Uwierzytelnianie DNSSEC od kilku lat znajduje się w centrum zainteresowania administratorów, właścicieli stron WWW i specjalistów ds. bezpieczeństwa. Coraz częściej rejestratorzy domen oraz dostawcy hostingu zachęcają do jego włączenia, ale nie każdy rozumie, co dokładnie daje ten mechanizm i czy rzeczywiście jest potrzebny w każdej sytuacji. Zrozumienie zasad działania DNSSEC, jego zalet, ograniczeń i praktycznych konsekwencji pozwala świadomie zdecydować, czy jest to rozwiązanie odpowiednie dla danej domeny i organizacji.
Jak działa system DNS i gdzie wpasowuje się DNSSEC
Zanim przejdziemy do samego DNSSEC, warto przypomnieć sobie, jak zbudowany jest klasyczny system DNS. To rozproszona, hierarchiczna baza, której głównym zadaniem jest tłumaczenie nazw takich jak przykład.pl na adresy IP serwerów. Gdy użytkownik wpisuje adres w przeglądarce, jego system operacyjny kieruje zapytanie do skonfigurowanego serwera DNS – zazwyczaj dostawcy internetu albo publicznego resolvera, np. Google czy Cloudflare. Ten z kolei komunikuje się z kolejnymi serwerami autorytatywnymi, aby ostatecznie uzyskać poprawny rekord A, AAAA lub inny, niezbędny do zestawienia połączenia.
Cały ten proces opiera się na podstawowej zasadzie zaufania. Klient zakłada, że odpowiedź otrzymana z resolvera jest prawidłowa, zaś resolver ufa serwerom nadrzędnym. Problem polega na tym, że protokół DNS w swojej pierwotnej formie nie oferuje wbudowanych mechanizmów **uwierzytelniania** ani integralności danych. Oznacza to, że osoba atakująca, która uzyska kontrolę nad jednym z elementów łańcucha, potrafi wstrzyknąć fałszywe odpowiedzi, powodując przekierowanie użytkownika na inny adres IP niż ten, który faktycznie należy do danej domeny.
DNSSEC – Domain Name System Security Extensions – powstał właśnie po to, aby rozwiązać ten fundamentalny problem. Istota DNSSEC polega na użyciu kryptografii klucza publicznego, dzięki której dane w strefie DNS są cyfrowo podpisywane. Odbiorca odpowiedzi DNS może następnie zweryfikować, czy pochodzi ona z zaufanego źródła oraz czy nie została zmodyfikowana po drodze. Ten mechanizm nie szyfruje ruchu (jak robi to np. TLS w HTTPS), ale gwarantuje, że uzyskane rekordy DNS są autentyczne i niezmienione.
W praktyce oznacza to, że każdy rekord DNS istotny z punktu widzenia klienta – czy to rekord A, MX, TXT czy CNAME – może być powiązany z odpowiednim podpisem kryptograficznym. Jeśli w którymkolwiek momencie zostanie on zmanipulowany, podpis przestanie się zgadzać z oryginalną treścią i walidujący resolver DNS odrzuci taką odpowiedź jako nieważną. Kluczowe staje się więc poprawne zbudowanie łańcucha zaufania, który zaczyna się w strefie głównej (root), a następnie schodzi w dół po kolejnych poziomach delegacji – od domen najwyższego poziomu, przez domeny drugiego i trzeciego rzędu, aż do konkretnej strefy zarządzanej przez właściciela witryny.
Elementem charakterystycznym dla DNSSEC jest także to, że potrafi on uwierzytelnić nie tylko istnienie rekordów, lecz również ich brak. Specjalne mechanizmy, takie jak NSEC i NSEC3, pozwalają w sposób kryptograficznie wiarygodny potwierdzić, że dana nazwa hosta czy typ rekordu faktycznie nie istnieje w strefie. Dzięki temu możliwe jest obrona przed atakami, które polegają na zgadywaniu i wymuszaniu błędnie skonstruowanych odpowiedzi typu NXDOMAIN.
Co konkretnie daje uwierzytelnianie DNSSEC
Zastosowanie DNSSEC przynosi szereg wymiernych korzyści, które wpływają zarówno na **bezpieczeństwo**, jak i na postrzeganie profesjonalizmu danej organizacji. Najbardziej oczywistym zyskiem jest ochrona przed tzw. DNS spoofing lub cache poisoning. W ataku tego typu napastnik stara się podsunąć resolverowi fałszywą odpowiedź, która zostanie następnie zapisana w jego pamięci podręcznej i zwracana wielu użytkownikom przez pewien czas. Jeśli uda się „zatruć” cache popularnego serwera DNS, efektem może być masowe przekierowanie odwiedzających np. ze strony banku na spreparowaną kopię służącą do wyłudzania danych logowania.
DNSSEC znacząco utrudnia przeprowadzenie takiego ataku, ponieważ zmanipulowana odpowiedź nie będzie posiadała poprawnego podpisu odpowiadającego kluczowi publicznemu zapisanym w wyższym poziomie hierarchii. Walidujący resolver porówna podpis z udostępnionymi kluczami i w razie niezgodności oznaczy odpowiedź jako nieprawidłową. Użytkownik otrzyma błąd zamiast przekierowania na fałszywy serwer. Z punktu widzenia bezpieczeństwa jest to ogromny krok naprzód w stosunku do klasycznego DNS, gdzie jedyną ochroną bywa losowość numerów portów i identyfikatorów zapytań.
Druga istotna korzyść to możliwość bezpieczniejszego powiązania rekordów DNS z innymi mechanizmami, w szczególności z systemem TLS/SSL i zabezpieczeniami poczty elektronicznej. Istnieją rozszerzenia takie jak DANE (DNS-based Authentication of Named Entities), które umożliwiają przechowywanie informacji o certyfikatach TLS bezpośrednio w DNS, w postaci rekordów powiązanych z DNSSEC. Dzięki temu klient może zweryfikować, że dany certyfikat jest faktycznie autoryzowany dla danej domeny, niezależnie od zewnętrznych urzędów certyfikacji. To otwiera drogę do zwiększenia odporności na ataki polegające na wydaniu fałszywego certyfikatu przez skompromitowany lub błędnie działający urząd CA.
W obszarze poczty elektronicznej DNSSEC wzmacnia takie mechanizmy jak SPF, DKIM i DMARC, które również opierają się na rekordach w DNS. Jeżeli strefa jest podpisana, a resolver odbiorcy poczty weryfikuje DNSSEC, znacznie trudniej jest wstrzyknąć fałszywe rekordy zmieniające zasady autoryzacji wysyłki e-maili. Nie jest to oczywiście kompletne remedium na phishing czy spam, ale zwiększa poziom zaufania do informacji przechowywanych w DNS, które służą do walidowania źródła wiadomości.
Warto zwrócić uwagę także na aspekt wizerunkowy i oczekiwania rynku. Coraz więcej organizacji – zwłaszcza z sektora finansowego, publicznego, medycznego czy e‑commerce – traktuje **implementację** DNSSEC jako jeden z elementów polityki bezpieczeństwa. Brak tej technologii w ważnych domenach może zostać odebrany jako zaniedbanie lub brak świadomości ryzyka, szczególnie przez bardziej wyedukowanych klientów lub partnerów. Z kolei jej zastosowanie sygnalizuje dbałość o infrastrukturę DNS, nawet jeśli przeciętny użytkownik nie rozumie detali technicznych.
Nie można pominąć również faktu, że DNSSEC, przez wymuszenie integralności danych, utrudnia cichą ingerencję w ruch DNS przez pośredników. W wielu jurysdykcjach czy sieciach operatorzy lub inne podmioty modyfikują odpowiedzi DNS – czy to w celu blokowania stron, serwowania reklam zamiast błędu, czy przekierowywania użytkowników na własne serwery. W środowisku, gdzie coraz więcej resolverów stosuje walidację DNSSEC, takie działania są znacznie trudniejsze do ukrycia, a niekiedy wręcz niemożliwe, jeśli użytkownik korzysta z zewnętrznego, w pełni walidującego resolvera.
Ograniczenia i wyzwania związane z DNSSEC
Mimo licznych zalet DNSSEC nie jest rozwiązaniem pozbawionym wad. Przede wszystkim, jego skuteczność zależy od konsekwentnego stosowania na wielu poziomach. Nawet jeśli właściciel domeny poprawnie podpisze swoją strefę, a rejestr domeny wdroży odpowiednie zapisy DS, całość nie zadziała w pełni, jeśli resolver użytkownika nie będzie walidujący. W praktyce oznacza to, że korzyści z DNSSEC są największe dla tych użytkowników, którzy korzystają z nowoczesnych, dobrze skonfigurowanych serwerów DNS – własnych lub komercyjnych – z aktywną weryfikacją podpisów.
Drugim wyzwaniem jest dodatkowa złożoność administracyjna. Zarządzanie kluczami kryptograficznymi, regularna rotacja kluczy, prawidłowe publikowanie rekordów DS u rejestratora oraz monitorowanie ważności podpisów strefy wymagają określonych kompetencji i narzędzi. Błąd w tych obszarach może spowodować efekt odwrotny do zamierzonego – zamiast podniesienia bezpieczeństwa dochodzi do niedostępności domeny dla części użytkowników, których resolvery odrzucą nieprawidłowo podpisane dane. Dla mniejszych organizacji bez wyspecjalizowanego personelu taka perspektywa może wydawać się zniechęcająca.
Źródłem problemów bywa szczególnie nieprawidłowo przeprowadzona zmiana kluczy (key rollover). Jeśli nowy klucz zostanie wprowadzony bez odpowiedniej koordynacji z rejestrem domeny i resolverami, może to doprowadzić do sytuacji, w której część użytkowników widzi poprawne dane, a inna część nie może rozwiązać nazwy domenowej. Z tego powodu wiele podmiotów decyduje się na korzystanie z zewnętrznych dostawców DNS, którzy specjalizują się w utrzymaniu stref podpisanych DNSSEC i automatyzują procesy związane z obsługą kluczy.
Wyzwania techniczne obejmują także zwiększenie rozmiaru odpowiedzi DNS. Rekordy podpisów, kluczy oraz dodatkowe dane powodują, że pakiety są większe, co może prowadzić do fragmentacji na poziomie IP. W pewnych środowiskach sieciowych, szczególnie z zaporami lub urządzeniami pośredniczącymi źle obsługującymi większe pakiety UDP, skutkuje to problemami z dostarczeniem odpowiedzi i zwiększoną liczbą retransmisji lub przejściem na TCP. W efekcie rośnie obciążenie infrastruktury DNS i wydłuża się czas odpowiedzi – choć we współczesnych sieciach wpływ ten bywa niewielki, jeśli usługa jest prawidłowo skonfigurowana.
Jeszcze innym ograniczeniem jest fakt, że DNSSEC nie rozwiązuje wszystkich problemów bezpieczeństwa związanych z nazwami domen. Nie chroni przed przejęciem konta u rejestratora, nie uniemożliwia rejestracji myląco podobnych nazw (np. z użyciem homoglifycznych znaków w IDN), ani nie zastępuje szyfrowania ruchu HTTPS. Może wręcz dawać fałszywe poczucie pełnego bezpieczeństwa, jeśli jest wdrożony bez szerszej strategii ochrony zasobów. DNSSEC jest jednym z elementów układanki, a nie kompletną tarczą przeciw wszystkim typom ataków.
Należy też zauważyć, że adopcja DNSSEC mimo rosnącego trendu wciąż nie jest stuprocentowa. Część registrów nie daje wygodnych narzędzi do zarządzania rekordami DS, niektórzy operatorzy DNS nie wspierają zaawansowanych scenariuszy, a wielu administratorów nie widzi natychmiastowego zwrotu z inwestycji. W takich realiach wdrożenie DNSSEC może oznaczać wyjście przed szereg i konieczność mierzenia się z problemami kompatybilności, szczególnie jeśli w infrastrukturze działają starsze aplikacje korzystające z niestandardowego parsowania odpowiedzi DNS.
Czy warto włączać DNSSEC dla swojej domeny
Decyzja o włączeniu DNSSEC nie powinna być podejmowana wyłącznie na podstawie mody czy zaleceń sprzedawców usług. Kluczowe jest przeanalizowanie rodzaju działalności, znaczenia danej domeny dla firmy i profilu użytkowników. Dla serwisów o wysokim poziomie krytyczności – bankowość elektroniczna, serwisy transakcyjne, portale administracji publicznej, platformy B2B – wdrożenie DNSSEC można uznać za praktycznie obowiązkowe. Utrata zaufania użytkowników w wyniku skutecznego ataku na DNS mogłaby mieć tam katastrofalne konsekwencje finansowe i wizerunkowe.
W przypadku mniejszych stron wizytówkowych lub blogów DNSSEC również ma sens, choć priorytet może być niższy. Dla takich domen częściej kluczowe są inwestycje w certyfikaty TLS, aktualizacje oprogramowania serwerowego, kopie zapasowe czy ochrona przed atakami DDoS. DNSSEC warto traktować jako kolejny krok dojrzewania infrastruktury bezpieczeństwa – po wdrożeniu podstawowych mechanizmów i uporządkowaniu zarządzania domenami. Niemniej, stosunkowo niski koszt włączenia DNSSEC u wielu rejestratorów sprawia, że coraz częściej staje się on standardem, również dla prostych witryn.
Istotne jest, aby przed włączeniem DNSSEC ocenić własne możliwości utrzymania go w czasie. Wymaga to przynajmniej podstawowego rozumienia działania kluczy KSK i ZSK, cykli podpisywania strefy oraz procedur związanych z rotacją kluczy. Jeżeli organizacja nie chce rozwijać takich kompetencji we własnym zespole, dobrym rozwiązaniem jest powierzenie obsługi DNS dostawcy oferującemu pełne zarządzanie DNSSEC, włącznie z automatyczną aktualizacją rekordów DS i monitorowaniem ważności podpisów.
Nie bez znaczenia jest też ekosystem klientów. Jeżeli istotna część użytkowników korzysta z nowoczesnych, walidujących resolverów DNS (co w przypadku państw z rozwiniętą infrastrukturą jest coraz częstsze), korzyści z DNSSEC będą bardziej namacalne. Dla odbiorców z rynków, gdzie większość operatorów wciąż nie weryfikuje podpisów, efekty mogą być mniej widoczne, choć nadal warto budować bezpieczną infrastrukturę z myślą o przyszłości i rosnącej adopcji standardu.
Włączenie DNSSEC warto połączyć z innymi inicjatywami podnoszącymi poziom zaufania do domeny. Dobrym przykładem jest użycie rekordów TLSA w ramach DANE dla usług pocztowych (IMAPS, SMTPS) oraz serwerów WWW. W ten sposób DNSSEC staje się fundamentem, na którym można zbudować dodatkowe warstwy weryfikacji. Równolegle należy zadbać o bezpieczeństwo kont w panelach rejestratora i operatora DNS – w tym o silne hasła, uwierzytelnianie wieloskładnikowe i regularny przegląd uprawnień administracyjnych. Bez tego nawet najlepiej skonfigurowany DNSSEC nie ochroni przed zmianą konfiguracji u źródła.
Techniczne aspekty wdrożenia DNSSEC w praktyce
Przygotowując się do wdrożenia DNSSEC, trzeba podjąć kilka decyzji technicznych. Pierwszą z nich jest wybór narzędzi do podpisywania strefy oraz modelu zarządzania kluczami. W prostym scenariuszu, typowym dla wielu firm, całość obsługiwana jest przez operatora DNS – użytkownik jedynie zaznacza odpowiednią opcję w panelu, a system automatycznie generuje klucze, podpisuje strefę i publikuje wymagane rekordy DS u rejestratora. Jest to rozwiązanie najmniej obciążające organizację, ale wymaga zaufania do dostawcy i ogranicza elastyczność w nietypowych konfiguracjach.
W bardziej zaawansowanym podejściu administrator samodzielnie utrzymuje serwer autoratywny, korzystając np. z BIND, Knot DNS, NSD lub PowerDNS. Wówczas musi sam wygenerować klucze ZSK i KSK, ustalić harmonogram ich rotacji oraz zadbać o bezpieczne przechowywanie materiału kryptograficznego. Konieczne jest także samodzielne przesłanie klucza KSK do rejestratora domeny, aby mógł on opublikować rekord DS w strefie nadrzędnej. W tym modelu kontrola jest pełna, ale odpowiedzialność za każdy błąd – również.
Kolejną kwestią jest wybór algorytmu kryptograficznego i długości kluczy. Standard DNSSEC przewiduje różne opcje, w tym RSA i ECDSA, a od kilku lat rośnie popularność algorytmów krzywych eliptycznych ze względu na mniejszy rozmiar podpisów i lepszą wydajność. W praktyce większość współczesnych resolverów obsługuje podstawowe algorytmy, ale warto upewnić się, że wybrany wariant nie spowoduje problemów kompatybilności w specyficznych środowiskach. Dobrą praktyką jest śledzenie zaleceń organizacji standaryzacyjnych oraz doświadczeń dużych operatorów DNS, którzy regularnie publikują rekomendacje dotyczące długości kluczy i częstotliwości ich zmiany.
Testowanie po wdrożeniu jest absolutnie kluczowe. Istnieją narzędzia online, które pozwalają sprawdzić, czy strefa jest poprawnie podpisana, czy rekord DS został prawidłowo wprowadzony w strefie nadrzędnej oraz czy łańcuch zaufania jest kompletny. Administrator powinien też monitorować logi resolverów i narzędzia monitorujące dostępność usługi, aby upewnić się, że nie pojawiły się błędy walidacji dla wybranych sieci czy operatorów. Wskazane jest okresowe sprawdzanie domeny z różnych geolokalizacji i przez różne walidujące resolvery, co pozwala wychwycić niuanse konfiguracji.
Warto także przygotować procedury awaryjne na wypadek utraty klucza, wykrycia kompromitacji lub błędu przy rotacji. Dobrą praktyką jest przećwiczenie scenariusza odtworzenia strefy z kopii zapasowej i ponownego zbudowania łańcucha zaufania, zanim zajdzie realna potrzeba. W środowiskach o podwyższonych wymaganiach bezpieczeństwa klucz KSK bywa przechowywany w modułach HSM, a dostęp do niego jest ściśle kontrolowany i audytowany. Niezależnie od skali, świadomość, gdzie dokładnie znajdują się klucze i kto ma do nich dostęp, jest fundamentem bezpiecznego zarządzania DNSSEC.
DNSSEC a przyszłość bezpieczeństwa domen
Rozwój technologii internetowych i rosnąca złożoność ekosystemu aplikacji sieciowych sprawiają, że rola DNS stale rośnie. Coraz więcej usług – od systemów mikroserwisów w chmurze, po rozwiązania IoT – polega na dynamicznej, automatycznej obsłudze nazw domenowych. W takim świecie atak na DNS nie musi już oznaczać jedynie przekierowania użytkownika na fałszywą stronę. Może zakłócić komunikację między usługami, uniemożliwić działanie aplikacji mobilnych czy sparaliżować automatyczne integracje między partnerami biznesowymi.
DNSSEC wpisuje się w szerszy trend budowania wiarygodnych fundamentów warstwy infrastrukturalnej internetu. Wraz z innymi inicjatywami, takimi jak RPKI w routingu BGP czy powszechne wdrożenie HTTPS, tworzy spójny system, w którym manipulacja kluczowymi danymi staje się dużo trudniejsza. Choć wdrożenie DNSSEC wymaga nakładów pracy, jest inwestycją w stabilność i przewidywalność działania usług cyfrowych, które coraz częściej stanowią krytyczną infrastrukturę przedsiębiorstw i instytucji publicznych.
W miarę jak kolejne przeglądarki, systemy operacyjne i resolverzy będą pogłębiały integrację z DNSSEC, można spodziewać się, że brak podpisanej strefy stanie się zauważalnym odstępstwem od normy. Już dziś niektóre narzędzia audytu bezpieczeństwa zwracają uwagę na brak DNSSEC jako na lukę wymagającą naprawy. Z czasem może to przełożyć się na wymagania kontraktowe w przetargach, standardy branżowe czy nawet regulacje prawne w sektorach szczególnie wrażliwych.
W dłuższej perspektywie DNSSEC otwiera także możliwości budowania nowych mechanizmów zaufania opartych na domenach. Przykładem jest wspomniane DANE, ale również inicjatywy związane z tożsamością w sieci, powiązaniem usług z kluczami kryptograficznymi czy automatycznym wykrywaniem prób podszywania się pod znane marki. Im więcej elementów infrastruktury będzie mogło oprzeć się na kryptograficznie weryfikowalnych danych DNS, tym łatwiej stanie się automatyzować reakcje na incydenty oraz tworzyć zaawansowane polityki bezpieczeństwa.
Podsumowanie – kiedy DNSSEC ma największy sens
Analizując zalety, ograniczenia i praktyczne aspekty DNSSEC, można dojść do wniosku, że jego wdrożenie jest szczególnie uzasadnione dla domen o wysokiej wartości biznesowej lub wizerunkowej. Tam, gdzie incydent bezpieczeństwa związany z fałszowaniem rekordów DNS mógłby prowadzić do znacznych strat finansowych, naruszenia zaufania klientów lub problemów regulacyjnych, podpisanie strefy DNSSEC powinno być traktowane jako standard. Dotyczy to w szczególności banków, instytucji publicznych, dużych sklepów internetowych, operatorów telekomunikacyjnych czy dostawców usług w chmurze.
Dla mniejszych podmiotów, blogów czy stron hobbystycznych DNSSEC wciąż jest rozwiązaniem wartym rozważenia, lecz jego wdrożenie może być przesunięte w czasie na rzecz innych priorytetów bezpieczeństwa. Gdy jednak dostawca hostingu lub rejestrator umożliwia proste, automatyczne włączenie DNSSEC bez dodatkowych kosztów i skomplikowanej obsługi, trudno znaleźć powód, aby z tej możliwości nie skorzystać. Warunkiem pozostaje upewnienie się, że mechanizmy monitorowania i alertowania wychwycą ewentualne problemy po stronie podpisywania strefy.
Ostatecznie uwierzytelnianie DNSSEC można traktować jako naturalny krok w kierunku dojrzałości infrastruktury domenowej. Nie rozwiązuje wszystkich problemów, ale znacząco podnosi poprzeczkę dla atakujących i zmniejsza powierzchnię niektórych krytycznych vektorów ataku. Podejmując decyzję o jego włączeniu, warto patrzeć nie tylko na bieżące potrzeby, lecz także na to, jak będzie wyglądał krajobraz technologiczny internetu za kilka lat. Im wcześniej domena zostanie włączona w ekosystem podpisanych stref, tym łatwiej będzie korzystać z kolejnych rozwiązań bezpieczeństwa, które oprą się na zaufanych danych DNS.
FAQ
Jakie ataki uniemożliwia lub utrudnia DNSSEC?
DNSSEC znacząco utrudnia ataki takie jak cache poisoning, DNS spoofing czy wstrzykiwanie fałszywych rekordów w odpowiedziach DNS. Dzięki podpisom kryptograficznym resolver może zweryfikować, czy dane pochodzą z autorytatywnego źródła i nie zostały zmienione po drodze. Atakujący, który nie ma dostępu do kluczy prywatnych, nie jest w stanie wygenerować poprawnych podpisów.
Czy DNSSEC zastępuje HTTPS i certyfikaty TLS?
Nie, DNSSEC nie zastępuje HTTPS ani certyfikatów TLS. Te technologie pełnią różne role: DNSSEC zapewnia integralność i uwierzytelnienie danych w systemie nazw domenowych, natomiast TLS szyfruje samą komunikację między przeglądarką a serwerem. Oba mechanizmy są komplementarne – razem znacznie podnoszą poziom bezpieczeństwa usług WWW.
Czy włączenie DNSSEC może spowodować niedostępność strony?
Tak, jeśli zostanie wykonane nieprawidłowo. Błędy przy generowaniu kluczy, rotacji KSK lub w publikacji rekordu DS mogą sprawić, że walidujące resolvery uznają dane DNS za nieważne i nie rozwiążą nazwy domeny. Dlatego istotne są testy po wdrożeniu, monitorowanie logów oraz korzystanie z automatycznych narzędzi, które minimalizują ryzyko pomyłki administracyjnej.
Czy każdy użytkownik korzysta z walidującego DNS?
Nie, ale odsetek takich użytkowników stale rośnie. Wielu dużych operatorów telekomunikacyjnych oraz popularne publiczne resolvery (jak 1.1.1.1 czy 8.8.8.8) obsługują walidację DNSSEC. Oznacza to, że dla rosnącej grupy odbiorców prawidłowe podpisanie strefy ma realny wpływ na bezpieczeństwo. Z czasem można oczekiwać, że walidacja stanie się domyślnym standardem.
Czy wdrożenie DNSSEC jest kosztowne?
Sam mechanizm DNSSEC nie wymaga drogich licencji. Koszt zależy głównie od modelu usługi: wielu rejestratorów i operatorów DNS oferuje podpisywanie stref w cenie standardowego utrzymania domeny. Główne „koszty” to czas i kompetencje związane z prawidłową konfiguracją, zarządzaniem kluczami oraz monitorowaniem działania, zwłaszcza przy samodzielnym utrzymaniu serwerów DNS.
601 162 666
