DNSSEC Nedir? DNS Güvenliği Nasıl Sağlanır?

DNS, internetin telefon rehberidir; yazdığınız alan adını bir IP adresine çevirir. Ne var ki bu rehber, 1980’lerin sonunda güven sorununu hiç düşünmeden tasarlandı. Bir DNS yanıtı size ulaştığında, tarayıcınız onun gerçekten doğru sunucudan geldiğini ve yolda değiştirilmediğini matematiksel olarak doğrulayamaz. İşte DNSSEC tam da bu açığı kapatmak için var. Bu yazıda DNSSEC’in ne olduğunu, hangi kayıt türleriyle çalıştığını, güven zincirinin nasıl kurulduğunu ve kendi alan adınız için nasıl etkinleştirebileceğinizi sahadan birinin gözünden anlatacağım.

DNSSEC Nedir?

DNSSEC, açılımıyla Domain Name System Security Extensions (Alan Adı Sistemi Güvenlik Uzantıları), klasik DNS protokolüne eklenen bir dizi standardın adıdır. Tek bir cümleyle özetlemek gerekirse: DNSSEC, DNS yanıtlarını kriptografik imzalarla mühürleyerek, bir çözümleyicinin (resolver) aldığı cevabın gerçekten yetkili sunucudan geldiğini ve yolda hiç değiştirilmediğini doğrulamasını sağlar.

Burada en sık yapılan yanlış anlamayı hemen düzeltelim: DNSSEC bir şifreleme teknolojisi değildir. DNS sorgularınızı gizlemez, kimsenin hangi siteyi ziyaret ettiğinizi görmesini engellemez. Onun işi mahremiyet değil, bütünlük ve kaynak doğrulamasıdır. Yani “Bu cevap doğru mu, dokunulmuş mu?” sorusuna yanıt verir; “Bu cevabı başkası görmesin” işlevi DNS over HTTPS (DoH) veya DNS over TLS (DoT) gibi ayrı teknolojilerin işidir. İkisi birbirini tamamlar ama farklı problemleri çözer.

Hangi Problemi Çözüyor?

Klasik DNS’in en büyük zaafı, yanıtların imzasız ve doğrulanamaz olmasıdır. Bu durum iki klasik saldırı türüne kapı açar:

• DNS cache poisoning (önbellek zehirlenmesi): Saldırgan, bir çözümleyici sunucunun önbelleğine sahte bir kayıt enjekte eder. Böylece kullanıcı “bankam.com” yazdığında, hiçbir uyarı almadan saldırganın sunucusuna yönlendirilir. Adres çubuğunda doğru alan adı görünür, ama arkadaki IP yanlıştır.
• Man-in-the-middle (ortadaki adam) yönlendirmesi: Ağ üzerindeki bir saldırgan, DNS cevabını yolda yakalayıp değiştirir ve trafiği kendi kontrol ettiği bir hedefe kaydırır.

2008’de güvenlik araştırmacısı Dan Kaminsky’nin açıkladığı önbellek zehirlenmesi zafiyeti, bu tehdidin teorik değil son derece gerçek olduğunu bütün internete gösterdi. DNSSEC, imza doğrulaması sayesinde bu sahte kayıtların çözümleyici tarafından reddedilmesini sağlar: imza tutmuyorsa yanıt geçersizdir, nokta.

DNSSEC Nasıl Çalışır? İmza ve Doğrulama Mantığı

DNSSEC’in temelinde asimetrik (açık anahtar) kriptografi yatar. Her DNS bölgesinin (zone) bir gizli anahtarı ve bir açık anahtarı vardır. Bölge sahibi, kayıtlarını gizli anahtarla imzalar; çözümleyici ise açık anahtarla bu imzayı doğrular. Bu mantık, fiziksel bir mektubu mumlu mühürle kapatmaya benzer: mühür bozulmamışsa içeriğin yolda açılmadığını bilirsiniz.

Pratikte bu işlem birkaç yeni DNS kayıt türü üzerinden yürür. Bunları tanıyalım:

Kayıt Türü	Açılımı	Görevi
RRSIG	Resource Record Signature	Bir kayıt kümesinin (örn. tüm A kayıtları) dijital imzasını taşır. Her imzalı yanıtın yanında gelir.
DNSKEY	DNS Public Key	Bölgenin açık anahtarlarını barındırır; çözümleyici imzaları bununla doğrular.
DS	Delegation Signer	Çocuk bölgenin anahtarının özetini (hash) tutar; üst bölgede yayınlanır ve güven zincirini kurar.
NSEC / NSEC3	Next Secure	“Bu kayıt yok” yanıtını bile imzalayarak, var olmayan kayıtların güvenli şekilde reddini sağlar.

Bir çözümleyici, imzalı bir alan adına sorgu attığında yalnızca istediği kaydı (örn. A kaydı) almaz; o kaydın RRSIG imzasını da alır. Ardından bölgenin DNSKEY kaydını çekerek imzayı doğrular. İmza tutuyorsa cevap geçerlidir; tutmuyorsa çözümleyici cevabı çöpe atar ve genellikle bir SERVFAIL hatası döndürür. Bu noktada önemli bir ayrıntı var: doğrulamanın gerçekten işe yaraması için, çözümleyicinin de DNSSEC doğrulaması yapan bir sunucu olması gerekir. Birçok genel çözümleyici (örn. büyük halka açık DNS servisleri) bu doğrulamayı varsayılan olarak yapar.

İki Anahtarlı Sistem: KSK ve ZSK

DNSSEC, tek anahtar yerine genellikle iki anahtar kullanır. Bu, ilk bakışta karmaşık görünse de aslında operasyonel hayatı kolaylaştıran zekice bir bölüşümdür:

• ZSK (Zone Signing Key / Bölge İmzalama Anahtarı): Bölgedeki gerçek kayıtları (A, MX, TXT vb.) imzalar. Daha sık kullanıldığı ve daha çok “maruz kaldığı” için daha kısa boyutlu olabilir ve daha sık yenilenir; tipik olarak birkaç ayda bir değiştirilir.
• KSK (Key Signing Key / Anahtar İmzalama Anahtarı): Yalnızca DNSKEY kayıt kümesini imzalar. Güven zincirinin tepe noktasıdır ve üst bölgedeki DS kaydıyla bağlantılıdır. Daha uzun ömürlü olup genellikle yılda bir veya iki yılda bir yenilenir.

Bu ayrım sayesinde ZSK’yi değiştirmek istediğinizde üst bölgedeki (örn. .com kayıt kuruluşundaki) DS kaydına dokunmanıza gerek kalmaz; çünkü DS, KSK’ye bağlıdır. Böylece rutin anahtar yenilemeleri çok daha az riskle, kayıt kuruluşuna her seferinde gitmeden yapılabilir.

Güven Zinciri (Chain of Trust) Nasıl Kurulur?

DNSSEC’in en zarif tarafı, güvenin tek tek alan adlarında değil, hiyerarşik bir güven zinciri üzerinde inşa edilmesidir. İnternetin DNS yapısı zaten ağaç gibidir: en tepede kök (root) bölgesi, altında .com, .org, .tr gibi üst seviye alan adları (TLD), onların altında da sizin alan adınız bulunur. DNSSEC bu hiyerarşinin her halkasını bir öncekine kriptografik olarak bağlar:

• Sizin alan adınızın KSK özeti, üst bölgenizde (örn. .com) bir DS kaydı olarak yayınlanır.
• .com bölgesinin anahtar özeti de kök bölgesinde DS kaydı olarak durur.
• Kök bölgesinin anahtarı ise güven çıpası (trust anchor) olarak çözümleyicilere önceden gömülmüştür.

Böylece bir çözümleyici, sizin alan adınızın imzasını doğrularken zinciri yukarı doğru yürür: alan adı imzası -> TLD’deki DS -> kök bölgesindeki DS -> kök güven çıpası. Bu halkalardan biri bile kırılırsa (örn. DS kaydı yanlışsa veya eksikse) doğrulama başarısız olur ve alan adı doğrulayan çözümleyiciler nezdinde çözümlenmez. Bu, DNSSEC’in en çok dikkat isteyen yanıdır: yanlış yapılandırılmış bir DNSSEC, alan adınızın tamamen erişilemez hale gelmesine yol açabilir.

Kritik Nokta: DS Kaydını Doğru Zamanda Yayınlamak

Sahada en sık karşılaşılan kesinti nedeni, anahtar yenileme (key rollover) sırasında DS kaydının yanlış sırayla güncellenmesidir. Eski DS kaydı, yeni anahtar yayılmadan kaldırılırsa zincir kopar. Bu yüzden iyi yapılandırılmış sistemler, eski ve yeni anahtarın bir süre birlikte yaşadığı geçiş pencereleri kullanır. Modern DNS altyapıları bu süreci CDS / CDNSKEY kayıtları ve otomatik anahtar yönetimiyle büyük ölçüde otomatikleştirebilir; böylece insan hatası azalır.

2026 İtibariyle DNSSEC Ne Durumda?

DNSSEC standartları yaklaşık yirmi yıldır ortada olmasına rağmen, yaygın benimseme hala şaşırtıcı ölçüde düşük. 2026 başında yapılan geniş ölçekli ölçümlerde, taranan 240 milyondan fazla alan adının yalnızca yüzde 4-5 aralığında bir kısmı imzalıydı. İlginç olan şu ki, regülasyona tabi sektörlerde oran ciddi şekilde yükseliyor: bazı finans ve sigorta odaklı üst seviye alan adlarında imzalama oranı yüzde 50’ye yaklaşıyor. Yani güvenliğin önemli olduğu yerlerde DNSSEC zaten standart haline gelmiş durumda.

Algoritma tarafında da net bir yönelim var. Eskiden yaygın olan RSA tabanlı algoritmalar yerine, daha kısa imzalar üreten ve daha verimli olan ECDSA (Algoritma 13) giderek standartlaşıyor. Büyük TLD’ler son yıllarda bu algoritmaya geçti. Yeni bir alan adını imzalayacaksanız, günümüzde ECDSA tabanlı bir algoritma tercih etmek hem performans hem güvenlik açısından makul bir seçimdir.

Kendi Alan Adınızda DNSSEC’i Nasıl Etkinleştirirsiniz?

Süreç, kullandığınız altyapıya göre değişir ama mantık her zaman aynıdır: bölgeyi imzala, ardından KSK özetini DS kaydı olarak üst bölgeye bildir. Pratikte iki ana senaryo vardır:

• DNS’inizi hosting/sunucu sağlayıcınızda yönetiyorsanız: Çoğu modern panelde (cPanel, Plesk, DirectAdmin) DNSSEC birkaç tıkla açılır. Panel sizin için anahtarları üretir, bölgeyi imzalar ve size yayınlamanız gereken DS kaydını gösterir. Sizin işiniz bu DS kaydını, alan adınızın kayıtlı olduğu kuruluşa girmektir.
• Alan adı kayıt kuruluşu üzerinden: DS kaydını (veya bazı durumlarda CDS otomasyonuyla) kayıt kuruluşunun panelinden eklersiniz. Bu adım, güven zincirini tamamlayan en kritik halkadır.

Etkinleştirdikten sonra mutlaka bağımsız bir DNSSEC doğrulama aracıyla zinciri test edin. “Yeşil ışık” görmeden işi bitmiş saymayın; çünkü eksik bir DS kaydı günler sonra TTL süresi dolunca aniden kesintiye dönüşebilir ve bunu fark etmek zor olur.

.tr Alan Adları İçin Durum

Türkiye’nin .tr uzantılı alan adları, 2022’den bu yana BTK bünyesindeki trABIS tarafından yönetiliyor. .tr ekosisteminde DNSSEC desteği, alt uzantı ve kayıt kuruluşuna göre değişebildiği için, .tr alan adınız için DNSSEC kullanmak istiyorsanız doğrudan akredite kayıt kuruluşunuza durumu teyit ettirmeniz en sağlıklı yoldur. Alastyr olarak BTK akredite bir .TR kayıt kuruluşu olduğumuz için, alan adı tarafındaki bu adımlarda size pratik destek verebiliyoruz.

DNS Güvenliği: DNSSEC Tek Başına Yeterli mi?

Dürüst olalım: DNSSEC, DNS güvenliğinin önemli bir parçasıdır ama tamamı değildir. Sağlam bir DNS güvenliği için DNSSEC’i birkaç katmanla birlikte düşünmek gerekir. Aşağıdaki tablo, bu teknolojilerin hangi problemi çözdüğünü netleştiriyor:

Teknoloji	Çözdüğü Problem	Çözmediği Şey
DNSSEC	Yanıtın bütünlüğü ve kaynak doğrulaması (sahtecilik, önbellek zehirlenmesi)	Mahremiyet / şifreleme sağlamaz
DoH / DoT	Sorgu trafiğinin şifrelenmesi ve gizlenmesi	Yanıtın yetkili kaynaktan geldiğini garanti etmez
Anti-DDoS / Anycast DNS	DNS altyapısının hacimsel saldırılara karşı ayakta kalması	İçerik doğrulaması yapmaz
SSL/TLS sertifikası	Web trafiğinin uçtan uca şifrelenmesi ve site kimliğinin doğrulanması	DNS katmanını korumaz

Gerçek dünyada bu katmanlar birlikte çalışır. Örneğin DNSSEC alan adınızın doğru IP’ye çözümlenmesini garanti ederken, SSL sertifikası o IP’ye ulaştıktan sonra bağlantıyı şifreler. Altyapı tarafında sağlam bir anti-DDoS koruması ise sunucularınızı hacimsel saldırılara karşı ayakta tutar. Alastyr’da, İzmir’deki kendi veri merkezimizde barındırdığımız hizmetlerde Voxility tabanlı 1 Tbps üzeri L3-L4 anti-DDoS koruması, ücretsiz SSL ve Imunify360 destekli çift katmanlı WAF gibi katmanlar tam da bu bütünlüğü hedefler. DNSSEC bu resmin DNS katmanındaki parçasıdır; tek başına değil, doğru komşularıyla birlikte güçlüdür.

Toparlarsak

DNSSEC, DNS’in en eski ve en tehlikeli zaafını kapatan kanıtlanmış bir çözümdür: yanıtların sahteciliğini kriptografik imzalarla engeller. Çalışma mantığı RRSIG, DNSKEY ve DS kayıtları üzerine kurulu bir güven zinciri; en kritik nokta ise bu zinciri doğru kurmak ve anahtar yenilemelerini hatasız yönetmektir. Yanlış yapılandırılmış bir DNSSEC, koruma sağlamak yerine alan adınızı erişilemez hale getirebileceği için, bu işi acele etmeden, doğrulayarak ve mümkünse otomatik anahtar yönetimi sunan bir altyapıyla yapmak en akıllıcasıdır. Özellikle kullanıcı verisi taşıyan, e-ticaret yapan veya marka itibarını ciddiye alan siteler için DNSSEC artık “olsa iyi olur” değil, düşünülmesi gereken temel bir güvenlik katmanıdır.

Sıkça Sorulan Sorular

DNSSEC DNS sorgularımı şifreler mi?

Hayır. DNSSEC şifreleme yapmaz; yanıtın bütünlüğünü ve kaynağını doğrular. Yani cevabın doğru ve değiştirilmemiş olduğunu garanti eder ama hangi siteyi sorguladığınızı gizlemez. Sorgu trafiğini gizlemek için DNS over HTTPS (DoH) veya DNS over TLS (DoT) kullanılır. Bu ikisi DNSSEC ile birlikte, birbirini tamamlayacak şekilde kullanılabilir.

DNSSEC olmadan sitem güvensiz mi sayılır?

DNSSEC olmayan bir alan adı, teorik olarak DNS önbellek zehirlenmesi ve yanıt sahteciliği saldırılarına daha açıktır. Yine de SSL sertifikası, güçlü sunucu güvenliği ve güvenilir bir çözümleyici kullanan ziyaretçiler ek koruma sağlar. DNSSEC bu korumalara DNS katmanında önemli bir halka ekler; özellikle hassas veri taşıyan siteler için tavsiye edilir.

DNSSEC etkinleştirmek sitemi yavaşlatır mı?

Pratikte fark edilir bir yavaşlama oluşturmaz. İmzalı yanıtlar biraz daha büyük olduğu ve çözümleyici ek doğrulama yaptığı için teorik olarak minik bir ek yük vardır, ancak modern algoritmalar (özellikle ECDSA) bu maliyeti çok düşük tutar. Kullanıcılarınızın günlük deneyiminde bu farkı hissetmesi beklenmez.

KSK ve ZSK arasındaki fark nedir?

ZSK (Bölge İmzalama Anahtarı) bölgedeki gerçek kayıtları imzalar ve daha sık yenilenir. KSK (Anahtar İmzalama Anahtarı) yalnızca anahtar kümesini imzalar, güven zincirinin tepesidir ve üst bölgedeki DS kaydıyla bağlantılıdır; daha uzun ömürlüdür. Bu ayrım, rutin anahtar yenilemelerini kayıt kuruluşuna her seferinde gitmeden yapmayı mümkün kılar.

DNSSEC yanlış yapılandırılırsa ne olur?

Yanlış yapılandırılmış DNSSEC, sitenizin tamamen erişilemez hale gelmesine yol açabilir. Özellikle DS kaydı eksik, hatalı veya anahtar yenilemesi yanlış sırayla yapılmışsa, doğrulayan çözümleyiciler alan adınızı çözemez ve SERVFAIL döndürür. Bu yüzden etkinleştirdikten sonra bağımsız bir doğrulama aracıyla zinciri mutlaka test etmek gerekir.

DNSSEC’i nasıl etkinleştiririm?

Genellikle iki adımda: önce DNS bölgenizi imzalarsınız (çoğu modern hosting panelinde birkaç tıkla yapılır), ardından panelin verdiği DS kaydını alan adınızın kayıtlı olduğu kuruluşa girersiniz. Bu son adım güven zincirini tamamlar. İşlem bitince mutlaka doğrulama aracıyla zincirin sağlam olduğunu kontrol edin.

.tr alan adlarında DNSSEC kullanılabilir mi?

.tr ekosisteminde DNSSEC desteği, alt uzantı ve kayıt kuruluşuna göre değişebilir. Bu yüzden .tr alan adınız için DNSSEC kullanmak istiyorsanız, akredite kayıt kuruluşunuzla durumu teyit etmeniz en sağlıklı yöntemdir. BTK akredite bir .TR kayıt kuruluşu olarak Alastyr, bu adımlarda size yol gösterebilir.

DNSSEC bütün saldırılara karşı koruma sağlar mı?

Hayır. DNSSEC yalnızca DNS yanıt bütünlüğünü korur; DDoS, kötü amaçlı yazılım, kimlik avı veya uygulama katmanı zafiyetleri gibi tehditleri çözmez. Sağlam bir güvenlik için DNSSEC’i SSL, anti-DDoS, WAF ve düzenli yedekleme gibi katmanlarla birlikte düşünmek gerekir.

DNSSEC ile SSL sertifikası aynı şey mi?

Hayır, farklı katmanlarda çalışırlar. DNSSEC, alan adınızın doğru IP adresine çözümlenmesini garanti eder. SSL/TLS sertifikası ise o adrese ulaştıktan sonra tarayıcı ile sunucu arasındaki trafiği şifreler ve site kimliğini doğrular. İkisi birbirinin yerini tutmaz; birlikte kullanıldıklarında daha bütünlüklü bir güvenlik sağlarlar.