DNSSEC (Domain Name System Security Extensions) je sloj kriptografskih potpisa nad standardnim DNS-om. Bez njega, napadač može lažirati DNS odgovor (DNS spoofing, cache poisoning) i preusmjeriti posjetitelje s tvoje domene na napadačku stranicu. S DNSSEC-om, browser može matematički verificirati da je odgovor došao od ovlaštenog vlasnika domene.
Ovaj vodič pokriva što DNSSEC zapravo radi, kako ga uključiti za .hr i gTLD domene, i kako provjeriti da radi.
Što DNSSEC štiti — i što ne štiti
ŠTITI od:
- DNS spoofing — napadač pošalje lažni DNS odgovor
- Cache poisoning — napadač zatvori lažne odgovore u DNS cache od ISP-a
- Man-in-the-middle DNS hijacking na razini mreže
NE štiti od:
- Hackiranog sajta (treba WAF + cleanup, vidi naš WP cleanup vodič)
- Compromised hosting account-a
- Phishing emaila (treba DKIM/SPF/DMARC, vidi email deliverability članak)
- SSL/TLS man-in-the-middle (to štiti HTTPS)
DNSSEC je jedan sloj sigurnosti. Ne zamjenjuje druge mjere — komplementaran je.
Kako DNSSEC tehnički radi
Lance digitalnih potpisa:
- TLD registry (npr. CARNet za .hr) ima root signing key
- Registry potpisuje listu domena svojim ključem
- Tvoj registrar dobije DS (Delegation Signer) zapis za tvoju domenu od registry-ja
- Tvoj DNS provider (hosting) ima ZSK (Zone Signing Key) i KSK (Key Signing Key)
- Svaki DNS zapis u tvojoj zoni je potpisan ZSK-om
- ZSK je potpisan KSK-om
- KSK-ov hash je DS zapis kod registrara
Browser/resolver prati ovaj lanac od root-a do tvog DNS zapisa. Ako bilo gdje potpis ne odgovara — odgovor je odbačen.
DNSSEC za .hr domene
CARNet kao .hr TLD registry podržava DNSSEC od 2020. Implementacija ovisi o tvom registrar-u (gdje si registrirao domenu).
Glavni .hr registrari i DNSSEC podrška
Većina ozbiljnih registrara podržava DNSSEC za .hr. Ali implementacija varira:
- Neki imaju auto-DNSSEC (jedan klik u panel-u)
- Neki traže manual DS record entry (kompliciranije, ali transparent)
- Neki ne podržavaju (rijetko sad)
Provjeri sa svojim registar-om je li DNSSEC opcija u admin panel-u.
Procedura za uključenje (preko WMD-a)
Ako je domena registrirana kroz WMD i koristi naš DNS:
- Otvori moj.wmd.hr → Domains → odaberi domenu
- Klikni DNSSEC tab
- Klikni Enable DNSSEC
- Sustav automatski generira ključeve i šalje DS zapis CARNet-u
- Verifikacija traje 2-6 sati
Bez WMD-a — postupak ovisi o registrar-u, ali general flow je: generiraj DS zapis → pošalji registrar-u → registrar ga proslijedi CARNet-u.
DNSSEC za gTLD (.com, .org, .net, .io, ...)
Svi gTLD-i podržavaju DNSSEC od 2010. Procedure je slična .hr-u, ali ovisi o registar-u.
Popularni registrari i DNSSEC
- Namecheap — Auto-DNSSEC za većinu TLD-ova, jedan klik
- Cloudflare Registrar — DNSSEC by default, ne moraš ništa
- Google Domains (sad Squarespace Domains) — auto-DNSSEC
- GoDaddy — auto za premium klijente, manual za standard
- OVH — manual setup, granularan kontrola
Kako provjeriti radi li DNSSEC
1. Online alati
- DNSSEC Analyzer (Verisign) — vizualni prikaz lanca potpisa
- DNSViz — najdetaljniji, dobar za debugging
- DNSSEC Debugger — quick check
Unesi svoju domenu, dobiti report. Cilj: zelene oznake na svim nivoima (root → TLD → tvoja domena).
2. Komandna linija
Linux/Mac:
dig +dnssec tvojadomena.hrU output-u tražiš:
- ad flag u zaglavlju ("flags: qr rd ra ad") — znači authenticated data
- RRSIG zapisi u answer section — to su potpisi
3. Browser test
Posjeti dnssec.vs.uni-due.de. Ako tvoj browser/ISP koristi DNSSEC validator, stranica prikazuje 'You are using a DNSSEC validator'.
Što ako DNSSEC ne radi
Najčešći problemi:
1. DS zapis nije submittiran
Generirao si ključeve, ali registrar ih nije proslijedio TLD registry-ju. Provjeri u admin panelu registra ima li DS zapis.
2. Mismatch između KSK-a i DS zapisa
Ako mijenjaš DNS provider-a, KSK se mijenja. Trebaš generirati novi DS zapis i submittirat ga.
3. Algorithm rollover problem
RSA SHA-1 (algoritam 5) više nije siguran. Treba RSA SHA-256 (algoritam 8) ili ECDSAP256SHA256 (13). Ako koristiš stari, validator će fail.
4. Nepovezan TTL
DNS cache od ISP-ova drži stare odgovore. Promjena DNSSEC postavki može trajati 24-48 sati za potpunu propagaciju.
Trade-offovi — kad DNSSEC NIJE pametan
1. Subscription tier limit
Neki jeftiniji domain registrari naplaćuju DNSSEC kao dodatak. Ako je 5-10 €/god više — vrijednost je manja od cijene za većinu malih sajtova.
2. Operative kompleksnost
Premještanje DNS provider-a kad imaš DNSSEC traži pažljiv key rollover. Greška = sajt offline za sve DNSSEC-aware resolvere.
3. Performance overhead
DNS odgovori su veći (potpisi dodaju 2-4x size). Latencija je malo veća. Ali za većinu use case-ova neprimjetno.
4. Compatibility
Većina modernih DNS resolvera podržava DNSSEC. Ali u nekim corporate mrežama, ako mreža ima loš DNS proxy, DNSSEC odgovori mogu biti odbačeni.
Best practice
Naša preporuka 2026:
- Uključi DNSSEC za sve produkcijske domene
- Koristi modern algoritam (ECDSAP256SHA256 ili Ed25519)
- Auto-rollover ako tvoj DNS provider podržava
- Monitoring (alat koji te obavještava ako DNSSEC pukne)
- Documentiraj key rotation proces
DNSSEC + DANE — bonus razina
DANE (DNS-based Authentication of Named Entities) je sljedeći korak — koristiš DNSSEC da publiciraš TLSA zapise koji govore browseru tačan SSL certifikat za tvoju domenu. Štiti od kompromitiranih CA (Certificate Authority) napada.
Adoption DANE-a za web (HTTPS) je nizak. Bolja adoption za email (MTA-STS je alternativa). Ako gradiš email infrastrukturu, vrijedi pogledati DANE/MTA-STS.
WMD i DNSSEC
Naša DNS infrastruktura podržava DNSSEC za sve domene koje hostamo. Auto-DNSSEC je u finalizaciji za sve klijente — u međuvremenu, javi info@wmd.hr za manual uključenje (besplatno).
Postupak je obično 5-10 minuta s naše strane + 2-6 sati za TLD propagaciju.
FAQ
Koja je razlika između DNSSEC i HTTPS?
Različiti slojevi. DNSSEC verificira da je DNS odgovor autentičan (gdje je server). HTTPS/SSL verificira da je server koji si pogodio onaj koji tvrdi da je (i enkriptira komunikaciju). Trebaš oba.
Koliko košta DNSSEC za .hr?
CARNet ne naplaćuje. Tvoj registrar može — provjeri. WMD ne naplaćuje za naše hosting klijente.
Što ako moja CMS instalacija prestane raditi nakon DNSSEC?
DNSSEC nije povezan s CMS-om. Ako sajt prestane raditi, vjerojatnije je DNS propagation issue (čekaj 24h) ili nepovezan problem.
Mogu li koristiti DNSSEC s Cloudflare-om?
Da. Cloudflare ima vlastiti DNSSEC implementation. Treba submittirat DS zapis koji ti Cloudflare generira tvom registar-u.
Što ako mi pukne DNSSEC?
Možeš ga privremeno isključiti (DS zapis kod registrara → delete). DNS će ponovno raditi za sve resolvere u roku od 24-48h. Onda popraviš problem i ponovno uključuje.
Zaključak
DNSSEC je standardna sigurnosna mjera koja se gotovo besplatno aktivira. Za 2026, nema dobre izgovore da je nemaš na produkcijskim domenama.
Praktičan plan:
- Provjeri ima li tvoj registrar DNSSEC opciju
- Uključi za sve produkcijske domene
- Validate s online alatima
- Dokumentiraj proces (za buduće domene)
Kombiniraj s SSL (vidi SSL upute), SPF/DKIM/DMARC za email (vidi email deliverability članak), i WAF na hostingu — kompletna obrana na 4 sloja.
Trebaš pomoć oko aktivacije? Javi se.
