Leçons du module (3/3)
Expiration et récupération
Expiration et récupération
Des signatures expirées, un DS périmé ou des clés incohérentes peuvent pousser les résolveurs validants à rejeter des données DNS pourtant accessibles. Préservez d’abord les éléments : requête, résolveur, code, heure et état de validation. Comparez le DS du parent aux DNSKEY de l’enfant, puis vérifiez signatures et cohérence des serveurs faisant autorité.
Corrigez le lien défaillant avec le changement contrôlé le plus limité. Surveillez plusieurs résolveurs validants indépendants et laissez expirer les caches concernés. Ne supprimez pas DNSSEC à l’aveugle et ne changez pas plusieurs clés à la fois : cela peut aggraver la panne et effacer des indices.
Pour un DS périmé suspecté, comparez DS parent et DNSKEY enfant, puis examinez signatures et délais de cache. Préparez la procédure d’incident avant un rollover.
Vérifiez votre compréhension
Choisissez la meilleure réponse. Ce quiz fonctionne localement et n’envoie aucune requête DNS réelle.
Pour un DS périmé suspecté, quelles données comparer ?