DNSSEC (DNS Security Extensions) je bezpečnostní rozšíření DNS. Ke každé DNS odpovědi přidává digitální podpis, takže si Váš počítač může ověřit, že odpověď skutečně pochází od správce domény a nikdo ji cestou nezměnil.
Proč na tom záleží: samotné DNS vzniklo v době, kdy se na bezpečnost nehledělo, a odpovědi nijak neověřuje. Útočník tak může do cache resolveru podstrčit podvrženou odpověď (tzv. cache poisoning) a tiše přesměrovat návštěvníky Vaší domény na svůj podvodný server – například falešnou přihlašovací stránku – aniž by cokoli poznali.
DNSSEC tomu brání pomocí řetězce důvěry. Každá zóna své záznamy kryptograficky podepíše a otisk klíče předá nadřazené doméně nejvyššího řádu. Když pak resolver dostane odpověď, ověří podpisy odshora dolů. Neplatně nebo vůbec nepodepsanou odpověď odmítne a k podvrženému serveru Vás nepustí.
Zapíná se u domény přes registrátora nebo správce DNS a podporu musí mít i příslušná koncovka (například .cz DNSSEC podporuje). Aktivace i případné vypnutí se kvůli TTL a propagaci projeví v řádu hodin, proto se změny klíčů dělají opatrně.