DNSSEC-migratiechecklist voor een evenementdomein

Scheid DNS-hosting van registratieoverdracht

Download het originele DNSSEC-overdrachtsblad (Markdown, Engels)

Noteer domein, registrar, oude en nieuwe DNS-beheerder en de betrokken website, registratie, tickets en e-mail. Controleer of DNSSEC actief is en welke DS de bovenliggende zone publiceert. De eigenaar van de registrar-toegang en de beheerder van de ondertekening hebben verschillende taken.[1][2]

Kies een route die de echte aanbieders ondersteunen

Google Cloud beschrijft behoud van de vertrouwensketen alleen als beide beheerders en de registrar de vereiste mogelijkheden hebben. Cloudflare beschrijft een migratie met meerdere ondertekenaars. Route 53 vermeldt dat zijn hosted-zone-migratie de DNSSEC-instelling niet meeneemt en herstelt daarna de keten. Meng deze procedures niet; noteer de juiste handleiding en technische goedkeuring.[1][3][2]

Beoordeel tijdelijke uitschakeling bewust

Een aanbiedersprocedure kan DNSSEC bij de bovenliggende zone tijdelijk uitschakelen. Google waarschuwt dan voor verminderde bescherming en gevolgen voor afhankelijke records. Laat eventuele DANE/TLSA-afhankelijkheden deskundig beoordelen. Beloof geen migratie zonder onderbreking.[1][2]

Controleer keten en bezoekerstaken

Vergelijk beide zones, leg DS en DNSKEY bij gezaghebbende bronnen vast en controleer validerende resolvers. Probeer website, registratie, ticketroute en e-mail. Baseer wachttijden op werkelijke cachewaarden en de gekozen handleiding, niet op een algemeen aantal uren. Houd de oude beheerder en een terugvalbeslisser beschikbaar tot het goedgekeurde moment.[1][3]