DNSSECオプション
DNSセキュリティ拡張（DNSSEC） ↗は、DNSレコードに暗号署名を追加することでセキュリティを向上させます。複数のプロバイダーを使用し、Cloudflareがセカンダリの場合、Cloudflareが提供するレコードに対してDNSSECを有効にするためのいくつかのオプションがあります。
- マルチサイナーDNSSEC: CloudflareとあなたのプライマリDNSプロバイダーは互いの署名キーを知っており、RFC 8901 ↗に従ってDNSレコードのライブ署名をそれぞれ行います。
- ライブ署名: あなたのドメインがプライマリプロバイダーのネームサーバーに委任されておらず、CloudflareのセカンダリネームサーバーがDNSクエリに対して権威を持って応答する唯一のネームサーバーである場合（隠れプライマリ設定）、このオプションを選択してCloudflareにDNSレコードのライブ署名を行わせることができます。
- 事前署名: あなたのプライマリDNSプロバイダーがレコードに署名し、署名を転送します。Cloudflareはこれらのレコードと署名をそのまま提供し、署名を行いません。CloudflareはNSECレコード ↗（NSEC3レコードではなく）のみをサポートしており、この設定はセカンダリDNSオーバーライドやロードバランシングをサポートしていません。
マルチサイナーDNSSECの設定を参照し、Cloudflareをセカンダリとして考慮した指示に従ってください。
CloudflareのセカンダリネームサーバーをDNSクエリに対して権威を持って応答する唯一のネームサーバーとして使用している場合（隠れプライマリ設定）、Cloudflareにゾーンのレコードに署名させるためにライブ署名DNSSECを有効にできます。
この設定では、プライマリDNSプロバイダーでDNSSECを有効にする必要はありません。
-
Cloudflareダッシュボード ↗にログインし、アカウントとゾーンを選択します。
-
DNS > 設定に移動します。
-
セカンダリDNSによるDNSSECの下でライブ署名を選択します。これにより、レジストラでDSレコードを作成するために必要な値にアクセスできます。
-
Add the DS record to your registrar. If Algorithm 13 - Cloudflare’s preferred cipher choice - is not listed by your registrar, it may also be called ECDSA Curve P-256 with SHA-256.
Provider-specific instructions
This is not an exhaustive list of how to update DS records in other providers, but the following links may be helpful:
- DNSSECステータス編集エンドポイントを使用し、ゾーンの
statusをactiveに設定します。
curl --request PATCH \https://api.cloudflare.com/client/v4/zones/{zone_id}/dnssec \--header "X-Auth-Email: <EMAIL>" \--header "X-Auth-Key: <API_KEY>" \--header "Content-Type: application/json" \--data '{ "status": "active"}'-
DNSSEC詳細エンドポイントを使用して、レジストラでDSレコードを作成するために必要な値を取得します。
-
Add the DS record to your registrar. If Algorithm 13 - Cloudflare’s preferred cipher choice - is not listed by your registrar, it may also be called ECDSA Curve P-256 with SHA-256.
Provider-specific instructions
This is not an exhaustive list of how to update DS records in other providers, but the following links may be helpful:
- Cloudflareのセカンダリゾーンはすでに存在し、プライマリDNSプロバイダーからのゾーントランスファーが正しく機能しています。
- プライマリDNSプロバイダーがNSECレコードを使用してDNSSECをサポートしています（NSEC3ではなく）。
- プライマリDNSプロバイダーがRRSIG、DNSKEY、NSECなどのDNSSEC関連レコードを転送します。
- プライマリDNSプロバイダーでDNSSECを有効にします。
- CloudflareでゾーンのDNSSECを有効にします。ダッシュボードまたはAPIを使用できます。
a. ゾーンを選択し、DNS > 設定に移動します。
b. セカンダリDNSによるDNSSECの下で事前署名を選択します。
DNSSECステータス編集エンドポイントを使用し、dnssec_presignedの値をtrueに設定します。
curl --request PATCH \https://api.cloudflare.com/client/v4/zones/{zone_id}/dnssec \--header "X-Auth-Email: <EMAIL>" \--header "X-Auth-Key: <API_KEY>" \--header "Content-Type: application/json" \--data '{ "dnssec_presigned": true}'-
Cloudflareのネームサーバーがレジストラに追加されていることを確認します。Cloudflareのネームサーバーは、DNS > レコードに移動することでダッシュボードで確認できます。
-
レジストラにDSレコードが追加されていることを確認します。DSレコードはプライマリDNSプロバイダー（ゾーンの署名者）から取得され、DNSリゾルバーに対してゾーンがDNSSECを有効にしていることを示します。