Mengaktifkan DNSSEC tanpa memutus domain: urutan DS record menentukan

Untuk memindahkan nameserver ke Cloudflare tanpa membuat validasi DNSSEC gagal, hapus DS record penyedia lama di registrar, tunggu TTL DS habis, lalu ubah nameserver. Setelah cache NS lama berakhir, aktifkan DNSSEC di Cloudflare dan terbitkan DS baru. Panduan DNSSEC Cloudflare menempatkan langkah-langkah itu dalam urutan tersebut karena DS lama yang masih tersimpan dapat membuat resolver pemvalidasi mengembalikan SERVFAIL.

Jika domain sudah memakai nameserver Cloudflare dan tidak memiliki DS lama, buka DNS > Settings, pilih Enable DNSSEC, lalu daftarkan DS yang dihasilkan pada registrar. Untuk domain di Cloudflare Registrar, penerbitan DS berjalan otomatis. Perbedaan ini penting: mengaktifkan penandatanganan zona dan menerbitkan DS pada delegasi domain merupakan dua tahap yang harus sama-sama selesai.

Sebelum migrasi: catat DS lama dan siapkan zona

Periksa pengaturan DNSSEC di registrar sebelum menyentuh nameserver. Jalankan dig DS example.com dengan mengganti example.com menjadi domain Anda, lalu catat DS yang terlihat dan TTL-nya. DS berada pada sisi induk delegasi dan merujuk ke kunci zona; nilai dari penyedia lama tidak dapat dipakai untuk menautkan delegasi ke kunci Cloudflare.

Hapus DS lama melalui registrar, kemudian beri waktu hingga TTL yang berlaku sebelum penghapusan habis. Respons kosong dari sebuah resolver hanya menunjukkan keadaan cache resolver itu; cache lain mungkin masih menyimpan DS lama. dig DS example.com +trace membantu memeriksa jawaban dari rantai delegasi, tetapi pemeriksaan sesaat tidak menggantikan waktu tunggu berdasarkan TTL yang telah dicatat.

Sambil menunggu, cocokkan catatan penting pada zona baru dengan zona lama. Periksa alamat situs pada A atau AAAA, penerimaan email pada MX, serta CNAME dan TXT yang dipakai layanan terkait. Kesalahan pada catatan ini dapat mengganggu situs atau email sekalipun urutan DNSSEC sudah benar. Simpan juga daftar nameserver lama dan nameserver yang ditetapkan Cloudflare agar hasil perubahan delegasi bisa dibandingkan dengan nilai yang seharusnya.

Saat nameserver diganti: tunggu delegasi lama berakhir

Setelah TTL DS lama habis, ubah nameserver pada registrar ke nilai yang diberikan Cloudflare. Pastikan delegasi untuk perpindahan biasa ini tidak lagi memuat nameserver penyedia lama. Pada alur tersebut, domain sementara tidak memiliki rantai kepercayaan DNSSEC; jeda ini diperlukan sampai delegasi baru siap ditautkan ke DS yang sesuai.

Perubahan di registrar tidak langsung mengubah cache semua resolver. Sebagian resolver masih dapat memakai NS lama hingga TTL catatan itu berakhir, sehingga penerbitan DS baru perlu menunggu tahap ini. Jika DS baru sudah menunjuk ke kunci Cloudflare sementara resolver masih memperoleh jawaban dari zona lama, validasi dapat gagal. Periksa NS yang terlihat melalui beberapa resolver, lalu gunakan TTL NS sebelumnya sebagai patokan untuk mengakhiri masa tunggu.

Bila penyedia lama mendukung penambahan DNSKEY eksternal, migrasi aktif dengan multi-signer merupakan alur tersendiri untuk menjaga DNSSEC tetap menyala. Alur itu memerlukan kunci dan DS yang disiapkan agar kedua penyedia dapat menjawab selama perpindahan. Jangan menerbitkan DS Cloudflare lebih awal dalam alur migrasi biasa dengan menganggap hasilnya sama dengan konfigurasi multi-signer.

Sesudah delegasi berpindah: aktifkan DNSSEC dan terbitkan DS

Di Cloudflare, buka DNS > Settings dan pilih Enable DNSSEC. Setelah zona ditandatangani, rincian DS tersedia pada kartu DNSSEC. Jika registrar dikelola di tempat lain, salin nilai yang ditampilkan ke formulir DNSSEC registrar, termasuk key tag, algoritma, jenis digest, dan digest. Jangan menyalin kembali nilai DS dari penyedia sebelumnya.

Untuk domain yang terdaftar di Cloudflare Registrar, buka Manage Domains, pilih Manage pada domain, lalu Configuration > Enable DNSSEC. Petunjuk Cloudflare Registrar menjelaskan bahwa registrar memindai CDS dan CDNSKEY lalu mengirim rinciannya ke registry; proses awal dapat memakan satu hingga dua hari, dan status “confirmed” di DNS > Settings menandakan DNSSEC telah diterapkan. Karena itu, klik aktivasi saja belum menunjukkan bahwa DS sudah terbit.

Jika memakai registrar lain, periksa kembali DS setelah formulir disimpan. DS yang diterbitkan pada sisi induk harus sesuai dengan kunci zona yang sedang dijawab Cloudflare. Bila pilihan algoritma pada registrar tampak berbeda dari rincian Cloudflare, periksa nama lengkapnya sebelum menyimpan perubahan; menebak parameter dapat menghasilkan DS yang tidak cocok.

Periksa DS dan jawaban resolver

Mulailah dengan dig NS example.com untuk melihat delegasi, lalu dig DS example.com untuk memastikan DS baru muncul dan DS lama tidak lagi terlihat. Jika hasil antarresolver berbeda, gunakan dig DS example.com +trace untuk melihat jawaban pada sisi induk. Bandingkan seluruh nilai DS yang terbit dengan rincian yang ditampilkan Cloudflare; keberadaan DS saja belum memastikan rantai kepercayaan benar.

Sesudah DS baru terbit, kueri catatan A domain melalui resolver pemvalidasi dan perhatikan status responsnya. Panduan diagnosis DNSSEC Cloudflare menggunakan perbandingan kueri biasa yang menghasilkan SERVFAIL dengan kueri memakai +cd yang memperoleh jawaban untuk mengenali masalah validasi. Opsi +cd melewati pemeriksaan DNSSEC pada kueri tersebut, sehingga jawaban yang muncul membantu menemukan sumber gangguan, bukan membuktikan konfigurasi sudah pulih.

Jika DS baru belum terlihat, periksa apakah registrar telah menerbitkannya dan beri waktu cache untuk kedaluwarsa. Jika DS terlihat tetapi resolver pemvalidasi tetap mengembalikan SERVFAIL, cocokkan DS dengan rincian kunci zona Cloudflare sebelum mengubah pengaturan lain. Periksa pula apakah resolver masih menggunakan NS lama; perbedaan cache DS dan NS dapat membuat hasil pemeriksaan tidak seragam.

Rollback ketika validasi mengganggu resolusi

Jika aktivasi baru perlu dibatalkan, hapus DS di registrar terlebih dahulu. Untuk domain di Cloudflare Registrar, gunakan pengaturan Disable DNSSEC. Pertahankan penandatanganan zona selama DS yang lama mungkin masih tersimpan dalam cache; menghentikannya lebih awal dapat membuat resolver yang memegang DS mencari tanda tangan yang tidak tersedia.

Jika gangguan mulai muncul tepat setelah nameserver dipindahkan, periksa dahulu apakah DS milik penyedia sebelumnya masih terbit. Hapus DS lama tersebut melalui registrar dan tunggu TTL-nya habis sebelum menilai pemulihan pada beberapa resolver. Setelah delegasi stabil, ulangi aktivasi memakai DS yang dihasilkan untuk zona Cloudflare yang aktif.

Baca juga:

• WhatsApp mengakui salah blokir akun—banding dijanjikan di bawah 24 jam
• Domain newsletter salah pasang? Dua belas DNS bisa gagal karena satu proxy
• Cloudflare Basin menyatukan tiga lapisan data—tanpa server khusus