DNSSEC et CAA : deux verrous en option

Ces deux réglages reviennent souvent dans les bilans, classés « À améliorer ». Ils protègent contre des attaques rares. Voici de quoi il s'agit, pour décider en connaissance de cause.

DNSSEC : des réponses signées

Le DNS est l'annuaire qui mène à votre site. À l'origine, rien ne garantit que la réponse reçue est la bonne : un attaquant bien placé peut glisser une fausse réponse et envoyer vos visiteurs vers un faux site.

Avec DNSSEC, chaque réponse de l'annuaire est signée, et celui qui la reçoit peut vérifier la signature.

• Comment l'activer : chez le fournisseur de votre nom de domaine, souvent par un simple bouton quand il gère aussi vos serveurs DNS.
• Le piège : si vous changez un jour de fournisseur DNS, il faut désactiver DNSSEC avant, sinon le site devient introuvable.

CAA : qui peut fabriquer un certificat à votre nom

Le certificat de votre site est délivré par une « autorité de certification ». Il en existe des dizaines, et par défaut n'importe laquelle peut en délivrer un pour votre nom. Une ligne CAA dans votre DNS dit : « seule telle autorité a le droit ». Si un fraudeur tente d'obtenir un certificat ailleurs, il est refusé.

• Le piège : si vous changez d'hébergeur et que le nouveau utilise une autre autorité, il faut mettre la ligne à jour, sinon le certificat ne se renouvelle plus.

Faut-il s'en occuper ?

Pour un site vitrine, ce n'est pas la priorité : un nom de domaine bien renouvelé, des logiciels à jour et des e-mails protégés comptent bien davantage. Cela devient pertinent si votre site encaisse des paiements, gère des comptes clients ou si votre activité est une cible (santé, finance, collectivité).

Ce site lui-même n'a pas activé DNSSEC : c'est un choix assumé, pas un oubli.