DNS a DNSSEC srozumitelně: co nastavit u domény a proč

Doména může být zaplacená a přesto se web neotevře. Příčinou často není registrace, ale nastavení DNS: návštěvník dostane špatnou adresu serveru nebo nedostane odpověď vůbec. DNS určuje, kam se mají požadavky na doménu poslat; DNSSEC pomáhá ověřit, že odpověď nebyla podvržená. Obě věci potřebujete rozlišit, zvlášť když měníte hosting nebo firemní poštu.

Obsah

Doména, registrátor, nameserver a hosting jsou čtyři role

Na telefonu lze tabulku posunout do strany.

Kdo za co odpovídá
Vrstva	Jednoduchý význam	Praktická otázka
Registr .cz / CZ.NIC	Centrální evidence domén a delegace	Kdo je držitel a jaké servery jsou uvedené?
Registrátor	Účet, přes který spravujete registraci a obnovu	Kde platím a kdo vydá AuthInfo?
DNS poskytovatel	Provozovatel autoritativních jmenných serverů a zóny	Kde měním A, MX či TXT?
Hosting / e-mail	Server s webem nebo schránkami	Kam mají DNS záznamy ukazovat?

Jedna firma může zastávat několik rolí zároveň, ale nemusí. Pokud je doména u jednoho registrátora a web u jiného hostingu, nic neobvyklého se neděje. Registrátor deleguje doménu na nameservery a ty zveřejňují její DNS záznamy. Úprava v nesprávném panelu se na internetu neprojeví, i kdyby byla uložená bez chyby.

Nejdůležitější DNS záznamy v jedné tabulce

Na telefonu lze tabulku posunout do strany.

Základní typy DNS záznamů
Typ	Co dělá	Typický příklad	Častá chyba
A	Přiřazuje jménu IPv4 adresu	Hlavní web → server	Stará IP po migraci
AAAA	Přiřazuje jménu IPv6 adresu	Hlavní web → IPv6 server	Záznam míří na nefunkční IPv6
CNAME	Alias na jiné jméno	www → cílový název	Alias ukazuje na zrušenou službu
MX	Určuje příjemce e-mailu	Poštovní server a priorita	Při změně DNS chybí MX
TXT	Textové údaje pro ověřování a politiku	SPF, DKIM, DMARC	Ztracené či zdvojené údaje
CAA	Omezuje vydavatele certifikátů	Povolená certifikační autorita	Nový certifikát nelze vystavit
SRV	Vyhledání některých služeb	Aplikační služba a port	Záznam se při kopii zóny vynechá

A a AAAA zapisují adresu serveru, ale web často potřebuje záznam pro samotnou doménu i pro www. MX se týká příchozí pošty; posílání a důvěryhodnost pošty navíc souvisí s TXT záznamy. SPF, DKIM a DMARC nejsou alternativy, které lze bezmyšlenkovitě zaměnit. Když přepisujete zónu u nového DNS poskytovatele, zkopírujte všechny používané položky a u každé zjistěte jejího vlastníka.

Co je TTL a proč po změně vidíte dva různé výsledky

TTL je doba, po kterou se smí DNS odpověď ukládat do cache resolveru. Změna záznamu na autoritativním serveru nevymaže automaticky staré odpovědi ze všech cache. Proto může jeden návštěvník vidět nový web a druhý ještě starý. Před plánovaným přesunem se někdy snižuje TTL, ale tento krok funguje jen s předstihem: staré delší TTL už může být uložené v cache.

Po přepnutí držte starý web či poštu dočasně dostupné podle konkrétního plánu a neřiďte se jediným anonymním testem. Zkontrolujte autoritativní odpověď, více resolverů a skutečné chování prohlížeče i poštovních zpráv. Jakmile je změna stabilní, lze TTL znovu nastavit podle provozní potřeby. Nízké TTL samo neopraví chybnou IP adresu.

Co DNSSEC chrání a co ne

DNSSEC používá kryptografické podpisy DNS dat a řetězec důvěry navázaný na vyšší zónu. Validující resolver může rozpoznat podvrženou či nesprávně podepsanou odpověď. DNSSEC nešifruje obsah webu a nenahrazuje HTTPS certifikát. Neřeší také slabé heslo do registrátorského účtu ani chybu ve WordPressu.

U .cz může některý registrátor DNSSEC zavést automaticky. Stav ověřte ve WHOIS CZ.NIC a u poskytovatele DNS. CZ.NIC uvádí, že ruční zprovoznění nemusí podporovat každá administrace; pokud si nejste jistí správou podpisů a údajů v registru, domluvte konkrétní postup s registrátorem. Nezaměňujte pouhé označení „DNSSEC podporujeme“ za potvrzení, že je správně zapnutý právě na vaší doméně.

Na telefonu lze tabulku posunout do strany.

DNSSEC: jednoduché rozhodnutí
Situace	Doporučený krok
Stávající doména funguje a DNSSEC je aktivní	Zaznamenejte současný stav a při změně DNS plánujte koordinaci klíčů.
DNSSEC není aktivní	Ověřte podporu registrátora a DNS služby; aktivujte podle jejich ověřeného postupu.
Měníte DNS poskytovatele	Před delegací ověřte podpis nové zóny a odpovídající údaje v registru.
Po změně doména některým lidem nefunguje	Vedle A/MX a nameserverů zkontrolujte také validaci DNSSEC.

Při změně podepsané zóny je potřeba koordinovat vazbu mezi údaji v registru a klíči nové zóny. Chybný stav se může projevovat jako nedostupná doména jen pro validující resolvery. To není situace, kde pomůže pouze opakovaně ukládat A záznam. U rozsáhlejší migrace se vyplatí domluvit přesný postup obou DNS poskytovatelů.

Praktická kontrola před změnou DNS

Zjistěte ve WHOIS registrátora, držitele a nameservery; v DNS panelu skutečnou zónu.
Uložte všechny potřebné záznamy včetně MX, TXT a subdomén.
V novém DNS prostředí připravte zónu a ověřte web i poštovní cíle.
Má-li doména DNSSEC, domluvte přechod klíčů či údajů v registru podle použitých služeb.
Teprve poté změňte nameservery nebo jednotlivé záznamy a kontrolujte výsledky z více míst.

Při změně hostingu můžete někdy ponechat nameservery a upravit pouze A/AAAA nebo CNAME. Při změně DNS poskytovatele přenášíte celou zónu. A při změně registrátora nemusíte měnit ani jedno. Jejich přesné oddělení a pořadí kroků popisuje návod na převod domény a stěhování webu.

Kdy zavolat správce nebo podporu

Pošta je kritická a nevíte, které MX a TXT záznamy jsou stále používané.
Doména má zapnutý DNSSEC, ale nové DNS rozhraní nenabízí jasný postup migrace.
Stejný název obsluhuje web, e-shop, API a další subdomény s různými správci.
V některých sítích doména odpovídá a v jiných selhává i po době odpovídající TTL.

Při dotazu podpoře přiložte doménu, čas změny, staré a nové nameservery, typ chybného záznamu a výsledek ověření; neposílejte hesla ani AuthInfo. Pokud teprve doménu kupujete, vyberte registrátora podle srovnání cen a správy .cz. Pro mnoho adres zároveň pomůže evidence doménového portfolia.

Časté otázky

Je DNS totéž co registrace domény?

Ne. Registrace určuje, komu doména patří a u koho se obnovuje. DNS určuje technické směrování webu a dalších služeb.

Ochrání DNSSEC přihlašovací údaje do WordPressu?

Ne. Ověřuje DNS odpovědi, ale nenahrazuje HTTPS, aktualizace ani bezpečné přihlášení.

Mohu mít e-mail u jiné firmy než web?

Ano. Webové A/AAAA či CNAME a poštovní MX/TXT záznamy mohou ukazovat k různým poskytovatelům.

Proč po změně vidím starý web?

Resolver může mít uloženou starší odpověď do vypršení TTL. Zkontrolujte také, zda měníte skutečně autoritativní DNS zónu a zda se web neukládá do jiné cache.