SERVFAIL pour le domaine, si bien que son site et sa messagerie cessent de fonctionner pour tous leurs utilisateurs. Retirer l’enregistrement DS périmé chez le registrar règle le problème une fois les caches expirés.
Où activer le DNSSEC ?: À deux endroits. Activez la signature chez votre hébergeur DNS (par exemple Cloudflare ou Route 53), puis copiez l’enregistrement DS qu’il vous donne dans les réglages DNSSEC de votre registrar. Si le registrar est aussi l’hébergeur DNS, c’est souvent un seul interrupteur.
Puis-je vérifier le DNSSEC de nombreux domaines à la fois ?: Oui. Collez jusqu’à 100 domaines par passe, ou 500 après une connexion gratuite avec Google, et téléchargez les résultats en CSV.
Le DNSSEC a-t-il un effet sur la délivrabilité des e-mails ?: Ne pas être signé ne nuit pas à la délivrabilité. Un DNSSEC cassé, si : les serveurs de messagerie validants ne peuvent pas consulter les enregistrements MX, SPF ou DKIM du domaine, donc les e-mails vers et depuis ce domaine échouent. Le vérificateur de domaine pour le cold email contrôle ces enregistrements.
Le vérificateur DNSSEC est-il gratuit ?: Oui. 100 domaines par passe sans compte et 500 après une connexion gratuite avec Google, sans carte.

Vous avez une liste ? Les 100 premières adresses sont gratuites.

Connectez-vous avec Google, collez vos adresses ou déposez un CSV : chaque adresse passe le même contrôle SMTP de la boîte aux lettres, avec un fichier à télécharger. Sans carte bancaire.

Les domaines catch-all et les serveurs qui refusent de répondre reviennent risqués, jamais valides.

En continuant, vous acceptez nos conditions d’utilisation et notre politique de confidentialité (en anglais). Terms · Privacy