Mit DNSSec werden die Daten der Domain Name Server digital signiert.
Somit kann ein Benutzer sicher sein, dass die erhaltenen DNS Daten korrekt sind.
Für .ch und .li
Alle .ch und .li Domains mit DNS-Server von uns werden automatisch auf DNSSec gestellt.
Wenn man DNSSec manuell deaktiviert, so wird dies nach 12 Tagen automatisch wieder aktiviert.
Manuell aktivieren
Im Kundenportal kann man beim DNS Manager DNSSec manuell aktivieren.
Dabei werden die notwendigen DNS-Einträge automatisch erstellt.
https://my.barinformatik.ch > Domains > DNS Manager > Domain - DNS-Zone bearbeiten > Zusätzliche Aktionen - DNSSec > DNSSEC aktivieren
Manuell deaktivieren
Im Kundenportal kann man beim DNS Manager DNSSec manuell deaktivieren.
https://my.barinformatik.ch > Domains > DNS Manager > Domain - DNS-Zone bearbeiten > Zusätzliche Aktionen - DNSSec > DNSSEC deaktivieren
Manuell deaktivieren bei externen DNS-Servern
Im Kundenportal kann man in den Domain-Einstellungen DNSSec deaktivieren.
https://my.barinformatik.ch > Domains > Klick auf Domain-Name > DNSSec > Deaktivieren
Für folgende TLD
Bei folgenden Domains kann man CDS oder CDNSKEY benutzen.
CDS und CDNSKEY sind beides DNS-Einträge die der Registry mitteilt welcher DS-Eintrag dort benutzt werden soll.
Der DS-Eintrag bei der Registry bestätigt die DNSSEC-Signatur bei uns und stellt die Vertrauenskette sicher.
| TLD | CDS | CDNSKEY | Delete | Erstaktivierung |
|---|---|---|---|---|
| .ch / .li | ✅ | ❌ | ✅ | 72 h, nur TCP, auch per _dsboot |
| .se / .nu | ✅ | ❌ | ✅ | 72 h, nur TCP |
| .sk | ✅ | ❌ | ✅ | 72 h |
| .fo | ✅ | ❌ | ✅ | 72 h |
| .uz | ✅ | ❌ | ✅ | 2 h |
| .cz | ❌ | ✅ | ✅ | 7 Tage, nur TCP |
| .cr | ❌ | ✅ | ✅ | 7 Tage, nur TCP |
| .swiss | ❌ | ✅ | ✅ | DNS Records vor Registrierung oder _dsboot |
Für andere TLDs
Für andere TLDs wird diese Funktion im Kundenportal 2026 zur Verfügung stehen.
Bis dahin kontaktieren Sie bitte den Support. Voraussetzung: Die TLD unterstützt DNSSec und es werden unsere Nameserver verwendet.
Beachten
- Keys und Status ändern
DNSSec Keys werden bei .ch ab dem 2.3.2026 nur jeweils jede halbe Stunde aktualisiert.
Daher kann es bei einer Änderungen bis zu einer halben Stunde dauern bis DNSSec korrekt läuft.
Aktivieren und deaktivieren Sie DNSSec daher in Nebenzeiten bzw. kurz vor der halben Stunde. - Nameserver ändern
Deaktivieren Sie vor der Änderung der Nameserver unbedingt DNSSec und aktivieren Sie erst wieder, wenn alles korrekt eingestellt ist. - Domain-Transfer
Bei einem Transfer ändern oft auch die Nameserver (zu uns).
Wir empfehlen dann vor dem Transfer DNSSec auf Domain-Ebene zu deaktivieren.
https://my.barinformatik.ch > Domains > Domain bearbeiten > DNSSec deaktivieren
Wenn die Nameserver extern sind bzw. gleich bleiben, kann DNSSec aktiviert bleiben.
Durch den Transfer wird dann weder im DNS noch bei der Registry etwas geändert - DNSSec läuft unverändert weiter. - Bei Problemen
Auf Domain-Ebene kann DNSSec jederzeit rasch deaktiviert werden:
https://my.barinformatik.ch > Domains > Domain bearbeiten > DNSSec deaktivieren
- Bei Aktivierung über den DNS-Manager im Kundenprotal
CDS/CDNSKEY Einträge werden bis zur nächsten Erhöhung des SOA-Seriennummer ignoriert. -
DCS und CDNSKEY
CDS: Enthält den Hash des KSK und die Registry übernimmt dies als DS.
CDNSKEY: Enthält den öffentlich Schlüssel und die Registry erstellt daraus den DS-Hash.
Wenn beide DNS-Einträge existieren, müssen diese übereinstimmen.
Zur Deaktivierung braucht es folgende Einträge: CDS 0 0 0 00 bzw. CDNSKEY 0 3 0 AA==
DNSSec noch so lange aktiv lassen, bis die Deaktivierung durch ist. - _dsboot
Wir bei Cloudflare und deSEC automatisch gesetzt. - Tests
Zum Testen empfehlen wir:
https://dnsviz.net/
https://dnssec-analyzer.verisignlabs.com/ - Weiter Infos .ch
https://www.nic.ch/de/security/cds/
https://www.nic.ch/export/shared/.content/files/SWITCH_CDS_Manual_en.pdf
